Các nhà nghiên cứu suy đoán rằng dữ liệu đã được thu thập để xây dựng hồ sơ chi tiết về công dân Trung Quốc, trong khi người dùng không thể làm gì nhiều để bảo vệ quyền riêng tư của mình.

Phát hiện chấn động này là kết quả của sự hợp tác giữa các nhà nghiên cứu tại Cybernews và chủ sở hữu trang web bảo vệ dữ liệu SecurityDiscovery.com. Họ đã tìm thấy một cơ sở dữ liệu mở hoàn toàn, không yêu cầu mật khẩu, chứa tới 631 GB thông tin, tương đương khoảng 4 tỷ bản ghi cá nhân.

4 tỷ bảng ghi hồ sơ gần như chứa toàn bộ thông tin của các công dân Trung Quốc bị phát tán. Ảnh Cimei

Theo TechRadar, một cơ sở dữ liệu khổng lồ không được bảo vệ, chứa hơn 4 tỉ hồ sơ người dùng nhạy cảm, vừa được các nhà nghiên cứu an ninh mạng phát hiện trực tuyến.

Vụ việc được xem là có thể trở thành vụ rò rỉ dữ liệu lớn nhất từng được ghi nhận, đặt hàng triệu người dùng, chủ yếu là công dân Trung Quốc, vào tình thế cực kỳ nguy hiểm.

Điều đáng báo động là bản chất của dữ liệu bị rò rỉ. Theo nhóm nghiên cứu, đây không phải là một vụ tấn công thông thường, mà dường như là một cơ sở dữ liệu "được thu thập và duy trì một cách tỉ mỉ", được thiết kế để xây dựng "các hồ sơ toàn diện về hành vi, kinh tế và xã hội của gần như mọi công dân Trung Quốc". Điều này làm dấy lên nghi ngờ rằng đây có thể là một phần của một dự án giám sát quy mô lớn.

Các bản ghi bị lộ chứa đầy đủ thông tin nhận dạng cá nhân (PII) như họ tên, ngày sinh, số điện thoại, cùng với dữ liệu tài chính nhạy cảm như số thẻ, thông tin nợ và tiết kiệm và cả thói quen chi tiêu.

Dữ liệu, có khả năng được biên soạn để lập hồ sơ hoặc giám sát, được chia thành 16 bộ sưu tập. Bộ sưu tập lớn nhất, "wechatid_db", lưu trữ hơn 805 triệu hồ sơ, trong khi các bộ sưu tập khác bao gồm dữ liệu nhà ở, tài chính và ID. Tổng cộng, vụ rò rỉ đã tiết lộ hơn 4 tỷ hồ sơ, bao gồm thông tin liên quan đến Alipay, WeChat và Đài Loan.

“Bộ sưu tập lớn nhất, với hơn 805 triệu bản ghi, được đặt tên là “wechatid_db”, rất có thể chỉ đến dữ liệu đến từ siêu ứng dụng WeChat thuộc sở hữu của Baidu.” bài đăng viết.

“Bộ sưu tập lớn thứ hai, “address_db,” có hơn 780 triệu bản ghi chứa dữ liệu nhà ở có mã định danh địa lý. Bộ sưu tập lớn thứ ba, được đặt tên đơn giản là “ngân hàng,” có hơn 630 triệu bản ghi dữ liệu tài chính, bao gồm số thẻ thanh toán, ngày sinh, tên và số điện thoại.

Các thông tin như họ tên, ngày sinh, số điện thoại, cùng với dữ liệu tài chính nhạy cảm đều có trong hồ sơ bị rò rỉ. Ảnh: Cybernews

Chỉ sở hữu ba bộ sưu tập này sẽ cho phép những kẻ tấn công có kỹ năng đối chiếu các điểm dữ liệu khác nhau để tìm ra nơi sinh sống của một số người dùng nhất định và thói quen chi tiêu, nợ nần và tiền tiết kiệm của họ.”

Với khối lượng thông tin chi tiết như vậy, các tác nhân đe dọa có thể dễ dàng thực hiện các cuộc tấn công phi kỹ thuật, trộm cắp danh tính, lừa đảo tài chính hoặc thậm chí là tống tiền các nạn nhân.

Mặc dù cơ sở dữ liệu này nhanh chóng gỡ xuống sau khi được phát hiện, nhưng không ai biết nó đã bị phơi bày trong bao lâu, đồng nghĩa với việc dữ liệu có thể đã bị sao chép và phát tán. Với quy mô hơn 4 tỉ hồ sơ, vụ việc này còn lớn hơn cả vụ rò rỉ National Public Data, vốn từng được coi là một trong những vụ vi phạm dữ liệu lớn nhất từ trước đến nay.

Nhóm nghiên cứu không thể truy vết dữ liệu bị rò rỉ đến bất kỳ tổ chức nào vì không tìm thấy bất kỳ mã định danh nào và máy chủ đã nhanh chóng bị ngắt kết nối. Những cá nhân bị ảnh hưởng không có cách rõ ràng để phản hồi. Mặc dù Trung Quốc đã từng chứng kiến ​​các vụ rò rỉ lớn trước đây, như những vụ liên quan đến Weibo và DiDi, nhưng không có vụ nào có quy mô như thế này. Với hơn 4 tỷ hồ sơ bị tiết lộ, đây có vẻ là vụ rò rỉ dữ liệu cá nhân lớn nhất được biết đến của Trung Quốc từ một nguồn duy nhất.