Một nền tảng máy tính đám mây tại Nhật Bản phải ngừng hoạt động sau khi bị truy cập trái phép. Vụ việc không chỉ khiến khách hàng mất quyền sử dụng dịch vụ, mà còn làm dấy lên lo ngại về dữ liệu và tài khoản được lưu trên những máy chủ này.
Máy tính đặt trên đám mây cũng có thể trở thành mục tiêu tấn công
Ngày 21/10/2026, GMO Internet, doanh nghiệp cung cấp dịch vụ hạ tầng Internet tại Nhật Bản, thông báo ngừng hoạt động nền tảng Onamae.com Desktop Cloud sau khi phát hiện dấu hiệu xâm nhập trái phép. Công ty xác nhận các chương trình độc hại đã được cài đặt trong môi trường máy chủ của một số khách hàng.
Đây không đơn thuần là sự cố khiến một dịch vụ trực tuyến bị gián đoạn. Theo các thông báo tiếp theo của GMO, quá trình điều tra đã xác nhận thông tin khách hàng bị đưa ra khỏi hệ thống. Đến ngày 27/10, doanh nghiệp tiếp tục cho biết những đối tượng bị nghi là tin tặc đã công bố dữ liệu được cho là liên quan đến công ty và khách hàng. Tuy nhiên, tính xác thực của dữ liệu công bố vẫn đang được kiểm tra.
GMO chưa công bố chính xác loại thông tin nào đã bị lấy đi, cũng như số lượng khách hàng thực sự bị ảnh hưởng. Doanh nghiệp từng nêu con số 26.739 máy chủ có khả năng nằm trong phạm vi ảnh hưởng, nhưng nhấn mạnh đây không phải số máy chủ đã được xác nhận bị xâm nhập hoặc bị lấy dữ liệu.
Trước diễn biến này, GMO đã quyết định không khôi phục nền tảng trên hạ tầng hiện tại, đồng thời phối hợp với cơ quan chức năng và triển khai các biện pháp xử lý sự cố.
Đây không đơn thuần là sự cố khiến một dịch vụ trực tuyến bị gián đoạn. Theo các thông báo tiếp theo của GMO, quá trình điều tra đã xác nhận thông tin khách hàng bị đưa ra khỏi hệ thống. Đến ngày 27/10, doanh nghiệp tiếp tục cho biết những đối tượng bị nghi là tin tặc đã công bố dữ liệu được cho là liên quan đến công ty và khách hàng. Tuy nhiên, tính xác thực của dữ liệu công bố vẫn đang được kiểm tra.
GMO chưa công bố chính xác loại thông tin nào đã bị lấy đi, cũng như số lượng khách hàng thực sự bị ảnh hưởng. Doanh nghiệp từng nêu con số 26.739 máy chủ có khả năng nằm trong phạm vi ảnh hưởng, nhưng nhấn mạnh đây không phải số máy chủ đã được xác nhận bị xâm nhập hoặc bị lấy dữ liệu.
Trước diễn biến này, GMO đã quyết định không khôi phục nền tảng trên hạ tầng hiện tại, đồng thời phối hợp với cơ quan chức năng và triển khai các biện pháp xử lý sự cố.
Vì sao máy chủ đám mây có thể ảnh hưởng đến tài khoản giao dịch?
Onamae.com Desktop Cloud là dịch vụ cung cấp máy tính ảo, cho phép người dùng vận hành môi trường Windows từ xa qua Internet. Thay vì phải bật máy tính cá nhân liên tục, người dùng có thể chạy các phần mềm trên máy chủ đặt tại trung tâm dữ liệu.
Dịch vụ này được sử dụng cho hoạt động giao dịch ngoại hối tự động, trong đó có các công cụ MetaTrader 4 (MT4) và MetaTrader 5 (MT5). Những phần mềm này có thể lưu thông tin đăng nhập, cấu hình giao dịch và các dữ liệu cần thiết để vận hành tài khoản.
Điều đó khiến một máy chủ đám mây trở thành nơi chứa nhiều thông tin có giá trị. Nếu kẻ tấn công truy cập được vào môi trường này, rủi ro không chỉ dừng ở việc đọc tài liệu hoặc lấy dữ liệu đã lưu. Các thông tin xác thực bị lộ còn có thể bị lợi dụng để truy cập những tài khoản liên quan, tùy thuộc vào quyền truy cập và cơ chế bảo vệ của từng hệ thống.
Dịch vụ này được sử dụng cho hoạt động giao dịch ngoại hối tự động, trong đó có các công cụ MetaTrader 4 (MT4) và MetaTrader 5 (MT5). Những phần mềm này có thể lưu thông tin đăng nhập, cấu hình giao dịch và các dữ liệu cần thiết để vận hành tài khoản.
Điều đó khiến một máy chủ đám mây trở thành nơi chứa nhiều thông tin có giá trị. Nếu kẻ tấn công truy cập được vào môi trường này, rủi ro không chỉ dừng ở việc đọc tài liệu hoặc lấy dữ liệu đã lưu. Các thông tin xác thực bị lộ còn có thể bị lợi dụng để truy cập những tài khoản liên quan, tùy thuộc vào quyền truy cập và cơ chế bảo vệ của từng hệ thống.
Trong vụ việc, GMO cho biết một số khách hàng đã phản ánh những giao dịch trên tài khoản mà họ không nhận ra. Công ty đã yêu cầu các khách hàng liên quan đổi mật khẩu, chấm dứt những phiên đăng nhập đang hoạt động và kiểm tra lịch sử giao dịch.
Đến nay, phương thức tin tặc xâm nhập ban đầu và cách các chương trình độc hại được triển khai vẫn chưa được công bố đầy đủ. Vì vậy, chưa có đủ căn cứ để kết luận vụ việc bắt nguồn từ một lỗ hổng phần mềm cụ thể hay một phương thức tấn công nhất định.
Dữ liệu bị lấy đi có đồng nghĩa mọi thông tin đều đã bị lộ?
Không nhất thiết. Đây là điểm cần phân biệt khi theo dõi các sự cố an ninh mạng.
Việc doanh nghiệp xác nhận dữ liệu đã bị đưa ra ngoài không đồng nghĩa toàn bộ dữ liệu của mọi khách hàng đều đã bị đánh cắp hoặc công khai. Tương tự, việc tin tặc tuyên bố phát tán dữ liệu cũng chưa đủ để khẳng định toàn bộ nội dung đó là chính xác.
Trong trường hợp GMO, doanh nghiệp xác nhận thông tin khách hàng đã bị lấy khỏi dịch vụ, nhưng chưa xác định đầy đủ phạm vi và nội dung. Đối với dữ liệu được công bố ngày 27/10, công ty vẫn đang xác minh tính xác thực và cảnh báo khách hàng không truy cập hoặc phát tán dữ liệu được cho là bị rò rỉ.
GMO cũng cho biết thông tin thanh toán, bao gồm dữ liệu thẻ tín dụng, không được lưu trên máy chủ của dịch vụ này. Tuy nhiên, điều đó không loại trừ nguy cơ đối với các loại dữ liệu khác mà khách hàng tự lưu trữ, hoặc thông tin đăng nhập được sử dụng trên môi trường máy chủ.
Một rủi ro khác là các đối tượng có thể lợi dụng vụ việc để thực hiện những cuộc lừa đảo tiếp theo, chẳng hạn giả danh nhà cung cấp dịch vụ, gửi thông báo bồi thường giả hoặc yêu cầu người dùng cung cấp mật khẩu và mã xác thực.
Việc doanh nghiệp xác nhận dữ liệu đã bị đưa ra ngoài không đồng nghĩa toàn bộ dữ liệu của mọi khách hàng đều đã bị đánh cắp hoặc công khai. Tương tự, việc tin tặc tuyên bố phát tán dữ liệu cũng chưa đủ để khẳng định toàn bộ nội dung đó là chính xác.
Trong trường hợp GMO, doanh nghiệp xác nhận thông tin khách hàng đã bị lấy khỏi dịch vụ, nhưng chưa xác định đầy đủ phạm vi và nội dung. Đối với dữ liệu được công bố ngày 27/10, công ty vẫn đang xác minh tính xác thực và cảnh báo khách hàng không truy cập hoặc phát tán dữ liệu được cho là bị rò rỉ.
GMO cũng cho biết thông tin thanh toán, bao gồm dữ liệu thẻ tín dụng, không được lưu trên máy chủ của dịch vụ này. Tuy nhiên, điều đó không loại trừ nguy cơ đối với các loại dữ liệu khác mà khách hàng tự lưu trữ, hoặc thông tin đăng nhập được sử dụng trên môi trường máy chủ.
Một rủi ro khác là các đối tượng có thể lợi dụng vụ việc để thực hiện những cuộc lừa đảo tiếp theo, chẳng hạn giả danh nhà cung cấp dịch vụ, gửi thông báo bồi thường giả hoặc yêu cầu người dùng cung cấp mật khẩu và mã xác thực.
Người dùng cần làm gì để hạn chế thiệt hại?
Sự cố tại GMO cho thấy việc sử dụng dịch vụ đám mây cần đi kèm với kế hoạch bảo vệ tài khoản và dữ liệu, thay vì chỉ dựa vào cam kết bảo mật của nhà cung cấp.
Với người đang sử dụng dịch vụ bị ảnh hưởng, cần theo dõi thông báo chính thức, đổi các mật khẩu có nguy cơ bị lộ từ một thiết bị an toàn, đăng xuất các phiên truy cập còn hoạt động và kiểm tra lịch sử đăng nhập, giao dịch. Nếu phát hiện hoạt động bất thường, người dùng nên liên hệ ngay với nhà cung cấp dịch vụ hoặc tổ chức tài chính liên quan.
Nếu lưu mật khẩu hoặc thông tin xác thực trên máy chủ bị ảnh hưởng, cần thay đổi cả những thông tin đã được sử dụng lại ở dịch vụ khác. Người dùng cũng nên bật xác thực đa yếu tố khi có thể, quét mã độc trên thiết bị cá nhân và sao lưu dữ liệu quan trọng.
Đặc biệt, không nên truy cập các đường dẫn được cho là chứa dữ liệu bị đánh cắp, tải các tệp do tin tặc phát tán hoặc làm theo hướng dẫn từ những người tự nhận có thể khôi phục dữ liệu, hoàn tiền hay bồi thường thiệt hại. Hãy xác minh thông tin qua kênh chính thức của nhà cung cấp.
Với doanh nghiệp, sự cố cũng là lời nhắc cần rà soát những dữ liệu, tài khoản và khóa truy cập đang được lưu trên hạ tầng thuê ngoài; đồng thời chuẩn bị phương án chuyển đổi dịch vụ nếu nhà cung cấp phải ngừng hoạt động đột ngột.
Máy chủ đám mây giúp người dùng tiết kiệm chi phí và vận hành công việc linh hoạt hơn, nhưng không có nghĩa dữ liệu được bảo vệ tuyệt đối. Khi một nền tảng bị xâm nhập, mức độ thiệt hại còn phụ thuộc vào những thông tin đã lưu trên đó, quyền truy cập được cấp và khả năng ứng phó kịp thời của cả nhà cung cấp lẫn khách hàng.
Với người đang sử dụng dịch vụ bị ảnh hưởng, cần theo dõi thông báo chính thức, đổi các mật khẩu có nguy cơ bị lộ từ một thiết bị an toàn, đăng xuất các phiên truy cập còn hoạt động và kiểm tra lịch sử đăng nhập, giao dịch. Nếu phát hiện hoạt động bất thường, người dùng nên liên hệ ngay với nhà cung cấp dịch vụ hoặc tổ chức tài chính liên quan.
Nếu lưu mật khẩu hoặc thông tin xác thực trên máy chủ bị ảnh hưởng, cần thay đổi cả những thông tin đã được sử dụng lại ở dịch vụ khác. Người dùng cũng nên bật xác thực đa yếu tố khi có thể, quét mã độc trên thiết bị cá nhân và sao lưu dữ liệu quan trọng.
Đặc biệt, không nên truy cập các đường dẫn được cho là chứa dữ liệu bị đánh cắp, tải các tệp do tin tặc phát tán hoặc làm theo hướng dẫn từ những người tự nhận có thể khôi phục dữ liệu, hoàn tiền hay bồi thường thiệt hại. Hãy xác minh thông tin qua kênh chính thức của nhà cung cấp.
Với doanh nghiệp, sự cố cũng là lời nhắc cần rà soát những dữ liệu, tài khoản và khóa truy cập đang được lưu trên hạ tầng thuê ngoài; đồng thời chuẩn bị phương án chuyển đổi dịch vụ nếu nhà cung cấp phải ngừng hoạt động đột ngột.
Máy chủ đám mây giúp người dùng tiết kiệm chi phí và vận hành công việc linh hoạt hơn, nhưng không có nghĩa dữ liệu được bảo vệ tuyệt đối. Khi một nền tảng bị xâm nhập, mức độ thiệt hại còn phụ thuộc vào những thông tin đã lưu trên đó, quyền truy cập được cấp và khả năng ứng phó kịp thời của cả nhà cung cấp lẫn khách hàng.
