CẬP NHẬT: Vistaprint để lại các cuộc gọi, cuộc trò chuyện và email của khách hàng trong cơ sở dữ liệu trực tuyến không được mã hóa

Vistaprint để lại các cuộc gọi, cuộc trò chuyện và email từ các tương tác với dịch vụ khách hàng trong cơ sở dữ liệu trực tuyến không được mã hóa, để lộ thông tin khách hàng nhạy cảm tiềm ẩn. Theo TechCrunch, nhà nghiên cứu bảo mật Oliver Hough đã thông báo cho công ty qua Twitter sau khi cơ sở dữ liệu xuất hiện trên Shodan, một thiết bị bị lộ và công cụ tìm kiếm cơ sở dữ liệu, vào ngày 5 tháng 11.

TechCrunch báo cáo rằng cơ sở dữ liệu đã lưu trữ khoảng 51.000 tương tác với dịch vụ khách hàng và bao gồm tên, số điện thoại, địa chỉ email của khách hàng và hơn thế nữa. Một đại diện của Vistaprint nói với TechCrunch rằng các khách hàng ở Mỹ, Anh và Ireland có thể đã bị ảnh hưởng.

“Điều này là không thể chấp nhận được và lẽ ra không nên xảy ra trong bất kỳ trường hợp nào,” công ty nói với TechCrunch. “Chúng tôi hiện đang thực hiện một cuộc điều tra đầy đủ để hiểu điều gì đã xảy ra và cách ngăn chặn mọi sự tái diễn trong tương lai. Tại thời điểm này, chúng tôi không biết liệu dữ liệu này đã được truy cập hay chưa ngoài nhà nghiên cứu bảo mật đã tìm ra nó. “

https://twitter.com/olihough86/status/1197462053516173312

Không rõ cơ sở dữ liệu đã bị lộ bao lâu, nhưng một số dữ liệu có từ gần đây nhất là vào tháng 9 năm 2019. TechCrunch lưu ý rằng không có mật khẩu hoặc thông tin tài chính nào xuất hiện trong cơ sở dữ liệu, mặc dù có các chi tiết cụ thể khác về từng tương tác của khách hàng:

Bảng “email” chứa toàn bộ chuỗi email với khách hàng nêu chi tiết các vấn đề hoặc các vấn đề khác với đơn đặt hàng của họ. Và, bảng “điện thoại” chứa thông tin cụ thể về mỗi cuộc gọi, bao gồm ngày và giờ, thời gian khách hàng bị giữ, bản ghi cuộc gọi – thường bao gồm chi tiết về đơn đặt hàng của khách hàng – và liên kết nội bộ (liên kết nội bộ chúng tôi không thể truy cập) vào bản ghi âm cuộc gọi.

Dữ liệu cũng chứa một số thông tin tài khoản, bao gồm địa chỉ email cơ quan và một số số điện thoại của nhân viên dịch vụ khách hàng Vistaprint.

Vistaprint cho biết họ sẽ thông báo cho các khách hàng bị ảnh hưởng về khả năng vi phạm và đang làm việc để tìm hiểu xem cơ sở dữ liệu đã không được bảo vệ như thế nào và trong bao lâu. Theo TechCrunch, Hough cho biết cơ sở dữ liệu được đặt tên là “chuyển đổi”, cho thấy nó có khả năng được sử dụng như một khu vực lưu trữ tạm thời mà Vistaprint đã vô tình để lại trực tuyến sau khi chuyển hồ sơ của khách hàng đến một vị trí khác.

Các công ty sản xuất sản phẩm khuyến mại nổi bật khác nhau đã đối phó với vi phạm dữ liệu hoặc các cuộc tấn công phần mềm độc hại trong vài năm qua, bao gồm alphabroder, Hit Promotion Products, ReduceMugs.com và những công ty khác. Tàn khốc nhất trong số này là cuộc tấn công bằng ransomware tấn công nhà cung cấp Colorado Timberline vào năm 2018, buộc công ty phải đóng cửa vĩnh viễn.

Bảo mật dữ liệu chưa bao giờ trở nên khó khăn và cần thiết hơn đối với các doanh nghiệp. Như chúng ta đã thấy trong hầu hết các trường hợp này, cả trong và ngoài ngành quảng cáo, việc thông báo cho khách hàng về các vi phạm dữ liệu tiềm ẩn một cách nhanh chóng và triệt để là hoàn toàn quan trọng. Không phải mọi cuộc tấn công đều có thể bị ngăn chặn, nhưng phản ứng nhanh có thể giúp giữ cho khách hàng được bảo vệ và cứu vãn mối quan hệ.

Có vẻ như Vistaprint đã làm điều này khi được thông báo về cơ sở dữ liệu bị lộ. Hy vọng rằng không có dữ liệu khách hàng nào của họ bị rơi vào tay kẻ xấu.

CẬP NHẬT 12/2: Sau khi bài báo này được xuất bản, một đại diện của Vistaprint đã gửi tuyên bố dưới đây tới Tiếp thị Quảng cáo:

Chúng tôi có thể xác nhận rằng một Vistaprint cơ sở dữ liệu nghiên cứu nội bộ ảnh hưởng đến một số dữ liệu khách hàng đã được công khai trực tuyến. Chúng tôi đã đưa cơ sở dữ liệu vào ngoại tuyến và có thể xác nhận rằng nó không thể truy cập được nữa. Sau một cuộc điều tra, chúng tôi kết luận rằng không có ai bên ngoài Vistaprint đã truy cập vào dữ liệu ngoài nhà nghiên cứu bảo mật và nhà báo đã tìm thấy nó.

Cơ sở dữ liệu chứa thông tin liên quan đến ít hơn 30.000 khách hàng trong số 17 triệu khách hàng của chúng tôi trên toàn thế giới, bao gồm tên, địa chỉ email, số điện thoại và một số bản ghi trò chuyện của khách hàng. Chúng tôi đã xác minh rằng không có thông tin thẻ tín dụng hoặc thẻ ghi nợ nào được chứa trong cơ sở dữ liệu này. Chúng tôi đang tiếp tục kiểm tra mọi bản ghi cuộc trò chuyện khách hàng có liên quan để đảm bảo rằng không có dữ liệu tài chính bổ sung nào được thảo luận hoặc đưa vào trong các cuộc trò chuyện này.

Ian Amit, giám đốc an ninh tại Cimpress, công ty mẹ của Vistaprint, cho biết: “Điều này là không thể chấp nhận được; điều này đáng lẽ không nên xảy ra trong bất kỳ trường hợp nào và chúng tôi vô cùng xin lỗi. Theo ưu tiên, chúng tôi hiện đang liên hệ với tất cả các khách hàng bị ảnh hưởng để thông báo cho họ về các bước tiếp theo. Chúng tôi đang thực hiện một cuộc điều tra đầy đủ để hiểu chính xác điều gì đã xảy ra và cách ngăn chặn bất cứ điều gì như thế này xảy ra trong tương lai ”.

“Nếu bất kỳ khách hàng nào của chúng tôi có bất kỳ câu hỏi nào về vấn đề này, tôi khuyến khích họ liên hệ với nhóm chăm sóc khách hàng của chúng tôi trên (866) 870-4125 hoặc qua email tại customerervice @vistaprint.com. Họ sẽ có thể giúp giải quyết các mối quan tâm của từng cá nhân. “