Vishing giả mạo “Qantas IT help” dẫn đến rò rỉ dữ liệu 5,7 triệu khách
"Australia’s Privacy Commissioner determined that Qantas’ 2025 breach, which exposed personally identifiable information for 5.7 million customers, was triggered by a tech support scam and vishing attack against a contact center. The report found Qantas had taken reasonable security and privacy steps, including role-based access controls, employee training, and data retention practices, so no formal privacy probe was opened; no CVEs were involved."
Sự cố cho thấy rủi ro từ social engineering/vishing có thể vượt qua kiểm soát truy cập theo vai trò nếu quy trình vận hành bị lợi dụng, dẫn đến lộ PII của 5,7 triệu khách.
Dù cơ quan quản lý không mở điều tra chính thức, sự cố có thể kéo theo chi phí pháp lý và ảnh hưởng niềm tin khách hàng; báo cáo cũng cho biết khả năng có kiện tập thể.
Cơ quan Ủy ban Quyền riêng tư của Australia vừa công bố kết luận về sự cố rò rỉ dữ liệu lớn năm 2025 tại hãng hàng không Qantas. Theo báo cáo, một chiêu lừa hỗ trợ kỹ thuật giả mạo kết hợp vishing nhắm vào trung tâm liên hệ đã dẫn đến việc lộ PII của 5,7 triệu khách. Dù có rò rỉ thông tin cá nhân, cơ quan quản lý cho rằng Qantas không vi phạm nghĩa vụ quyền riêng tư theo các nguyên tắc áp dụng.
Trước đó, Qantas thừa nhận đây là tấn công kỹ thuật xã hội: kẻ giả danh “Qantas IT help” gọi điện và hướng dẫn nhân viên trung tâm liên hệ truy cập một hệ thống CRM để thực hiện các thao tác nhằm “đóng” một ticket hỗ trợ. Thay vì đóng ticket, các thao tác đã kết nối CRM với một công cụ trích xuất dữ liệu, qua đó kẻ tấn công thu thập hồ sơ khách hàng.
Báo cáo đánh giá Qantas đã thực hiện các biện pháp phù hợp như kiểm soát truy cập theo vai trò, đào tạo nhân viên định kỳ về xử lý PII, kiểm tra nhận thức bảo mật và rà soát nhà cung cấp vận hành trung tâm liên hệ. Ngoài ra, hãng có lịch xóa dữ liệu định kỳ từ CRM và không phát hiện bản ghi cần xóa tại thời điểm xảy ra tấn công. Cơ quan quản lý vì vậy quyết định không mở điều tra chính thức.
Khuyến nghị: doanh nghiệp nên tăng cường quy trình xác minh yêu cầu từ “IT/Helpdesk”, hạn chế khả năng thực thi thao tác nhạy cảm qua kênh hỗ trợ, và tiếp tục kiểm tra định kỳ hiệu quả RBAC cùng đào tạo chống vishing cho đội vận hành trung tâm liên hệ.