Hơn 26 triệu hồ sơ xin việc bị lộ từ nền tảng tạo CV nổi tiếng

Hồ sơ xin việc bị lộ với số lượng lên tới hơn 26 triệu bản đang gây lo ngại trong cộng đồng mạng. Lỗi cấu hình từ một nền tảng tạo CV nổi tiếng đã khiến dữ liệu nhạy cảm của hàng triệu người dùng bị công khai trên internet, tạo điều kiện cho các cuộc tấn công lừa đảo tinh vi.

1. Hơn 26 triệu hồ sơ xin việc bị lộ do lỗ hổng bảo mật từ hệ thống lưu trữ đám mây

Mới đây, các chuyên gia bảo mật từ Cybernews đã phát hiện một cơ sở dữ liệu khổng lồ không được bảo vệ, làm rò rỉ hàng chục triệu thông tin nhạy cảm lên internet. Cụ thể, lỗ hổng này đến từ một Azure Blob Storage (dịch vụ lưu trữ đám mây của Microsoft) bị cấu hình sai, cho phép bất kỳ ai cũng có thể truy cập nếu biết đường dẫn.

Theo báo cáo, kho lưu trữ này chứa gần 26 triệu tập tin, phần lớn là CV và hồ sơ xin việc của công dân Mỹ, bao gồm đầy đủ họ tên, địa chỉ email, số điện thoại, trình độ học vấn, kinh nghiệm làm việc và các thông tin cá nhân khác.

Lỗ hổng dữ liệu của Azure Blob Storage làm lộ thông tin cá nhân của người dùng.

2. Kho dữ liệu "vàng" cho tội phạm mạng

Dù thoạt nghe có vẻ không quá nghiêm trọng nhưng các chuyên gia cảnh báo rằng việc hồ sơ xin việc bị lộ là "mỏ vàng" cho các nhóm tin tặc. Việc nắm trong tay thông tin chi tiết về những người đang tìm việc giúp tội phạm mạng dễ dàng thiết kế các chiến dịch lừa đảo tinh vi. Chẳng hạn, tội phạm lừa đảo gửi email giả mạo nhà tuyển dụng, dẫn dụ nạn nhân tải về mã độc hoặc cung cấp thông tin đăng nhập.

Một ví dụ điển hình là nhóm hacker Lazarus của Triều Tiên, từng nhiều lần lợi dụng các nền tảng như LinkedIn để tiếp cận ứng viên, giả làm nhà tuyển dụng và phát tán mã độc thông qua các "mô tả công việc" được ngụy trang tinh vi. Đôi khi, chúng còn tổ chức phỏng vấn giả và yêu cầu ứng viên thực hiện "bài kiểm tra" bằng cách tải về phần mềm độc hại.

Những hồ sơ xin việc bị lộ là cơ hội cho các tội phạm lừa đảo. 

Sau khi điều tra thêm, Cybernews xác định rằng kho dữ liệu nói trên thuộc về TalentHook - một nền tảng quản lý tuyển dụng trên nền tảng đám mây, chuyên kết nối bộ phận nhân sự với các ứng viên đang tìm việc.

Thông thường, khi phát hiện các hệ thống bị lộ như vậy, nhóm nghiên cứu sẽ thông báo ngay cho đơn vị sở hữu để khắc phục. Tuy nhiên, trong trường hợp này, TalentHook không phản hồi về việc đã khóa quyền truy cập hay chưa. Cybernews chỉ cho biết họ đã gửi khuyến nghị yêu cầu thay đổi quyền truy cập và bảo mật lại dữ liệu.

Điều này đồng nghĩa với việc kho dữ liệu có thể vẫn đang mở công khai trên internet và không loại trừ khả năng đã bị kẻ xấu truy cập.

Tính đến thời điểm bài viết, chưa có bằng chứng rõ ràng cho thấy những hồ sơ xin việc bị lộ  này đã bị lợi dụng trên thực tế. Tuy vậy, với lượng thông tin lớn và nhạy cảm như vậy, các chuyên gia cảnh báo rủi ro là rất cao, đặc biệt là với những người đang chủ động tìm kiếm cơ hội việc làm.

3. Khuyến nghị cho người dùng

Nếu bạn từng sử dụng các nền tảng tạo CV hoặc gửi hồ sơ trực tuyến tại thị trường Mỹ, hãy kiểm tra lại lịch sử hoạt động và email.

• Cẩn trọng với các email hoặc tin nhắn tuyển dụng từ nguồn không rõ ràng.

• Không tải về bất kỳ tài liệu nào từ người lạ nếu không xác minh được danh tính.

• Luôn sử dụng xác thực hai yếu tố và thay đổi mật khẩu thường xuyên.

Vụ rò rỉ này tiếp tục gióng lên hồi chuông cảnh báo về tầm quan trọng của bảo mật dữ liệu người dùng, đặc biệt là trong lĩnh vực tuyển dụng trực tuyến. Người dùng nên cẩn trọng khi chia sẻ thông tin cá nhân và luôn cảnh giác với các hình thức lừa đảo ngày càng tinh vi.