Hacker rao bán 176 triệu tài khoản Starbucks với giá 400 USD: Chưa xác thực nhưng người dùng cần làm ngay điều này

Một tài khoản sử dụng biệt danh "anes2010" trên diễn đàn tội phạm mạng vừa đăng rao bán cơ sở dữ liệu được cho là chứa 176 triệu bản ghi người dùng Starbucks, với mức giá 400 USD và kèm theo dữ liệu mẫu làm bằng chứng.

Tính đến thời điểm bài viết này được công bố, Starbucks chưa đưa ra bất kỳ xác nhận nào, và chưa có tổ chức bảo mật độc lập nào xác minh tính xác thực của cơ sở dữ liệu này. Toàn bộ cáo buộc cần được xem là thông tin chưa được kiểm chứng.

Theo nội dung rao bán, dữ liệu được cho là trích xuất vào tháng 6 năm 2026 và bao gồm một danh sách thông tin đáng lo ngại về mức độ chi tiết: địa chỉ email, mã băm mật khẩu, tên người dùng, ngày sinh, quốc gia và thành phố cư trú, ngày tạo tài khoản, lịch sử hoạt động, điểm Starbucks Rewards và số sao tích lũy, tổng chi tiêu, số dư thẻ Starbucks, cài đặt nạp tiền tự động, cửa hàng yêu thích và đồ uống ưa thích.

Nếu thông tin này là thật, đây không phải dạng rò rỉ dữ liệu thông thường mà là hồ sơ hành vi tiêu dùng chi tiết của hàng chục triệu người.

Tuy nhiên, cần lưu ý rằng các diễn đàn tội phạm mạng thường xuất hiện những rao bán dữ liệu được phóng đại, lỗi thời hoặc tổng hợp từ nhiều vụ rò rỉ trước đó từ các nguồn khác nhau.

Không có gì đảm bảo dữ liệu trong rao bán này thực sự đến từ hệ thống của Starbucks hay được thu thập vào thời điểm được tuyên bố. Các chuyên gia bảo mật thường khuyến cáo không nên kết luận về độ xác thực của một vụ rò rỉ cho đến khi có xác minh độc lập hoặc thông báo chính thức từ tổ chức liên quan.

Dù vậy, dù cáo buộc chưa được xác minh, người dùng Starbucks vẫn có lý do để hành động ngay bây giờ thay vì chờ đợi. Chương trình Starbucks Rewards kết nối trực tiếp với phương thức thanh toán, lưu trữ lịch sử giao dịch và số dư thẻ có giá trị thực. Nếu mã băm mật khẩu trong cơ sở dữ liệu bị bẻ khóa và người dùng đang dùng chung mật khẩu đó cho nhiều tài khoản khác, rủi ro lan rộng ra ngoài phạm vi Starbucks rất nhanh.

Các bước người dùng nên thực hiện ngay bao gồm đổi mật khẩu tài khoản Starbucks, đặc biệt nếu đang dùng mật khẩu đó ở nơi khác, và bật xác thực hai bước nếu ứng dụng hỗ trợ. Theo dõi điểm Rewards và số dư thẻ Starbucks thường xuyên để phát hiện giao dịch lạ.

Cảnh giác với các email hoặc tin nhắn tự xưng là Starbucks yêu cầu xác minh tài khoản hay đổi mật khẩu, đây là dạng lừa đảo thường xuất hiện sau các thông tin rò rỉ dù chưa được xác nhận, vì kẻ xấu lợi dụng sự lo lắng của người dùng để tạo ra các chiến dịch giả mạo có độ tin cậy cao hơn bình thường.

Starbucks chưa phản hồi yêu cầu bình luận về vụ việc này. Diễn biến tiếp theo phụ thuộc vào việc liệu công ty có tiến hành điều tra nội bộ và công bố kết quả hay không, hoặc liệu các nhà nghiên cứu bảo mật độc lập có thể xác minh hay bác bỏ tính xác thực của cơ sở dữ liệu trong thời gian tới.