Số 457Quản lý Chất lượng

Optus (2022): lộ dữ liệu khoảng 9,5 triệu người Úc vì lỗi mã kiểm soát truy cập được sửa trên tên miền chính nhưng không trên tên miền bỏ quên

Tháng 9/2022, nhà mạng Optus (Úc) bị lấy dữ liệu khách hàng qua một API trên tên miền phụ không còn dùng. Theo hồ sơ khởi kiện của Cơ quan Truyền thông Úc (ACMA), một thay đổi mã năm 2018 làm vô hiệu kiểm soát truy cập của API; Optus phát hiện và sửa lỗi trên tên miền chính năm 2021 nhưng không sửa trên tên miền phụ. Cơ quan bảo vệ thông tin (OAIC) sau đó cũng khởi kiện. Bài học về quản lý chất lượng: sửa lỗi phải sửa mọi nơi lỗi tồn tại.

Nguyễn Thu Hà, PMP

31/08/2026

3 phút đọc 1

Bình luận0

Bối cảnh thực tế

Optus là nhà mạng viễn thông lớn thứ hai ở Úc. Ngày 22/9/2022, công ty công bố bị tấn công mạng làm lộ dữ liệu khách hàng hiện tại và cũ, gồm cả số giấy tờ tuỳ thân.

Theo hồ sơ khởi kiện của ACMA (2024) và OAIC (2025) — các cáo buộc chưa được toà kết luận:

Một API ít được dùng, ban đầu cho phép khách hàng truy cập thông tin qua một tên miền phụ, bị vô hiệu kiểm soát truy cập do một lỗi mã được đưa vào tháng 9/2018.
Tháng 8/2021, Optus phát hiện lỗi này trên tên miền chính và sửa, nhưng không phát hiện và sửa cùng lỗi trên tên miền phụ; tên miền phụ bị để không, không được gỡ bỏ.
Kẻ tấn công vượt qua kiểm soát truy cập của API và gửi yêu cầu lấy dữ liệu trong ba ngày của tháng 9/2022. ACMA cho rằng cuộc tấn công không đòi hỏi kỹ năng cao; Optus phản bác cách mô tả này.
OAIC cáo buộc Optus không thực hiện các bước hợp lý để bảo vệ thông tin cá nhân của khoảng 9,5 triệu người Úc trong giai đoạn từ 10/2019 đến 9/2022.

Phân tích nguyên nhân theo chuẩn PMP

Sửa lỗi không đi kèm phân tích phạm vi ảnh hưởng
Khi một lỗi kiểm soát truy cập được phát hiện, câu hỏi chất lượng đầu tiên là: "mã này còn chạy ở đâu nữa?". Thiếu bước này, khắc phục chỉ là sửa một biểu hiện của lỗi, không phải loại bỏ lỗi.
Tài sản bị bỏ quên không có chủ
Một tên miền phụ không còn dùng vẫn kết nối tới cơ sở dữ liệu khách hàng thật. Không có danh mục tài sản và quy trình gỡ bỏ, hệ thống "chết" vẫn là bề mặt tấn công sống.
Kiểm thử hồi quy không bao gồm kiểm soát an ninh
Một thay đổi mã năm 2018 làm hỏng kiểm soát truy cập mà không bị phát hiện suốt nhiều năm cho thấy bộ kiểm thử không có ca kiểm tra "truy cập không được phép phải bị từ chối".
Chi phí của chất lượng kém dồn về sau

Optus (2022): lộ dữ liệu khoảng 9,5 triệu người Úc vì lỗi mã kiểm soát truy cập được sửa trên tên miền chính nhưng không trên tên miền bỏ quên

Bối cảnh thực tế

Phân tích nguyên nhân theo chuẩn PMP

Sửa lỗi không đi kèm phân tích phạm vi ảnh hưởng

Tài sản bị bỏ quên không có chủ

Kiểm thử hồi quy không bao gồm kiểm soát an ninh

Chi phí của chất lượng kém dồn về sau

Lẽ ra PM nên làm gì

Bước 1: Quy trình khắc phục lỗi an ninh gồm bước "tìm mọi bản sao"

Bước 2: Kiểm thử âm tính cho kiểm soát truy cập trong pipeline

Bước 3: Gỡ bỏ chủ động các điểm truy cập không dùng

PM Takeaway (Bài học rút ra)

Nguồn tham khảo

Trắc nghiệm tình huống PMP

Nếu là trưởng nhóm chất lượng của Optus năm 2021 khi phát hiện lỗi trên tên miền chính, bạn sẽ đề xuất gì thêm?

Tình huống này hữu ích với bạn?

Bình luận (0)