Theo Fox News, gã khổng lồ cho thuê xe Hertz vừa xác nhận thông tin khách hàng bị lộ do một cuộc tấn công mạng vào một trong những nhà cung cấp phần mềm của họ.
Hầu hết các công ty sử dụng các nhà cung cấp khác nhau để điều hành các bộ phận khác nhau trong hoạt động kinh doanh của họ, chẳng hạn như quản lý khách hàng, tài chính, bảng lương và phương tiện truyền thông xã hội. Để làm điều này, họ chia sẻ quyền truy cập vào dữ liệu khách hàng với các nền tảng này. Vấn đề là không phải nhà cung cấp nào cũng coi trọng an ninh mạng và tin tặc nhận thức rõ điều đó.
Ngày càng có nhiều kẻ tấn công nhắm vào các mắt xích yếu hơn này trong chuỗi cung ứng kỹ thuật số. Các loại vi phạm này thường xảy ra một cách lặng lẽ, làm lộ một lượng lớn thông tin khách hàng mà không cần chạm vào các hệ thống chính của công ty. Nó đang trở thành một mối quan tâm nghiêm trọng cho cả doanh nghiệp và khách hàng của họ.
Một trong những trường hợp mới nhất liên quan đến Hertz, gã khổng lồ cho thuê xe, gần đây đã xác nhận rằng dữ liệu khách hàng đã bị lộ do một cuộc tấn công mạng vào một trong những nhà cung cấp phần mềm của họ.
Điều gì đã xảy ra với Hertz?
Hertz, công ty cho thuê xe toàn cầu cũng điều hành Dollar và Thrifty, đã tiết lộ một vụ vi phạm dữ liệu ảnh hưởng đến hàng ngàn khách hàng của mình. Vụ việc bắt nguồn từ một cuộc tấn công mạng vào một trong những nhà cung cấp bên thứ ba của hãng, nhà cung cấp phần mềm Cleo, trong khoảng thời gian từ tháng 10 đến tháng 12 năm 2024. Vụ vi phạm không trực tiếp xâm phạm các hệ thống nội bộ của Hertz mà liên quan đến dữ liệu đã được chia sẻ với nhà cung cấp như một phần của quy trình làm việc.
Dữ liệu bị xâm phạm khác nhau tùy theo khu vực, nhưng bao gồm thông tin cá nhân nhạy cảm như tên, ngày sinh, chi tiết liên hệ, số giấy phép lái xe và trong một số trường hợp, số An sinh xã hội và các ID do chính phủ cấp khác. Một số thông tin tài chính nhất định, bao gồm chi tiết thẻ thanh toán và yêu cầu bồi thường cho người lao động, cũng nằm trong số các hồ sơ bị đánh cắp.
Tại Hoa Kỳ, các tiết lộ đã được đệ trình lên các cơ quan quản lý ở California, Texas và Maine. Cụ thể, 3.457 cá nhân đã bị ảnh hưởng ở Maine và 96.665 ở Texas. Tuy nhiên, tác động toàn cầu được cho là lớn hơn nhiều. Khách hàng ở Úc, Canada, EU, New Zealand và Vương quốc Anh cũng đã được thông báo thông qua các thông báo vi phạm trên các trang web khu vực của Hertz.
Vụ vi phạm được cho là do băng đảng ransomware Clop gây ra, một nhóm hacker khét tiếng có liên kết với Nga. Clop đã khai thác một lỗ hổng zero-day trong phần mềm truyền tệp doanh nghiệp của Cleo, một công nghệ được nhiều tổ chức lớn sử dụng để truyền dữ liệu kinh doanh nhạy cảm một cách an toàn. Vào năm 2024, băng đảng này đã phát động một chiến dịch tấn công hàng loạt nhắm vào người dùng Cleo, cuối cùng đánh cắp dữ liệu từ hơn 60 công ty, bao gồm cả Hertz.
Điều thú vị là, trong khi Hertz được nêu tên trên trang web rò rỉ dark web của Clop vào năm 2024, công ty ban đầu tuyên bố họ “không có bằng chứng” cho thấy hệ thống hoặc dữ liệu của họ đã bị xâm phạm.
Khi được CyberGuy liên hệ, một phát ngôn viên của Hertz cho biết, “Tại Hertz, chúng tôi rất coi trọng quyền riêng tư và bảo mật thông tin cá nhân. Sự kiện nhà cung cấp này liên quan đến Cleo, một nền tảng truyền tệp được Hertz sử dụng cho các mục đích hạn chế. Điều quan trọng là, cho đến nay, cuộc điều tra pháp y của chúng tôi không tìm thấy bằng chứng nào cho thấy mạng lưới của Hertz bị ảnh hưởng bởi sự kiện này. Tuy nhiên, trong số nhiều công ty khác bị ảnh hưởng bởi sự kiện này, chúng tôi đã xác nhận rằng dữ liệu của Hertz đã bị một bên thứ ba trái phép có được mà chúng tôi hiểu là đã khai thác các lỗ hổng zero-day trong nền tảng của Cleo vào tháng 10 năm 2024 và tháng 12 năm 2024.”
Điều này có ý nghĩa gì đối với khách hàng?
Mặc dù các hệ thống nội bộ của Hertz không bị xâm phạm, nhưng việc tiết lộ dữ liệu cá nhân, bao gồm số giấy phép lái xe, chi tiết liên hệ và ID do chính phủ cấp, gây ra những rủi ro nghiêm trọng. Các cá nhân bị ảnh hưởng có thể dễ bị đánh cắp danh tính, mở tài khoản gian lận và các nỗ lực lừa đảo có chủ đích. Nếu số An sinh xã hội có liên quan, khả năng gây hại sẽ tăng lên đáng kể. Bất kỳ ai thuê xe từ Hertz, Dollar hoặc Thrifty trong khoảng thời gian từ tháng 10 đến tháng 12 năm 2024 nên cảnh giác cao độ.
7 cách để bảo vệ bản thân sau vụ vi phạm dữ liệu của Hertz
Nếu bạn nghĩ rằng mình đã bị ảnh hưởng hoặc chỉ muốn thận trọng, đây là một số bước bạn có thể thực hiện ngay bây giờ để giữ an toàn trước vụ vi phạm dữ liệu của Hertz.
- Cảnh giác với các trò lừa đảo lừa đảo và sử dụng phần mềm diệt virus mạnh mẽ: Với quyền truy cập vào email, số điện thoại hoặc tài liệu nhận dạng của bạn, kẻ tấn công có thể tạo các email lừa đảo thuyết phục giả vờ đến từ các nhà cung cấp dịch vụ chăm sóc sức khỏe hoặc ngân hàng. Các email này có thể bao gồm các liên kết độc hại được thiết kế để cài đặt phần mềm độc hại hoặc đánh cắp thông tin đăng nhập. Để tự bảo vệ mình, hãy sử dụng một chương trình diệt virus mạnh mẽ. Nhận các lựa chọn của tôi về những người chiến thắng bảo vệ chống virus tốt nhất năm 2025 cho các thiết bị Windows, Mac, Android và iOS của bạn.
- Xóa dữ liệu của bạn khỏi internet bằng dịch vụ xóa dữ liệu cá nhân: Thông tin cá nhân của bạn càng bị lộ trên mạng, kẻ lừa đảo càng dễ sử dụng nó để chống lại bạn. Sau vụ vi phạm của Hertz, hãy cân nhắc việc xóa thông tin của bạn khỏi các cơ sở dữ liệu công khai và các trang web tìm kiếm người. Xem các lựa chọn hàng đầu của tôi cho các dịch vụ xóa dữ liệu tại đây.
- Bảo vệ chống trộm danh tính và sử dụng bảo vệ chống trộm danh tính: Tin tặc hiện có quyền truy cập vào thông tin có giá trị cao từ vụ vi phạm của Hertz, bao gồm số An sinh xã hội, giấy phép lái xe và thông tin ngân hàng. Điều này khiến bạn trở thành mục tiêu hàng đầu của hành vi trộm cắp danh tính. Họ cũng có thể hỗ trợ bạn đóng băng tài khoản ngân hàng và thẻ tín dụng của bạn để ngăn chặn việc sử dụng trái phép hơn nữa của tội phạm. Đăng ký bảo vệ chống trộm danh tính cung cấp cho bạn khả năng giám sát 24/7, cảnh báo về hoạt động bất thường và hỗ trợ nếu danh tính của bạn bị đánh cắp. Xem các mẹo và lựa chọn tốt nhất của tôi về cách bảo vệ bản thân khỏi hành vi trộm cắp danh tính.
- Thiết lập cảnh báo gian lận: Yêu cầu cảnh báo gian lận thông báo cho các chủ nợ rằng họ cần xác minh thêm trước khi phát hành tín dụng dưới tên của bạn. Bạn có thể yêu cầu cảnh báo gian lận thông qua bất kỳ một trong ba văn phòng tín dụng lớn; họ sẽ thông báo cho những người khác. Điều này bổ sung một lớp bảo vệ khác mà không đóng băng hoàn toàn quyền truy cập vào tín dụng.
- Theo dõi báo cáo tín dụng của bạn: Kiểm tra báo cáo tín dụng của bạn thường xuyên thông qua AnnualCreditReport.com, nơi bạn có thể truy cập các báo cáo miễn phí từ mỗi văn phòng mỗi năm một lần hoặc thường xuyên hơn nếu bạn lo ngại về gian lận. Phát hiện các tài khoản trái phép sớm có thể ngăn chặn thiệt hại tài chính lớn hơn.
- Thay đổi mật khẩu và sử dụng trình quản lý mật khẩu: Cập nhật mật khẩu trên bất kỳ tài khoản nào liên kết với dữ liệu bị xâm phạm. Sử dụng mật khẩu duy nhất khó đoán và để trình quản lý mật khẩu thực hiện công việc nặng nhọc bằng cách tạo mật khẩu an toàn cho bạn. Mật khẩu được sử dụng lại là mục tiêu dễ dàng sau các vụ vi phạm. Cân nhắc trình quản lý mật khẩu để thuận tiện và bảo mật. Nhận thêm chi tiết về trình quản lý mật khẩu được các chuyên gia đánh giá tốt nhất năm 2025 của tôi tại đây.
- Hãy cảnh giác với các cuộc tấn công kỹ thuật xã hội: Tin tặc có thể sử dụng các chi tiết bị đánh cắp như tên hoặc ngày sinh từ các vụ vi phạm trong các trò lừa đảo qua điện thoại hoặc các cuộc gọi dịch vụ khách hàng giả mạo được thiết kế để đánh lừa bạn tiết lộ thêm thông tin nhạy cảm. Không bao giờ chia sẻ thông tin cá nhân qua các cuộc gọi hoặc email không mong muốn. Các cuộc tấn công kỹ thuật xã hội dựa vào sự tin tưởng và cảnh giác là chìa khóa.
Kết luận chính của Kurt
Rủi ro trên mạng không phải lúc nào cũng đến từ mạng lưới của chính công ty. Nó thường bắt nguồn từ những góc khuất không nhìn thấy trong chuỗi cung ứng kỹ thuật số. Ngay cả khi các công ty tăng gấp đôi an ninh mạng nội bộ, họ cũng phải hết sức nghiêm ngặt trong cách họ kiểm tra và giám sát các nhà cung cấp bên thứ ba. Đối với người tiêu dùng, chỉ tin tưởng vào thương hiệu lớn trên nhãn thôi là không đủ. Dấu vết dữ liệu rộng hơn, bề mặt tấn công lớn hơn và hậu quả mờ mịt hơn nhiều.
Nếu các công ty không thể bảo vệ dữ liệu của chúng ta, liệu họ có nên được phép thu thập quá nhiều dữ liệu đó không? Hãy cho chúng tôi biết bằng cách viết thư cho chúng tôi tại Cyberguy.com/Contact.
