Meta bị phạt 263 triệu USD vì sự cố bảo mật năm 2017

Vụ bê bối bảo mật Facebook năm 2017 đã ảnh hưởng đến hàng triệu người dùng trên toàn cầu. Do vậy, sau nhiều năm thụ lý, Ủy ban bảo vệ dữ liệu Ireland (DPC) đã đưa ra mức phạt lên đến 263 triệu USD.

Án phạt được Ủy ban bảo vệ dữ liệu Ireland đưa ra dựa trên Luật bảo vệ dữ liệu chung (GDPR). Sự cố xảy ra vào tháng 7/2017 khi Facebook triển khai tính năng View as. Chức năng này cho phép người dùng xem trang cá nhân của mình dưới góc nhìn của người khác.

Tuy nhiên, lỗi thiết kế đã tạo điều kiện cho kẻ xấu khai thác lỗ hổng. Chúng có thể tạo ra token người dùng để truy cập đầy đủ vào trang cá nhân Facebook. Sau đó, các token này bị sử dụng để truy cập bất hợp pháp thông tin và dữ liệu từ nhiều tài khoản khác.

Theo nhà chức trách, từ ngày 14-28/9/2018, kẻ xấu đã lợi dụng lỗ hổng để đăng nhập trái phép vào khoảng 29 triệu tài khoản Facebook toàn cầu. Trong số đó, khoảng 3 triệu tài khoản thuộc người dùng ở châu Âu hoặc khu vực kinh tế châu Âu.

Dữ liệu bị xâm phạm bao gồm họ tên, địa chỉ email, số điện thoại, vị trí, nơi làm việc, ngày sinh, giới tính, bài viết trên dòng thời gian, nhóm mà người dùng tham gia, và thậm chí cả dữ liệu cá nhân của con họ.

DPC đã thực hiện 2 cuộc điều tra liên quan đến sự cố. Tập trung vào thông báo bảo mật kiểm tra việc tuân thủ các nguyên tắc bảo vệ dữ liệu ngay từ giai đoạn thiết kế. Phán quyết cuối cùng được công bố vào ngày 17/12, kết luận rằng Meta vi phạm GDPR trong cả 2 trường hợp.

Xuyên suốt cuộc điều tra đầu tiên, Meta bị phạt 11,55 triệu USD. Lý do là thông báo bảo mật của Facebook không cung cấp đầy đủ các thông tin cần thiết, và công ty không ghi lại đầy đủ các bước đã thực hiện để khắc phục sự cố.

Cuộc điều tra thứ hai dẫn đến mức phạt 252 triệu USD. DPC xác định rằng tập đoàn không tuân thủ các nguyên tắc bảo vệ dữ liệu ngay từ khi thiết kế, và không triển khai biện pháp phù hợp để ngăn chặn việc truy cập trái phép vào dữ liệu người dùng.

Phó Ủy viên DPC Graham Doyle nhấn mạnh rằng sự cố này cho thấy tác hại nghiêm trọng khi những yêu cầu bảo vệ dữ liệu không được xây dựng trong suốt chu kỳ phát triển dịch vụ. Những dữ liệu bị lộ có nguy cơ cao bị sử dụng vào mục đích bất hợp pháp.

Trước đó, vào tháng 9, DPC cũng phạt Meta 95,56 triệu USD vì sự cố bảo mật năm 2019. Lỗi này khiến mật khẩu của hàng trăm triệu người dùng bị lưu dưới dạng văn bản thô trên máy chủ, gây ra nguy cơ lớn cho bảo mật thông tin cá nhân.