Có tin cho biết thông tin cá nhân của khoảng 24.000 nhân viên Tổng công ty Điện lực Hàn Quốc (한국전력공사; 한전) bị lộ trên một trang web bên ngoài. Theo thông tin được đưa tin là lời giải thích của công ty, 7 mục dữ liệu bị lộ gồm họ tên, đơn vị công tác, mã nhân viên, số điện thoại di động, số điện thoại nội bộ, email và chức vụ. Công ty cho biết thông tin khách hàng và các thông tin định danh duy nhất như số đăng ký cư trú (thông tin dùng để nhận diện duy nhất một cá nhân), cũng như thông tin nhạy cảm, không bị lộ.

Bối cảnh và ngữ cảnh

Công ty được cho là đã nhận biết việc lộ thông tin vào khoảng 15 giờ 59 phút ngày 1 tháng 10. Công ty cho biết đã chặn quyền truy cập vào các hệ thống nội bộ liên quan đến thông tin cá nhân của nhân viên và yêu cầu đơn vị vận hành trang web bên ngoài xóa dữ liệu.

Theo các bản tin, vào khoảng 13 giờ 22 phút ngày 4 tháng 10, công ty đã báo cáo sự việc lên Ủy ban Bảo vệ Thông tin Cá nhân (개인정보보호위원회) và lập phòng tình huống tổng hợp ứng phó khẩn cấp cùng các cơ quan liên quan để điều tra vụ việc. Công ty được cho là đã thông báo riêng cho nhân viên về sự cố và diễn biến vụ việc qua tin nhắn và email, đồng thời hướng dẫn các biện pháp phòng ngừa thiệt hại thứ cấp.

Tin này có ý nghĩa gì

Theo giải thích của công ty, thông tin được cho là đã lộ không phải là dữ liệu có độ nhạy cảm cao như số đăng ký cư trú. Tuy nhiên, cần lưu ý rằng họ tên, đơn vị công tác, mã nhân viên, thông tin liên lạc, email và chức vụ bị lộ cùng lúc. Khi kết hợp những thông tin này, ai đó có thể nhận diện nhân viên hoặc tìm cách liên lạc như thể là người có quan hệ công việc thực sự với họ. Tuy nhiên, các bản tin được cung cấp không cho biết thiệt hại thứ cấp như vậy đã thực sự xảy ra.

Chẳng hạn, nếu nhân viên nhận được liên lạc từ người mạo danh đại diện công ty, sẽ an toàn hơn nếu không mặc nhiên cho rằng đó là liên lạc chính đáng chỉ vì người gửi biết tên hoặc đơn vị công tác của họ. Đây là cách diễn giải mang tính phòng ngừa dựa trên loại thông tin bị lộ, chứ không có nghĩa là thiệt hại do mạo danh đã được xác nhận.

Theo công ty, thông tin khách hàng được lưu trong một hệ thống riêng nên không bị lộ. Vì vậy, sự cố được đưa tin trực tiếp ảnh hưởng đến thông tin nhân viên; không nên suy rộng rằng thông tin khách hàng cũng đã bị rò rỉ.

Những điểm được đưa tin khác nhau giữa các bài báo

Thời điểm thông tin bị xóa khỏi trang web khác nhau giữa các bài báo. Một bài đưa tin rằng dữ liệu được xóa vào khoảng nửa đêm chuyển sang ngày 3 tháng 10, tức khoảng 32 giờ sau khi công ty nhận biết sự việc; nhưng một bài khác lại cho biết việc xóa hoàn tất vào khoảng nửa đêm ngày thứ Sáu. Vì vậy, khó có thể khẳng định một mốc thời gian và thời lượng duy nhất.

Cách mô tả nguyên nhân vụ việc cũng có khác biệt. Tiêu đề một bài báo gọi đây là “rò rỉ do bị hack”, nhưng nội dung cho biết nguyên nhân cụ thể dẫn đến việc lộ thông tin vẫn đang được điều tra. Một bài khác đưa tin rằng đại diện công ty nói nguyên nhân đang được xác minh và có vẻ không liên quan đến trí tuệ nhân tạo. Với những căn cứ hiện có, chưa thể xác định chắc chắn nguyên nhân rò rỉ.

Những gì đã xác nhận và những điều chưa thể biết

Những gì đã xác nhận

  • Quy mô bị ảnh hưởng được đưa tin là khoảng 24.000 nhân viên.
  • Có tin cho biết 7 mục thông tin bị lộ gồm họ tên, đơn vị công tác, mã nhân viên, số điện thoại di động, số điện thoại nội bộ, email và chức vụ.
  • Công ty cho biết đã chặn quyền truy cập vào hệ thống nội bộ và yêu cầu đơn vị vận hành trang web bên ngoài xóa thông tin.
  • Các bản tin cho biết công ty đã thông báo sự cố cho nhân viên qua tin nhắn và email, đồng thời báo cáo sự việc lên Ủy ban Bảo vệ Thông tin Cá nhân.

Những điều chưa thể biết

  • Cụ thể, bằng cách nào và vì nguyên nhân gì thông tin được đăng lên trang web bên ngoài?
  • Chính xác thông tin đã được công khai ra bên ngoài trong bao lâu, và có ai thực sự xem hoặc tải dữ liệu xuống hay không?
  • Nội dung cụ thể của các biện pháp phòng ngừa được thông báo cho nhân viên bị ảnh hưởng là gì, và thiệt hại thứ cấp có thực sự xảy ra hay không?

Điều độc giả cần kiểm tra

  • Nếu là nhân viên của công ty, bạn có thể kiểm tra thông báo chính thức nhận được từ công ty để biết thông tin của mình có nằm trong diện bị ảnh hưởng hay không, cũng như các mục thông tin và hướng dẫn phòng ngừa được nêu.
  • Hãy thận trọng với những liên lạc yêu cầu bạn tin tưởng chỉ dựa trên các thông tin bị lộ như họ tên hoặc đơn vị công tác; việc xác minh người gửi qua quy trình xác thực chính thức được nêu trong thông báo của công ty có thể hữu ích.

Tài liệu tham khảo