Khách sạn London để lộ thông tin đăng nhập trên bảng trắng
"A London hotel exposed the administrative login credentials for its booking website on a whiteboard accessible to the public. This allowed potential access to modify or cancel reservations, view guest data, and potentially launch phishing scams. The hotel was notified and corrected the issue by implementing unique logins and multi-factor authentication."
Sự cố này cho thấy lỗ hổng bảo mật nghiêm trọng trong quy trình quản lý thông tin đăng nhập, có thể dẫn đến mất dữ liệu khách hàng và gián đoạn hoạt động.
Uy tín của khách sạn có thể bị ảnh hưởng do rò rỉ thông tin cá nhân của khách hàng. Chi phí khắc phục sự cố và bồi thường thiệt hại cũng là một vấn đề đáng lưu ý.
Một khách sạn ở London để lộ tên người dùng và mật khẩu quản trị của trang web đặt phòng trên bảng trắng ở khu vực lễ tân. Neycho Tepavicharov, người sáng lập Flashcloud, phát hiện ra sự việc này khi ở lại khách sạn. Việc này có thể cho phép kẻ tấn công thay đổi hoặc hủy đặt phòng, xem dữ liệu khách hàng, hoặc thậm chí gửi email lừa đảo giả mạo từ tài khoản của khách sạn.
Khách sạn đã được thông báo về lỗ hổng này và đã khắc phục bằng cách tạo tài khoản đăng nhập riêng cho từng nhân viên và kích hoạt xác thực đa yếu tố (multi-factor authentication). Tepavicharov cho biết, việc sử dụng chung một tài khoản đăng nhập là nguyên nhân chính dẫn đến sự cố này.
Theo Tepavicharov, kẻ tấn công có thể lợi dụng thông tin này để gây rối hoạt động của khách sạn hoặc nhắm mục tiêu vào khách hàng bằng các chiêu trò lừa đảo tinh vi. Mức độ nghiêm trọng phụ thuộc vào cài đặt bảo mật của tài khoản. https://www.theregister.com/2026/11/12/london_hotel_admin_login_whiteboard/
Bài học rút ra là nên cấp tài khoản riêng cho mỗi nhân viên, bật xác thực hai yếu tố và lưu trữ mật khẩu trong trình quản lý mật khẩu, thay vì viết ra giấy.
Câu hỏi thường gặp
Thông tin gì đã bị lộ?
Tên người dùng và mật khẩu quản trị của trang web đặt phòng của khách sạn đã được viết trên bảng trắng ở khu vực lễ tân, nơi mọi người đều có thể nhìn thấy.
Kẻ tấn công có thể làm gì với thông tin này?
Kẻ tấn công có thể thay đổi hoặc hủy đặt phòng, xem thông tin cá nhân của khách hàng, hoặc gửi email lừa đảo giả mạo từ tài khoản của khách sạn.
Khách sạn đã khắc phục sự cố như thế nào?
Khách sạn đã thay đổi mật khẩu, tạo tài khoản đăng nhập riêng cho từng nhân viên và kích hoạt xác thực đa yếu tố.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự việc này cho thấy tầm quan trọng của việc đào tạo nhân viên về an ninh thông tin, ngay cả những quy trình bảo mật cơ bản nhất. Các doanh nghiệp Việt Nam, đặc biệt là các khách sạn, nhà hàng, cần xem xét lại quy trình quản lý mật khẩu và đảm bảo nhân viên tuân thủ các biện pháp bảo mật cần thiết. Việc triển khai xác thực đa yếu tố là một bước đi quan trọng để tăng cường bảo mật.