Carhartt xác nhận rò rỉ dữ liệu ảnh hưởng 12,9 triệu tài khoản
"Carhartt’s data breach was reassessed by Troy Hunt and Have I Been Pwned, which concluded that 12,933,413 accounts were genuinely affected—about half the number claimed by ShinyHunters. The leaked dataset contained names, email addresses, phone numbers, and physical addresses, but much of the dump was padded with synthetic or suspicious records; no CVE was involved, and the practical fix was breach validation and exposure notification rather than a software patch."
Ảnh hưởng đến dữ liệu cá nhân ở quy mô lớn, gồm email, số điện thoại và địa chỉ; cần xác minh phạm vi thực tế và cảnh báo người dùng. Không có CVE hay bản vá phần mềm liên quan.
Có thể gây rủi ro uy tín, khiếu nại khách hàng và tăng khối lượng xử lý sự cố; cần truyền thông minh bạch và rà soát dữ liệu bị lộ để giảm tác động vận hành.
Theo đánh giá của Troy Hunt và dịch vụ Have I Been Pwned (HIBP), vụ rò rỉ dữ liệu liên quan đến Carhartt thực sự ảnh hưởng khoảng 12.933.413 tài khoản, thấp hơn khoảng một nửa so với con số mà ShinyHunters công bố. Bộ dữ liệu bị rò rỉ chứa tên, email, số điện thoại và địa chỉ vật lý, nhưng phần lớn đã bị trộn thêm nhiều bản ghi giả lập hoặc đáng ngờ, khiến số lượng nạn nhân bị thổi phồng.
Quá trình thẩm định cho thấy có nhiều dấu hiệu bất thường như miền email .edu và .org không phù hợp với dữ liệu khách hàng bán lẻ, địa chỉ ở các quốc gia không phải thị trường chính, cùng các ngày sinh từ đầu thế kỷ 20. Sau khi loại bỏ các bản ghi không hợp lệ, HIBP kết luận phần lớn dữ liệu đã từng xuất hiện trong các vụ rò rỉ trước đó.
Vụ việc không liên quan CVE hay lỗ hổng phần mềm cụ thể. Ưu tiên kỹ thuật hiện nay là xác minh phạm vi rò rỉ, thông báo cho người dùng bị ảnh hưởng, rà soát các tài khoản trùng lặp hoặc bị vô hiệu hóa, và tăng cường giám sát các dấu hiệu lạm dụng danh tính. Doanh nghiệp cũng nên thận trọng với các con số do nhóm tấn công công bố và chỉ dựa trên nguồn thẩm định độc lập.