Chuyện gì đã xảy ra
Ngày 8/10/2026, Lawson, một trong ba chuỗi cửa hàng tiện lợi lớn nhất Nhật Bản, thông báo dữ liệu cá nhân từ 2.155.345 bản ghi của Lawson ID (tài khoản dùng chung cho ứng dụng và các dịch vụ) đã bị rò rỉ sau truy cập trái phép. Thêm 26 bản ghi từ dịch vụ Lawson App Reservations (đặt trước sản phẩm theo mùa như bánh Giáng sinh) cũng bị lộ.
Theo công ty, truy cập diễn ra ngày 12–14/9 (Lawson ID) và 17/9 (Đặt trước), nhưng chỉ được phát hiện trong đợt điều tra ngày 7/10, hơn ba tuần sau.
Những gì bị lộ
- Lawson ID (2.155.345): họ tên và email. Với người đã điền thông tin trong khuyến mãi và bốc thăm, còn có giới tính, số điện thoại, địa chỉ và tùy chọn bản tin.
- App Reservations (26): họ tên, số điện thoại và một phần số thẻ tín dụng.
- Theo báo chí Nhật Bản, mật khẩu không bị lộ, và đến thời điểm thông báo chưa xác nhận việc lạm dụng.
Nguyên nhân
Lawson cho biết nguyên nhân là việc lạm dụng một hệ thống liên quan đến ứng dụng: cơ chế bảo mật vốn chỉ để hiển thị thông tin cho chính người dùng đã bị bên thứ ba truy cập, cho phép lấy dữ liệu của người khác. Công ty không nêu chi tiết kỹ thuật hay lỗ hổng.
Trên thực tế, điều này giống một loại lỗi rất phổ biến trong ứng dụng: lỗi phân quyền cấp đối tượng (BOLA/IDOR), khi API trả dữ liệu cho bất kỳ ID nào mà không kiểm tra nó có thuộc về người yêu cầu hay không. Lưu ý: đây là cách hiểu của chúng tôi, không phải xác nhận từ Lawson.
Công ty cho biết không có truy cập nào khác và không nhiễm mã độc. Riêng biệt, cuối tháng 9, máy chủ email nội bộ của Lawson bị lợi dụng để gửi thư đáng ngờ; theo báo chí, chưa xác nhận mối liên hệ giữa hai vụ.
Phản ứng
- Chặn các nguồn truy cập đáng ngờ và tạm dừng tính năng đặt trước trên ứng dụng.
- Báo cáo Ủy ban Bảo vệ Thông tin Cá nhân (PPC) Nhật Bản.
- Gửi thông báo riêng qua email từ lawson_id@mailservice.lawson.jp.
Khách hàng nên làm gì
- Cảnh giác với email, SMS và cuộc gọi nhắc đến Lawson hay vụ rò rỉ, nhất là có đường link hoặc yêu cầu thông tin.
- Kiểm tra tin nhắn có đến từ người gửi chính thức, và nên truy cập qua ứng dụng hoặc website.
- Nếu đã đặt trước, hãy theo dõi sao kê thẻ.
Bài học cho doanh nghiệp có ứng dụng
- Mọi API trả dữ liệu cá nhân phải kiểm tra dữ liệu thuộc về ai ở mỗi yêu cầu.
- Giám sát khối lượng và mẫu hình: hàng triệu bản ghi bị kéo trong ba ngày là bất thường dễ thấy.
- Rút ngắn thời gian phát hiện: ba tuần từ khi bị tấn công đến khi phát hiện là quá lâu.
- Thu thập ít dữ liệu hơn trong khuyến mãi; thứ không tồn tại thì không thể rò rỉ.
Nhật Bản chứng kiến loạt vụ rò rỉ trong tháng 10 (skyticket, Yakiniku King, Daiichikosho, Bookoff), khiến việc rà soát API ứng dụng tiêu dùng càng cấp bách.
Nguồn
- Lawson, thông báo chính thức (8/10/2026): https://www.lawson.co.jp/contents/cont07/1533174_3310.html
- ITmedia NEWS: https://www.itmedia.co.jp/news/article/2610/09/2000002148/
- Business+IT: https://www.sbbit.jp/article/cont1/187372
Bạn muốn rà soát bảo mật API của ứng dụng? KGA IT cung cấp tư vấn miễn phí: kga-it.com.