Chuyện gì đã xảy ra
Ngày 9/10/2026, Resorttrust, doanh nghiệp Nhật Bản vận hành khách sạn và khu nghỉ dưỡng theo hình thức hội viên (với các thương hiệu như Baycourt Club và XIV) và cung cấp cả dịch vụ y tế cho hội viên, công bố rằng truy cập trái phép vào website đã dẫn đến rò rỉ dữ liệu cá nhân:
- khoảng 26.000 hồ sơ hội viên của tập đoàn;
- khoảng 36.000 hồ sơ đặt phòng của The Kahala Hotel & Resort Yokohama.
Những gì không bị rò rỉ
Theo thông báo, dữ liệu không bao gồm lịch sử sử dụng, thông tin y tế, dữ liệu thẻ tín dụng, tài khoản ngân hàng, địa chỉ email hay giấy tờ tùy thân. Điều này quan trọng vì tập đoàn còn hoạt động trong lĩnh vực khám sức khỏe, nơi một vụ rò rỉ sẽ nghiêm trọng hơn nhiều.
Trong công bố cho nhà đầu tư, công ty không nêu công khai chính xác trường dữ liệu nào bị lộ hay kẻ tấn công xâm nhập bằng cách nào. Cuộc điều tra vẫn tiếp tục.
Phản ứng của công ty
- Hợp tác với chuyên gia bảo mật bên ngoài để xác định nguyên nhân.
- Vá lỗ hổng trong các hệ thống bị ảnh hưởng, tăng cường giám sát và rà soát quyền truy cập.
- Liên hệ riêng với người bị ảnh hưởng, xin lỗi và giải thích.
- Xây dựng lại khung bảo mật thông tin trên toàn tập đoàn.
- Tác động tài chính chưa rõ và sẽ được công bố nếu phát sinh.
Bối cảnh: một tuần khó khăn ở Nhật Bản
Vụ việc nối tiếp chuỗi rò rỉ được công bố tại Nhật đầu tháng 10, gồm Lawson, Bookoff, skyticket và vụ ransomware trên đám mây của IDC Frontier. Điểm chung: website và ứng dụng dành cho khách hàng, phơi ra internet, có lỗ hổng cho phép trích xuất dữ liệu hàng loạt.
Khách hàng nên làm gì
- Cảnh giác với email, SMS và cuộc gọi nhắc đến đặt phòng hay tư cách hội viên của bạn, kể cả khi thông tin chính xác. Dữ liệu rò rỉ được dùng cho các vụ lừa đảo thuyết phục.
- Xác minh mọi liên hệ qua kênh chính thức của công ty.
- Không bao giờ cung cấp mật khẩu hay thông tin thẻ qua điện thoại hoặc đường link nhận được.
Bài học cho doanh nghiệp
- Kiểm kê mọi thứ phơi ra internet: trang đặt chỗ, khu vực hội viên, hệ thống cũ.
- Kiểm thử xâm nhập định kỳ cho ứng dụng web, không chỉ hạ tầng mạng.
- Áp dụng đặc quyền tối thiểu: website không nên đọc được toàn bộ cơ sở dữ liệu khách hàng.
- Lưu đủ nhật ký truy cập để trả lời nhanh "cái gì bị lấy và của ai".
Nguồn
- Japan IR, công bố của Resorttrust (9/10/2026): https://japanir.jp/en/company/company-4681/ir/4681-20261009-01_wp_disclosure_update/
Cần rà soát bảo mật website và hệ thống khách hàng? KGA IT cung cấp tư vấn miễn phí: kga-it.com.