Các câu hỏi thường gặp về việc rò rỉ thông tin thẻ tín dụng

Về “Lời xin lỗi và thông báo về việc rò rỉ thông tin thẻ tín dụng do truy cập trái phép vào trang web của chúng tôi”, chúng tôi xin tổng hợp các câu hỏi thường gặp dưới đây.

Q) Thời gian có khả năng bị rò rỉ là từ 27/11/2020 đến 9/12/2020, vậy nếu tôi thanh toán ngoài khoảng thời gian đó thì có sao không?

A) Chúng tôi đang tiến hành điều tra bởi một tổ chức điều tra bên thứ ba. Ngoài 195 giao dịch thẻ tín dụng đã thanh toán trong khoảng thời gian nêu trên, không có khả năng rò rỉ nào khác. Xin quý khách yên tâm. Nếu có điểm nào chưa rõ, chúng tôi rất mong quý khách liên hệ với bộ phận tiếp nhận liên hệ bất cứ lúc nào. Ngoài ra, khi phân tích ngày mua của những khách hàng thực tế bị sử dụng trái phép, các khách hàng mua vào các ngày 12/2, 12/3, 12/4, 12/8 và 12/9 chiếm tỷ lệ tập trung cao.

Q) Sau này có thể yên tâm sử dụng được không?

A) Chúng tôi nghiêm túc tiếp nhận sự việc lần này và đã thực hiện tất cả các biện pháp cần thiết để nâng cao bảo mật theo chỉ đạo của tổ chức điều tra bên thứ ba. Trong thời gian tới, chúng tôi sẽ tiếp tục nỗ lực nâng cao bảo mật và dốc toàn lực để khôi phục niềm tin từ khách hàng.

Q) Việc xử lý sử dụng trái phép, cấp lại thẻ, thủ tục thay đổi... đã mất rất nhiều thời gian. Có bồi thường gì không?

A) Như đã giải thích trong bài viết, mọi chi phí phát sinh liên quan đến sử dụng trái phép và chi phí đổi thẻ đều do chúng tôi chịu, nhưng chúng tôi chân thành xin lỗi vì đã gây phiền hà cho quý khách và xin lỗi một lần nữa. Chúng tôi mong muốn sẽ thông báo kịp thời về các biện pháp và cách xử lý sẽ được thực hiện trong thời gian tới, kính mong quý khách tiếp tục hỗ trợ.

Q) Việc phát hiện ban đầu là ngày 9/12/2020, còn công bố là ngày 29/3/2021. Vì sao lại công bố chậm như vậy?

A) Chúng tôi đã trao đổi với công ty thẻ tín dụng và công ty điều tra suốt ngày đêm với mục tiêu liên hệ với khách hàng càng sớm càng tốt, nhưng rất xin lỗi vì việc thông báo lại rơi vào thời điểm như thế này. Chúng tôi đã bàn bạc với công ty thẻ tín dụng, nhưng để tránh gây hoang mang không cần thiết nên đã chưa thể liên hệ. Sau khi chờ hoàn tất điều tra của tổ chức điều tra bên thứ ba và xác nhận từ các công ty thẻ, cuối cùng chúng tôi mới có thể thông báo tới khách hàng.

Q) Xin hãy cho biết các biện pháp nâng cao bảo mật đã thực hiện cho đến nay.

A) Để không bao giờ xảy ra sự cố tương tự nữa, chúng tôi đã thực hiện các biện pháp sau.
・Ngay lập tức khắc phục lỗ hổng của chức năng tải tệp lên, đồng thời kích hoạt SELinux để nâng cao bảo mật liên quan đến chống sửa đổi. (12/2020)
・Chuyển môi trường máy chủ sang môi trường đám mây công cộng an toàn, được cấu thành bởi hệ điều hành/phần mềm trung gian mới nhất. (12/2020)
・Triển khai tường lửa hiệu năng cao (WAF) và thực hiện các biện pháp chặn truy cập/tấn công trái phép. (01/2021)
・Triển khai xác thực hai bước cho môi trường máy chủ và công cụ quản trị. (02/2021)
・Cài đặt phần mềm chống vi-rút trên máy chủ và định kỳ kiểm tra vi-rút. (02/2021)
・Thường xuyên áp dụng các bản vá quan trọng ở cấp hệ điều hành/phần mềm trung gian. (03/2021)
・Triển khai giải pháp FIM (File Integrity Monitoring) để phát hiện sửa đổi tệp. (04/2021)
・Ngoài ra, chúng tôi cũng đã thực hiện nhiều biện pháp khác để nâng cao bảo mật.

Q) Xin hãy cho biết các biện pháp nâng cao bảo mật dự kiến sẽ thực hiện trong thời gian tới.

A) Dưới sự hướng dẫn của tổ chức điều tra bên thứ ba và công ty chuyên về bảo mật, chúng tôi dự kiến thực hiện các biện pháp sau.
・Thực hiện kiểm tra bảo mật định kỳ bởi công ty chuyên về bảo mật.
・Thực hiện đánh giá lỗ hổng nội bộ định kỳ.
・Sử dụng SIEM (Security Information and Event Management) để lưu trữ nhật ký trong thời gian dài
・Ngoài ra, chúng tôi sẽ tiếp tục thực hiện các biện pháp nhằm tăng độ vững chắc của hệ thống.

Q) Có lưu trữ thông tin thẻ tín dụng (số thẻ, ngày hết hạn, mã bảo mật) trên máy chủ không?

A) Không. Chúng tôi sử dụng dịch vụ thanh toán kiểu non-tối ưu? (JavaScript) tuân thủ PCI-DSS do Stripe cung cấp, và trên máy chủ của chúng tôi hoàn toàn không lưu trữ bất kỳ thông tin thẻ tín dụng nào của khách hàng. Cuộc tấn công lần này là bằng cách sửa đổi trang thanh toán, đặt một biểu mẫu nhập liệu tương tự ở vị trí rất giống với biểu mẫu nhập thẻ tín dụng gốc, và khi nút thanh toán được nhấn, thông tin đã nhập sẽ được chuyển tiếp tới trang của kẻ tấn công.

Q) “Có khả năng rò rỉ thông tin thẻ tín dụng” nghĩa là gì? Có phải cũng có khả năng là không bị rò rỉ không?

A) Chúng tôi không xác nhận được rằng thông tin thực sự đã được chuyển đến trang của kẻ tấn công; do đó, đối với tất cả các thẻ đã thanh toán trong khoảng thời gian file tấn công tồn tại trên máy chủ, chúng tôi tiến hành thủ tục với giả định “có khả năng”. Vì vậy, khách hàng thanh toán trong khoảng thời gian này thực tế cũng có khả năng không bị rò rỉ. Khi phân tích ngày mua của những khách hàng thực tế bị sử dụng trái phép, các khách hàng mua vào các ngày 12/2, 12/3, 12/4, 12/8 và 12/9 chiếm tỷ lệ tập trung cao. Có khả năng trong các khoảng thời gian còn lại, biểu mẫu giả đã được gỡ xuống (※ điều này thực tế chúng tôi cũng đã xác nhận).

Q) Nếu có sử dụng trái phép, sẽ được bồi hoàn như thế nào? Và việc đổi thẻ có phát sinh chi phí không?

A) Tất cả chi phí phát sinh liên quan đến sự cố lần này sẽ không do khách hàng chi trả. Như đã nêu trong nội dung báo cáo, vui lòng kiểm tra sao kê sử dụng thẻ tín dụng và nếu có giao dịch trái phép, nhất định hãy liên hệ ngay với công ty thẻ tín dụng.

Q) ApparelX có tiếp tục dịch vụ trong thời gian tới không?

A) Chúng tôi nghiêm túc tiếp nhận sự việc lần này và đã thực hiện tất cả các biện pháp cần thiết để nâng cao bảo mật theo chỉ đạo của tổ chức điều tra bên thứ ba. Trong thời gian tới, chúng tôi sẽ tiếp tục nỗ lực nâng cao bảo mật và dốc toàn lực để khôi phục niềm tin từ khách hàng.

Q) Tôi muốn rời khỏi ApparelX và xóa toàn bộ thông tin, có được không?

A) Vui lòng xóa thông tin tài khoản từ mục xóa tài khoản trong tài khoản của tôi. Tất cả thông tin được lưu trên trang web của chúng tôi sẽ bị xóa.

Q) Khi nào việc tiếp nhận thanh toán bằng thẻ tín dụng sẽ được mở lại?

A) Hiện tại chúng tôi đang trao đổi với công ty thanh toán trung gian. Khi mở lại, chúng tôi sẽ thông báo trên website. (Bổ sung ngày 4/28) Sau khi được các công ty thẻ tín dụng phê duyệt, chúng tôi đã mở lại thanh toán bằng thẻ tín dụng vào ngày 2021/4/28.