Công ty an ninh hàng đầu tại Mỹ ADT bị đánh cắp 5,5 triệu dữ liệu

[WhiteHat Team]

Ngày 20/4, công ty bảo mật hàng đầu của Mỹ ADT xác nhận bị tấn công mạng. Thông tin ban đầu có liên quan đến nhóm hacker ShinyHunters, nhóm này tuyên bố đã đánh cắp dữ liệu của khoảng 5,5 triệu khách hàng, theo xác minh của Have I Been Pwned.
​

Ảnh: helpnetsecurity​

ADT là một trong những công ty an ninh và giám sát lớn nhất tại Mỹ, chuyên cung cấp giải pháp bảo vệ cho nhà ở và doanh nghiệp. Phía công ty nhấn mạnh rằng vụ việc chỉ ảnh hưởng đến “một tập dữ liệu giới hạn”. Các thông tin bị lộ bao gồm:​

• Tên
• Số điện thoại
• Địa chỉ
• Trong một số ít trường hợp thì có ngày sinh hoặc 4 số cuối SSN hoặc mã số thuế

May mắn là không có dữ liệu thanh toán, tài khoản ngân hàng hay thẻ tín dụng bị lộ, đồng thời hệ thống an ninh (alarm, camera) của khách hàng không bị ảnh hưởng. ADT cho biết đã phát hiện truy cập trái phép vào ngày 20/04/2026, ngay lập tức chặn truy cập, điều tra pháp y với bên thứ ba, thông báo cơ quan thực thi pháp luật, gửi thông báo đến người dùng bị ảnh hưởng và cung cấp dịch vụ bảo vệ danh tính miễn phí.

Về kỹ thuật tấn công, cụ thể ShinyHunters dùng vishing hay còn là voice phishing - lừa đảo qua cuộc gọi giọng nói để đánh cắp thông tin đăng nhập của một nhân viên ADT. Từ đó, chúng xâm nhập vào hệ thống Okta SSO (đăng nhập một lần), rồi truy cập thẳng vào Salesforce là nơi lưu toàn bộ dữ liệu khách hàng.

Chuỗi tấn công chỉ gồm 3 bước: lừa đảo, chiếm tài khoản rồi lấy hết dữ liệu. Đây là kiểu tấn công nguy hiểm nhất hiện nay vì không cần khai thác lỗ hổng phần mềm

Dù chưa có thiệt hại lớn về tài chính nhưng 5,5 triệu nạn nhân cũng là khách hàng của ADT vẫn đối mặt với nguy cơ bị lừa đảo cá nhân hóa, chiếm SIM điện thoại, hoặc đánh cắp danh tính. ShinyHunters cũng có thể đe dọa bán dữ liệu lên dark web để tống tiền ADT.

Tại Việt Nam, các cuộc gọi lừa đảo giả mạo ngân hàng, cơ quan nhà nước đang ngày càng phổ biến, bản chất không khác gì vishing mà ShinyHunters đã dùng. Doanh nghiệp và tổ chức trong nước cần cảnh giác cao độ:​

• Đào tạo nhân viên nhận diện cuộc gọi lừa đảo, nâng cao nhận thức an ninh mạng​
• Đừng tin tuyệt đối vào SSO, nên dùng xác thực mạnh hơn OTP, chuyển sang chuẩn FIDO2 hoặc passkey để chống phishing​

​

Tổng hợp​