British Airways (2018): mã độc trên trang thanh toán, dữ liệu thẻ lưu dạng văn bản thô và khoản phạt GDPR rút từ 183 xuống 20 triệu bảng

Từ tháng 6 đến ngày 5/9/2018, kẻ tấn công xâm nhập mạng BA và cài 22 dòng JavaScript vào trang thanh toán để đánh cắp dữ liệu thẻ; Cơ quan ICO (Anh) xác định dữ liệu của khoảng 429.612 người có thể bị truy cập. BA báo ICO sau một ngày và bị phạt 20 triệu bảng (từ mức đề xuất 183,39 triệu) vào tháng 10/2020. Bài học: rủi ro quyền riêng tư, kiểm soát truy cập của bên thứ ba và thiết lập dự án tuân thủ GDPR.

Nguyễn Thu Hà, PMP

04/09/2026

4 phút đọc 0

Bình luận0

Bối cảnh thực tế

British Airways (BA) vận hành website và ứng dụng đặt vé phục vụ hàng triệu hành khách. Theo bản tổng hợp từ các nguồn công khai (kể cả kết luận của ICO) về vụ việc năm 2018:

22/6/2018: kẻ tấn công vào mạng BA bằng thông tin đăng nhập bị đánh cắp của một nhân viên thuộc bên thứ ba (Swissport, đơn vị xử lý hàng hoá); các tài khoản này không có xác thực đa yếu tố.
26/7/2018: kẻ tấn công truy cập các tệp văn bản chứa thông tin thẻ của giao dịch đổi thưởng. Dữ liệu thẻ bị ghi dạng văn bản thô từ tháng 12/2015 do một tính năng kiểm thử vẫn được bật sau khi hệ thống chạy thật.
14–25/8/2018: 22 dòng mã JavaScript được chèn vào trang thanh toán, chuyển dữ liệu thẻ khách hàng sang một trang do kẻ tấn công kiểm soát. Các nhà phân tích liên hệ vụ việc với nhóm Magecart.
5/9/2018: một bên thứ ba cảnh báo BA; mã độc bị gỡ trong vòng 90 phút. Ngày 6/9/2018, BA thông báo cho ICO và 496.636 khách hàng bị ảnh hưởng.

ICO đề xuất mức phạt 183,39 triệu bảng năm 2019, nêu lý do "an ninh kém". Ngày 16/10/2020, mức phạt chính thức là 20 triệu bảng, sau khi trừ 6 triệu cho các biện pháp khắc phục của BA và 4 triệu do khó khăn tài chính vì COVID-19. ICO kết luận khoảng 429.612 người có dữ liệu bị truy cập, trong đó khoảng 244.000 bị lộ cả tên, địa chỉ, số thẻ, ngày hết hạn và CVV.

Phân tích nguyên nhân theo chuẩn PMP

Rủi ro quyền riêng tư không được xử lý như yêu cầu của dự án (Plan Scope / Plan Quality)
GDPR yêu cầu bảo vệ dữ liệu ngay từ khâu thiết kế (privacy by design) và giảm thiểu dữ liệu. Việc lưu số thẻ và CVV dạng văn bản thô vì tính năng kiểm thử bị bỏ quên cho thấy yêu cầu này không được đưa vào tiêu chí chấp nhận và danh mục kiểm tra trước khi go-live.
Quản lý rủi ro truy cập bên thứ ba (Identify Risks)
Tài khoản của đối tác bên ngoài không có xác thực đa yếu tố nhưng có đường vào hệ thống nhạy cảm. Danh mục rủi ro cần xét cả chuỗi quan hệ: ai ngoài tổ chức có quyền gì, kiểm soát nào áp dụng.

British Airways (2018): mã độc trên trang thanh toán, dữ liệu thẻ lưu dạng văn bản thô và khoản phạt GDPR rút từ 183 xuống 20 triệu bảng

Bối cảnh thực tế

Phân tích nguyên nhân theo chuẩn PMP

Rủi ro quyền riêng tư không được xử lý như yêu cầu của dự án (Plan Scope / Plan Quality)

Quản lý rủi ro truy cập bên thứ ba (Identify Risks)

Giám sát và phát hiện chậm (Monitor Risks)

Ứng phó sự cố: điểm sáng và bài học

Lẽ ra PM nên làm gì

Bước 1: Đưa yêu cầu quyền riêng tư và bảo mật dữ liệu vào tiêu chí chấp nhận

Bước 2: Phân cấp quyền truy cập của đối tác theo mức nhạy cảm

Bước 3: Giám sát toàn vẹn trang thanh toán và phát hiện thay đổi trái phép

Bước 4: Duy trì và diễn tập quy trình thông báo sự cố theo GDPR

PM Takeaway (Bài học rút ra)

Nguồn tham khảo

Trắc nghiệm tình huống PMP

Để giảm rủi ro rò rỉ dữ liệu thẻ trên trang thanh toán, bạn ưu tiên biện pháp nào?

Tình huống này hữu ích với bạn?

Bình luận (0)