Có tới 600 triệu mật khẩu Facebook và Instagram bị lưu dưới dạng văn bản

Meta bị phạt 101 triệu USD vì vi phạm bảo mật mật khẩu

Một số mật khẩu này đã không được bảo vệ từ năm 2012 và có thể bị tìm kiếm bởi hơn 20.000 nhân viên của Meta…

Sự cố bảo mật này được phát hiện vào năm 2019, nhưng theo báo cáo của Engadget, nó đã tồn tại trong bảy năm.

Mặc dù Meta không tiết lộ có bao nhiêu tài khoản bị ảnh hưởng, một nhân viên cấp cao đã cho biết với Krebs on Security rằng sự cố liên quan đến tới 600 triệu mật khẩu. Một số mật khẩu đã bị lưu trữ dưới dạng có thể đọc được dễ dàng trên các máy chủ của công ty từ năm 2012.

Không chỉ vi phạm pháp luật khi không bảo vệ mật khẩu ngay từ đầu, Meta còn không tuân thủ nghĩa vụ pháp lý là báo cáo sự việc kịp thời với cơ quan quản lý sau khi phát hiện ra sự cố.

Ủy ban Bảo vệ Dữ liệu Ireland (DPC) đã phát hiện Meta vi phạm nhiều quy định của GDPR liên quan đến sự cố này. DPC xác định rằng Meta đã không thông báo cho cơ quan này về "sự cố vi phạm dữ liệu cá nhân liên quan đến việc lưu trữ mật khẩu người dùng dưới dạng văn bản thuần túy" một cách kịp thời và không "ghi chép lại các vi phạm dữ liệu cá nhân". Ngoài ra, Meta còn vi phạm GDPR khi không sử dụng các biện pháp kỹ thuật phù hợp để đảm bảo an toàn cho mật khẩu của người dùng trước nguy cơ xử lý trái phép.

Quan điểm của tác giả

Mức phạt 101 triệu USD có vẻ khá nhỏ so với mức độ nghiêm trọng của sự cố và thời gian kéo dài. Với địa chỉ email và mật khẩu, kẻ tấn công có thể chiếm quyền kiểm soát hàng trăm triệu tài khoản Facebook và Instagram.

Đặc biệt đối với Facebook, điều này có thể dẫn đến việc tiết lộ các bài đăng đã được người dùng giới hạn cho một nhóm nhỏ bạn bè thân thiết vì lý do riêng tư.

Luật GDPR của châu Âu cho phép các công ty bị phạt lên đến 4% doanh thu toàn cầu cho các vi phạm yêu cầu về quyền riêng tư, vì vậy đáng ra có thể áp dụng một mức phạt ý nghĩa hơn. Chỉ khi các cơ quan quản lý áp dụng các mức phạt nghiêm khắc khiến các giám đốc điều hành cấp cao lo lắng thì chúng ta mới thấy các công ty coi trọng các vi phạm quyền riêng tư ở mức độ nghiêm túc mà chúng xứng đáng.