[비즈한국] Cựu CEO của đơn vị vận hành công ty mai mối ‘Modu-ui Ji-in’ đã bị tuyên án tù tại phiên tòa phúc thẩm với cáo buộc thuê hacker đánh cắp hơn 300.000 dữ liệu thông tin khách hàng của đối thủ cạnh tranh nhằm phục vụ mục đích kinh doanh. Cáo buộc xâm nhập trái phép vào hệ thống quản lý khách hàng của công ty đối thủ để lấy cắp thông tin hội viên cũng được tòa án xác nhận là có tội. Trong bối cảnh trách nhiệm bảo mật thông tin trong ngành dịch vụ mai mối đang được chú trọng sau các vụ rò rỉ dữ liệu cá nhân quy mô lớn gần đây, việc hành vi phạm tội của người đứng đầu doanh nghiệp nhằm tận dụng thông tin của đối thủ bị phanh phui đã làm dấy lên những lo ngại về thực trạng quản lý thông tin cá nhân trong ngành.
Vào ngày 18 tháng trước, Tòa án Hình sự số 8-3 thuộc Tòa án Trung tâm Seoul (Chánh án Choi Jin-sook) đã tuyên án 10 tháng tù giam đối với ông Shin, cựu CEO của công ty Techie, với các tội danh vi phạm Luật Bảo vệ thông tin cá nhân. Đối với pháp nhân công ty, tòa giữ nguyên mức phạt 7 triệu won như phiên sơ thẩm. Trước đó, phiên sơ thẩm đã tuyên phạt ông Shin 2 năm tù treo, thời gian thử thách 3 năm và 160 giờ lao động công ích, tuy nhiên, phiên phúc thẩm đã hủy bỏ phán quyết của tòa sơ thẩm và tuyên lại mức án mới.
Thuê hacker qua Telegram nhiều lần trong hơn 1 năm
Vào tháng 9 năm 2020, thông qua Telegram, ông Shin đã thuê một hacker chuyên nghiệp tấn công máy chủ web của các công ty mai mối và dịch vụ hẹn hò đối thủ, sau đó lần lượt nhận được các tệp thông tin khách hàng từ kẻ này. Hội đồng xét xử nhận định rằng, ông Shin đã nảy sinh ý định mua lại cơ sở dữ liệu (DB) thông tin khách hàng của các đối thủ hoặc tấn công máy chủ để chiếm đoạt thông tin từ khoảng tháng 6 cùng năm, trong quá trình thúc đẩy dự án kinh doanh mai mối.
Sau khi mua thông tin khách hàng của hai đối thủ, ông Shin tiếp tục yêu cầu hacker tấn công máy chủ của công ty mai mối A và công ty dịch vụ hẹn hò B. Hành vi phạm tội kéo dài đến tháng 12 năm 2021. Tổng cộng có 306.117 dữ liệu cá nhân của các hội viên đối thủ mà ông Shin đã thu thập được thông qua việc mua lại hoặc thuê hacker tấn công. Trong đó bao gồm không chỉ tên, số điện thoại mà còn cả tuổi tác, học vấn và nghề nghiệp. Theo bản án, ông Shin đã trả cho hacker khoảng 10 triệu won để đổi lấy việc thực hiện các hành vi phạm tội này.
Ngoài ra, tình tiết ông Shin trực tiếp chiếm đoạt thông tin hội viên của công ty khác trước khi thuê hacker cũng được tòa tuyên là có tội. Ngày 7 tháng 7 năm 2020, tại một quán cà phê ở quận Gangnam, Seoul, ông Sung, người đang thảo luận về việc khởi nghiệp cùng ông Shin và lúc đó đang làm việc tại một công ty đối thủ, đã truy cập vào hệ thống quản lý khách hàng bằng máy tính xách tay của ông Shin. Sau đó, khi nhận thấy máy tính có thể truy cập hệ thống mà không cần đăng nhập bổ sung, ông Shin đã lợi dụng lỗ hổng này để xâm nhập trái phép, đồng thời chụp màn hình và lưu lại thông tin tên, tuổi, số điện thoại, nghề nghiệp của 116 hội viên. Ông Sung, sau này trở thành đồng CEO của Modu-ui Ji-in, cũng từng bị điều tra liên quan nhưng được tuyên vô tội và không bị khởi tố.
Modu-ui Ji-in là một nền tảng mai mối kết hợp giữa tiếp thị nội dung trên YouTube và mai mối bằng trí tuệ nhân tạo (AI), xuất hiện trong bối cảnh ngành này vốn đã có những đơn vị lớn thống trị như Duo hay Gayeon. Đơn vị vận hành là công ty Techie đã gia nhập thị trường vào tháng 7 năm 2020 bằng cách bổ sung lĩnh vực cung cấp dịch vụ mai mối vào mục tiêu kinh doanh. Cùng thời điểm đó, sự xuất hiện của ông Sung, một người có tầm ảnh hưởng (influencer) được biết đến là chuyên gia ghép đôi, với vai trò đồng CEO đã thu hút được sự chú ý. Ông Sung, hiện đang giữ chức CEO, cũng từng bị điều tra về sự việc này nhưng được tuyên vô tội và không bị khởi tố, vụ việc này được xác định là hành vi phạm tội đơn phương của cựu CEO Shin.
Công ty mai mối quản lý dữ liệu nhạy cảm lại gần như ‘không có lá chắn’ trước hacker
Dữ liệu hội viên mà các công ty mai mối nắm giữ liên quan mật thiết đến đời tư hơn so với dữ liệu cá nhân của các dịch vụ thông thường. Nếu thông tin bị rò rỉ, không chỉ dừng lại ở các vụ lừa đảo hay thư rác mà còn dẫn đến xâm phạm quyền riêng tư nghiêm trọng. Lý do là vì ngoài thông tin cá nhân cơ bản, các dữ liệu này còn tích lũy chi tiết về lịch sử hôn nhân, quan hệ gia đình, học vấn, nơi làm việc, điều kiện cơ thể, cũng như lối sống và khuynh hướng của mỗi cá nhân. Vì là thị trường phát triển dựa trên nền tảng hội viên, các chuyên gia chỉ ra rằng trách nhiệm của doanh nghiệp trong việc quản lý an toàn thông tin khách hàng ngày càng trở nên quan trọng hơn.
Trên thực tế, tại công ty mai mối lớn hàng đầu Hàn Quốc là Duo, vào tháng 1 năm ngoái đã xảy ra sự việc máy tính làm việc của nhân viên bị hack, dẫn đến rò rỉ thông tin cá nhân của 427.464 hội viên chính thức. Các hạng mục bị rò rỉ bao gồm không chỉ tên, số điện thoại, địa chỉ mà còn cả tôn giáo, học vấn, nơi làm việc, thông tin sức khỏe cũng như lịch sử hôn nhân (ly hôn, tái hôn) và lý do. Sự việc chỉ được công bố sau khoảng 3 tháng kể từ khi xảy ra bởi Ủy ban Bảo vệ Thông tin Cá nhân.
Ủy ban Bảo vệ Thông tin Cá nhân đã áp dụng mức phạt 1,197 tỷ won và phạt tiền hành chính 13,2 triệu won đối với Duo, đồng thời tuyên bố lý do xử phạt là do "phản ứng sau sự cố yếu kém, chẳng hạn như không thông báo cho hội viên ngay cả khi đã phát hiện ra vụ rò rỉ". Hiện tại, khoảng 1.000 hội viên bị hại đang tiến hành các vụ kiện tập thể để yêu cầu bồi thường thiệt hại.
Liên quan đến vụ án của Modu-ui Ji-in, hội đồng xét xử phúc thẩm nhấn mạnh rằng thông tin bị xâm phạm chứa đựng các nội dung cá nhân như giới tính, tuổi tác, học vấn, nghề nghiệp, và các nạn nhân thậm chí chưa nhận được sự bồi thường xứng đáng. Tòa cũng cân nhắc tình tiết giảm nhẹ cho ông Shin do chưa từng có tiền án và thái độ ăn năn.
Theo đăng ký kinh doanh, ông Shin đã nhậm chức CEO từ tháng 2 năm 2020, nắm giữ vị trí CEO và thành viên hội đồng quản trị cho đến gần đây trước khi từ chức vào tháng 6 năm nay.
Liên quan đến vấn đề này, chúng tôi đã liên hệ với phía Modu-ui Ji-in để hỏi về kế hoạch bồi thường, biện pháp khắc phục cho các hội viên bị hại và các biện pháp ngăn ngừa tái diễn, tuy nhiên phía công ty không đưa ra phản hồi.