Dịch vụ giao đồ ăn Chowbus có mặt ở Úc, Canada và Hoa Kỳ với hàng trăm nghìn khách hàng. Những kẻ tấn công đánh cắp dữ liệu khách hàng từ nền tảng giao đồ ăn này và gửi email cho các nạn nhân để thông báo về việc xâm phạm. Một số khách hàng tiết lộ trên mạng xã hội rằng họ đã nhận được những email, một số chia sẻ thông tin trên Reddit.
Tin tặc tuyên bố đã đánh cắp toàn bộ cơ sở dữ liệu có chứa dữ liệu khách hàng của công ty, xuất chúng thành hàng loạt các tệp tin dạng văn bản đơn giản có giá trị được ngăn cách nhau bằng dấu phẩy (comma-separated values - CSV) và gửi cho những khách hàng đường dẫn tới nơi lưu trữ những tệp tin này.
Dữ liệu bị lộ lọt bao gồm tên khách hàng, địa chỉ email, số điện thoại, địa chỉ (thành phố, tiểu bang, mã zip), mức giá và địa chỉ những nhà hàng là đối tác của Chowbus.
Các chuyên gia phân tích vụ rò rỉ và thấy rằng tệp tin CSV của khách hàng có 803.350 bản ghi.
Những khách hàng của Chowbus muốn kiểm tra xem dữ liệu của mình có bị lộ lọt hay không có thể truy vấn website thông báo vi phạm dữ liệu Have I Been Pwned (HIBP), trang web đã tải dữ liệu từ sự cố vào nền tảng của mình. Theo HIBP, cơ sở dữ liệu tổng thể bao gồm dữ liệu liên quan tới tổng số 444.224 tài khoản của Chowbus.
Tuy nhiên, tại thời điểm viết bài này, đường dẫn đến dữ liệu khách hàng bị đánh cắp đã không còn hoạt động, Chowbus cũng bắt đầu thông báo cho khách hàng về sự việc này.
Công ty xác nhận đã biết thông tin về vụ vi phạm dữ liệu và cho biết nhóm bảo mật đã nhanh chóng xử lý vấn đề, thực thiệu các biện pháp để đảm bảo an toàn cho các hệ thống của họ.
Công ty giao đồ ăn cũng cho biết, dữ liệu về tài chính như thông tin thẻ tín dụng không bị lộ lọt vì nền tảng không quản lý thông tin này trong các hệ thống của họ. Thông tin thẻ tín dụng và giao dịch được xử lý trên Stripe, một trình xử lý thanh toán bảo mật của bên thứ ba.
Chowbus không tiết lộ thông tin chi tiết kỹ thuật của vụ việc, nhưng hãng vẫn đang điều tra và có kế hoạch chia sẻ thêm thông tin trong những ngày tới. "Chúng tôi đã biết tình hình vào lúc 1h30 sáng ngày 5/10 và đang nỗ lực xử lý vấn đề. Chúng tôi chịu trách nhiệm về quyền riêng tư và bảo mật, đồng thời đang nỗ lực để tìm hiểu trên các phương diện khác. Chúng tôi hy vọng sẽ cung cấp thêm thông tin cho cộng đồng trong những ngày tới".
