JP — ITmedia

ID chung của Hankyu Hanshin Department Stores bị rò rỉ gần như toàn bộ hội viên, khoảng 1,26 triệu bản ghi; trang đặt chỗ bị truy cập trái phép

Bảo mật19 tháng 10, 20262 phút đọc

Trang web đặt chỗ của Hankyu Hanshin Department Stores bị tấn công xâm nhập trái phép. Khoảng 1,26 triệu hồ sơ khách hàng gắn với ID thành viên chung H2O ID đã bị rò rỉ một phần.

Chuyện gì đã xảy ra?

Công ty H2O Retailing ở Osaka cho biết vào ngày 19/10/2026 rằng trang web đặt chỗ do công ty con Hankyu Hanshin Department Stores vận hành đã bị người ngoài xâm nhập. Một phần thông tin cá nhân của thành viên H2O ID đã bị rò rỉ. Công ty nói rằng cho đến nay chưa thấy dữ liệu bị lạm dụng hay gây thiệt hại thứ cấp.

Con số và sự kiện chính

Khoảng 1,26 triệu hồ sơ cá nhân bị ảnh hưởng.
Vụ xâm nhập được phát hiện vào ngày 16/10/2026. Công ty đã chặn truy cập từ bên ngoài và tắt toàn bộ hệ thống đặt chỗ trong ngày đó.
Ngày 17/10, hai trang mua sắm trực tuyến là HANKYU HANSHIN E-STORES và Remo Order cũng bị xâm nhập và bị tạm ngừng.
Việc rò rỉ được xác nhận vào ngày 19/10.
Dữ liệu bị rò rỉ của hầu hết thành viên H2O ID gồm tên, giới tính, email, mã bưu chính, địa chỉ, số điện thoại, tuổi và ngày sinh.

Bối cảnh

H2O ID là một ID đăng nhập dùng chung cho nhiều công ty và dịch vụ trong tập đoàn. Vì vậy, một vụ tấn công có thể ảnh hưởng đến nhiều dịch vụ cùng lúc. Công ty cho biết các trang mua sắm chỉ lưu loại thẻ, 4 số cuối và ngày hết hạn, không lưu toàn bộ số thẻ hay mã bảo mật. Công ty cũng nói chưa thấy mật khẩu đăng nhập bị rò rỉ.

Vì sao điều này quan trọng?

Thông tin cá nhân như tên, địa chỉ và số điện thoại có thể bị dùng để lừa đảo. Thành viên có thể nhận được tin nhắn giả mạo như từ chính công ty. Nếu nhận email hoặc cuộc gọi lạ, bạn nên kiểm tra trước khi tin.

Cần theo dõi điều gì?

Việc dữ liệu từ E-STORES và Remo Order có bị rò rỉ hay không, vì công ty vẫn đang điều tra.
Thời điểm dịch vụ được mở lại, sau khi tìm ra nguyên nhân và sửa lỗ hổng.
Có báo cáo nào về việc dữ liệu bị rò rỉ bị lạm dụng hay không.

Chú giải

H2O Retailing: Công ty Nhật Bản vận hành cửa hàng bách hóa và các cửa hàng khác ở vùng Kansai.
H2O ID: ID thành viên dùng chung cho các công ty và dịch vụ trong tập đoàn.
HANKYU HANSHIN E-STORES: Cửa hàng trực tuyến của tập đoàn, bán sản phẩm qua internet.
Remo Order: Dịch vụ đặt hàng trực tuyến của tập đoàn, lưu lịch sử đơn hàng và một phần thông tin thẻ.

Cùng một tin, nhiều góc nhìn

Người dùngAI

Thay đổi dễ thấy nhất là email và cuộc gọi sắp tới, chứ không phải thẻ

Số thẻ đầy đủ và mã bảo mật không được lưu, mật khẩu cũng chưa ghi nhận bị lộ, nên việc thanh toán bằng thẻ có lẽ chưa thay đổi nhiều ngay lúc này. Điều bạn có thể thấy trước là email hoặc cuộc gọi giả mạo trông khá thuyết phục, vì họ tên, địa chỉ, số điện thoại và ngày sinh đã bị lộ. Trong vài tuần tới, nếu có liên lạc nhắc đến H2O hay Hankyu Hanshin, bạn nên tránh bấm vào liên kết và tự vào trang chính thức để kiểm tra nhé. Việc E-STORES và Remo Order có bị lộ hay không, cùng thời điểm mở lại dịch vụ, vẫn chưa được công bố.

Người hoài nghiAI

Từ một trang đặt chỗ đến toàn bộ ID dùng chung

Điều mình để ý là truy cập trái phép đi vào qua trang đặt chỗ nhưng lại chạm tới hệ thống quản lý khách hàng của ID dùng chung H2O ID. Nếu biết hai hệ thống này được kết nối ra sao và sau khi vá lỗ hổng sẽ mở lại với cấu trúc nào thì sẽ yên tâm hơn nhiều. Vì ID dùng chung trải rộng trên nhiều dịch vụ, bạn cũng nên lưu ý lời nhắc về các liên lạc giả danh công ty. Việc E-STORES và Remo Order có bị lộ thông tin hay không vẫn đang được điều tra.

Nhà sử họcAI

Cửa phụ của ID dùng chung, gợi nhớ vụ Target 2013

Tôi nhớ đến vụ Target năm 2013, khi kẻ xâm nhập đi vào từ một cửa ngoại vi rồi chạm tới hệ thống trung tâm. ID dùng chung giống như một chìa khóa mở cả ngôi nhà, nên việc trang đặt chỗ trở thành lối vào cũng không quá lạ. Khi đó, điều phân định kết quả là hệ thống được tách biệt đến đâu và chặn nhanh đến mức nào, còn lần này truy cập bị chặn ngay trong ngày phát hiện. Vì số thẻ đầy đủ không được lưu, rủi ro dường như chuyển từ thanh toán sang các liên lạc mạo danh, còn việc trang đặt chỗ kết nối với hệ thống quản lý khách hàng bằng đường nào thì vẫn chưa được công bố.

Cùng chủ đề

Bảo mật전자신문26 thg 10

Tioli công bố hướng dẫn ứng phó khẩn cấp cho lỗ hổng 'Node2Shell'

Tioli cho biết ngày 26 đã tự tái hiện và xác minh lỗ hổng bảo mật Node.js 'Node2Shell (CVE-2026-111497)', được công bố ngày 21, và phát hành hướng dẫn ứng phó. Nguyên nhân là lỗi xử lý bộ nhớ khi giải nén dữ liệu nén Brotli, và Node.js xếp mức độ rủi ro ở mức 'Cao'. Các phiên bản đã vá gồm 22.23.4, 24.22.1 và 26.12.1.

Bảo mật전자신문26 thg 10

Logpresso ra mắt 'PHP2Shell Scanner' để kiểm tra lỗ hổng trong mạng nội bộ

Logpresso đã phát hành ứng dụng 'PHP2Shell Scanner' để chẩn đoán lỗ hổng thực thi mã từ xa trong PHP có tên PHP2Shell. Công cụ này có thể quét cả website công khai lẫn các hệ thống dựa trên PHP chạy trong mạng nội bộ.

Bảo mậtVnExpress26 thg 10

Mối nguy từ các thiết bị AI 'luôn lắng nghe'

Các thiết bị 'sẵn sàng chờ lệnh' như loa thông minh, smartwatch và kính AI có thể thu thập dữ liệu, làm dấy lên lo ngại về quyền riêng tư. Theo dữ liệu Omdia dẫn lại bởi Reuters, lượng kính AI xuất xưởng toàn cầu tăng từ 2,1 triệu chiếc năm 2024 lên 8,4 triệu chiếc năm 2025. Chuyên gia cảnh báo người xung quanh cũng có thể bị giám sát dù không sở hữu thiết bị, và AI có thể diễn giải lượng thông tin lớn hơn nhiều so với trợ lý giọng nói đời trước.

Bảo mật전자신문26 thg 10

Deepfake trong bầu cử toàn cầu tăng 27%; Hàn Quốc đứng thứ 3 về tổng số ca

Theo nghiên cứu của Surfshark, số ca deepfake bầu cử được báo cáo trên toàn thế giới từ tháng 1 đến tháng 9 năm nay đã vượt 27% so với tổng năm ngoái. Hàn Quốc đứng thứ ba thế giới về số ca tích lũy với 16 ca kể từ năm 2021, sau Mỹ và Ấn Độ. Nghiên cứu ghi nhận 235 ca tại 46 quốc gia từ tháng 1/2020 đến tháng 9/2026.