Meta bị EU phạt 264 triệu USD vì vi phạm bảo mật dữ liệu từ năm 2018

Ủy ban Bảo vệ Dữ liệu của Ireland đã ban hành quyết định phạt kể trên với Meta – công ty mẹ của Facebook sau khi kết thúc cuộc điều tra về một vụ vi phạm diễn ra từ năm 2018, khi tin tặc xâm nhập được vào tài khoản người dùng bằng cách khai thác lỗi trong mã của nền tảng, cho phép chúng đánh cắp khóa kỹ thuật số, được gọi là "mã thông báo truy cập".

Theo chế độ bảo mật nghiêm ngặt của EU gồm 27 quốc gia, cơ quan giám sát của Ireland là cơ quan quản lý quyền riêng tư hàng đầu của Meta vì trụ sở khu vực của công ty đặt tại Dublin.

Cơ quan giám sát đã đưa ra lời khiển trách và "phạt hành chính" 251 triệu euro (264 triệu USD) sau khi phát hiện nhiều hành vi vi phạm các quy tắc được gọi là Quy định bảo vệ dữ liệu chung.

Vụ tấn công liên quan đến ba lỗi riêng biệt trong tính năng "Xem dưới dạng" của Facebook, cho phép người dùng xem hồ sơ của họ hiển thị như thế nào với người khác. Những kẻ tấn công đã sử dụng lỗ hổng này để đánh cắp mã thông báo truy cập từ tài khoản của những người có hồ sơ suất hiện trong các tìm kiếm bằng tính năng "Xem dưới dạng". Sau đó, cuộc tấn công chuyển từ bạn bè Facebook của người dùng này sang người dùng khác. Việc sở hữu các mã thông báo đó sẽ cho phép kẻ tấn công kiểm soát các tài khoản đó.

DPC cho biết, lỗ hổng này dẫn đến việc vi phạm dữ liệu cá nhân của 29 triệu người dùng bao gồm: họ tên đầy đủ, thông tin liên lạc, địa điểm, nơi làm việc, ngày sinh, tôn giáo, giới tính và dữ liệu cá nhân của con cái họ.

Phó Ủy viên DPC Graham Doyle cho biết trong một tuyên bố: "Bằng cách cho phép tiết lộ thông tin hồ sơ trái phép, các lỗ hổng đằng sau vụ vi phạm này đã gây ra nguy cơ nghiêm trọng về việc sử dụng sai mục đích các loại dữ liệu này".

Meta đã khắc phục vi phạm ngay sau khi phát hiện. Trong số 29 triệu tài khoản Facebook bị ảnh hưởng trên toàn cầu, có khoảng 3 triệu tài khoản có trụ sở tại EU và Khu vực kinh tế châu Âu.

Cho đến nay, EU đã phạt Meta gần 3 tỷ euro vì vi phạm Quy định bảo vệ dữ liệu chung (GDPR) của khối được ban hành vào năm 2018, bao gồm khoản tiền phạt kỷ lục 1,2 tỷ euro vào năm 2023 mà Meta đang kháng cáo.
Meta cho biết, họ sẽ kháng cáo quyết định mới nhất và sẽ áp dụng nhiều biện pháp để bảo vệ người dùng trên các nền tảng của mình.

"Quyết định này liên quan đến một sự cố từ năm 2018. Chúng tôi đã hành động ngay lập tức để khắc phục sự cố ngay khi phát hiện ra và chủ động thông báo cho những người bị ảnh hưởng cũng như Ủy ban Bảo vệ Dữ liệu Ireland", người phát ngôn của Meta cho biết.