Meta từng lưu hơn nửa tỷ mật khẩu người dùng Facebook và Instagram dưới dạng văn bản thuần túy trong một thập kỷ thay vì mã hóa chúng.
Vấn đề lần đầu được phát hiện năm 2019 khi Meta, khi đó là Facebook, thừa nhận "hàng trăm triệu" mật khẩu đã được lưu trữ mà không có biện pháp mã hóa. Công ty của Mark Zuckerberg nói mật khẩu "không thể truy cập từ bên ngoài công ty", nhưng cũng thừa nhận khoảng 2.000 kỹ sư đã thực hiện hơn 9 triệu truy vấn trên cơ sở dữ liệu này.
Giờ đây, con số hơn 600 triệu mật khẩu không mã hóa kể trên đã được công khai tại Ireland sau cuộc điều tra kéo dài 5 năm của Ủy ban Bảo vệ Dữ liệu Ireland (DPC). Meta bị phạt 101,5 triệu USD, áp dụng theo Quy định chung về bảo vệ dữ liệu (GDPR) của châu Âu.
"Đối với hầu hết người dùng, mật khẩu không nên được lưu trữ dưới dạng văn bản thuần túy do những rủi ro lạm dụng khi có người truy cập vào dữ liệu đó", ông Graham Doyle, phó ủy viên DPC nói về mức phạt áp dụng với Meta. "Lưu ý rằng, số lượng mật khẩu trong trường hợp này đặc biệt nhạy cảm, vì chúng sẽ cho phép truy cập vào tài khoản mạng xã hội của người dùng".
Logo Meta và các dịch vụ mạng xã hội của công ty hiển thị trên màn hình smartphone. Ảnh: DPA
Meta tại Ireland bị kết luận vi phạm bốn điều khoản trong GDPR, một trong đó là "không thông báo cho DPC về sự cố rò rỉ dữ liệu cá nhân liên quan đến việc lưu trữ mật khẩu người dùng dưới dạng văn bản thuần túy". Thực tế, Meta Ireland đã báo cáo sự cố, nhưng muộn hơn vài tháng sau khi được phát hiện.
Ngoài mức phạt và thông báo cảnh cáo, toàn bộ quyết định của DPC vẫn chưa được công khai. Theo Apple Insider, rất có khả năng vấn đề chỉ liên quan đến người dùng ngoài Mỹ, vì năm 2019, Facebook nói với CNN rằng phần lớn mật khẩu dạng văn bản thuần túy là dành cho một dịch vụ gọi là Facebook Lite - ứng dụng gọn nhẹ dành cho các khu vực trên thế giới có kết nối Internet chậm hơn.
Tuy nhiên, Meta hiện cũng kháng cáo một quyết định của DPC vào năm 2023 liên quan đến GDPR, có thể bao gồm dữ liệu của người dùng Mỹ. Theo MoneyCheck, Meta bị phạt khoảng 1,3 tỷ USD vì vi phạm quy định bảo vệ dữ liệu liên quan đến việc chuyển dữ liệu người dùng giữa EU và Mỹ.
Phán quyết mới của Ireland diễn ra sau nhiều năm Meta vấp phải các vụ bê bối về quyền riêng tư và bảo mật. Trước đó, công ty của Zuckerberg cũng bị điều tra bởi các cơ quan liên bang Mỹ và nhiều nơi khác trên thế giới về việc chia sẻ dữ liệu với các công ty khác, nổi tiếng nhất là vụ Cambridge Analytica.
Bảo Lâm
- Mark Zuckerberg nói 'đã chán ngấy phải xin lỗi'
- Meta dùng bot thu thập dữ liệu web để huấn luyện AI
- Meta bị phạt 1,4 tỷ USD vì thu thập khuôn mặt người dùng
- Phiền toái vì ảnh thật bị Facebook, Instagram gắn thẻ 'ảnh AI'
- Số người dùng Facebook, Instagram bằng gần nửa dân số thế giới