EU phạt Meta 106 triệu USD vì lưu trữ mật khẩu người dùng kém an toàn

Vào năm 2019, khi Meta đã vô tình lưu trữ mật khẩu người dùng ở dạng văn bản thuần túy và không có biện pháp bảo vệ như mã hóa, vi phạm quy định GDPR của Liên minh Châu Âu (EU) dẫn đến bị phạt.

Sau một cuộc điều tra kéo dài, Ủy viên bảo vệ dữ liệu Ireland (DPC) đã quyết định phạt Meta số tiền 91 triệu EUR (tương đương gần 106 triệu USD) vì hành vi lưu trữ hàng trăm triệu mật khẩu người dùng Facebook mà không có biện pháp bảo vệ như mã hóa. DPC cũng đã đưa ra lời khiển trách đối với gã khổng lồ truyền thông xã hội này.

Công ty mẹ của Facebook đã thông báo cho DPC về sự cố vào tháng 4/2019 và khẳng định rằng bên ngoài không thể truy cập vào những mật khẩu này. Tuy nhiên, DPC đã không chấp nhận điều này và cuộc điều tra gần đây đã chỉ ra rằng Meta đã vi phạm Quy định bảo vệ dữ liệu chung (GDPR) của EU. Theo quy định này, các công ty phải đảm bảo rằng dữ liệu cá nhân được bảo mật và phải thông báo kịp thời cho cơ quan giám sát về bất kỳ vi phạm nào. Mặc dù Meta đã thông báo cho DPC về vấn đề liên quan đến việc lưu trữ mật khẩu, nhưng cuộc điều tra cho thấy thông báo này không đáp ứng yêu cầu về thời gian và tính toàn diện theo quy định của GDPR.

Cụ thể, GDPR yêu cầu các công ty phải báo cáo vi phạm dữ liệu cá nhân trong vòng 72 giờ kể từ khi phát hiện. DPC cũng chỉ ra rằng Meta đã không ghi lại đầy đủ các vi phạm dữ liệu cá nhân, ngay cả sau khi đã thông báo cho cơ quan này. Hơn nữa, DPC phát hiện Meta chưa triển khai các biện pháp kỹ thuật và tổ chức cần thiết để bảo vệ mật khẩu của người dùng khỏi việc xử lý trái phép.

Phó ủy viên Graham Doyle tại DPC nhấn mạnh tính nghiêm trọng của sai sót này, cho rằng việc lưu trữ mật khẩu ở dạng văn bản thuần túy là một rủi ro lớn. Ông cho biết: “Mật khẩu người dùng không nên được lưu trữ ở dạng văn bản thuần túy, xét đến rủi ro bị lạm dụng phát sinh từ những người truy cập dữ liệu đó”.

Trong tuyên bố gửi đến TechCrunch, đại diện của Meta, Matthew Pollard, khẳng định rằng công ty đã “hành động ngay lập tức” để khắc phục lỗi trong quy trình quản lý mật khẩu. Ông cũng nói rằng: “Chúng tôi đã chủ động báo cáo vấn đề này với cơ quan quản lý chính của mình, DPC, và đã hợp tác chặt chẽ với họ trong suốt quá trình điều tra.”.

Được biết, Meta đã phải đối mặt với những khoản tiền phạt lớn nhất liên quan đến vi phạm GDPR kể từ khi luật này có hiệu lực. Đặc biệt, vào tháng 5/2023, công ty đã bị DPC phạt 1,31 tỷ USD do vi phạm quy định chuyển dữ liệu cá nhân của người dùng Facebook ra ngoài EU. Trước đó, vào tháng 1 cùng năm, Meta cũng bị phạt 426 triệu USD vì không có cơ sở pháp lý hợp lệ để xử lý dữ liệu người dùng cho mục đích quảng cáo trên Instagram và Facebook.

Ngoài ra, vào tháng 9/2021, công ty đã bị phạt 443 triệu USD do những sai sót trong việc xử lý dữ liệu của trẻ vị thành niên trên Instagram. Meta cũng bị phát hiện vi phạm GDPR do các lỗi kỹ thuật, chẳng hạn như lưu trữ mật khẩu ở dạng văn bản thuần túy. Vào tháng 11/2022, DPC đã phạt Meta số tiền 290 triệu USD khi các tính năng nền tảng, bao gồm công cụ nhập danh bạ và tìm kiếm, đã khiến dữ liệu cá nhân của hàng trăm triệu người dùng có nguy cơ bị lộ cho tất cả người dùng khác.