1 điểm bởi GN⁺ 2025-11-29 | 1 bình luận | Chia sẻ qua WhatsApp
  • Vào ngày 8 tháng 11 năm 2025, Mixpanel đã phát hiện một cuộc tấn công smishing ảnh hưởng đến một số khách hàng và ngay lập tức kích hoạt quy trình ứng phó
  • Công ty đã triển khai các biện pháp toàn diện như chặn truy cập trái phép, bảo vệ các tài khoản bị ảnh hưởngphối hợp với các đối tác an ninh mạng bên ngoài
  • Các biện pháp ứng phó bao gồm kết thúc phiên, thay thế thông tin xác thực, chặn IP độc hạiđặt lại toàn bộ mật khẩu nhân viên
  • Mixpanel đã thông báo trực tiếp cho các khách hàng bị ảnh hưởng, đồng thời nêu rõ rằng những người không nhận được liên hệ là không bị tác động
  • Từ sự cố này, công ty tiếp tục coi tăng cường bảo mật và minh bạch là ưu tiên hàng đầu

Tổng quan sự cố bảo mật gần đây

  • Vào ngày 8 tháng 11 năm 2025, Mixpanel đã phát hiện một chiến dịch smishing và ngay lập tức kích hoạt quy trình ứng phó sự cố
    • Thực hiện các biện pháp nhằm chặn truy cập trái phép và bảo vệ các tài khoản người dùng bị ảnh hưởng
    • Huy động các đối tác an ninh mạng bên ngoài để hỗ trợ khôi phục và ứng phó sự cố
  • Mixpanel đã liên hệ trực tiếp với tất cả khách hàng bị ảnh hưởng, và nêu rõ rằng những khách hàng không nhận được liên hệ là không bị tác động
  • Công ty cho biết bảo mật là giá trị cốt lõi, đồng thời sẽ tiếp tục hỗ trợ khách hàng và duy trì trao đổi minh bạch

Chi tiết biện pháp ứng phó

  • Bảo vệ các tài khoản bị ảnh hưởngthu hồi mọi phiên hoạt động và đăng nhập
  • Thay thế thông tin xác thực bị xâm phạmchặn các địa chỉ IP độc hại
  • Đăng ký IOC (Indicators of Compromise) vào nền tảng SIEM để tăng cường phát hiện mối đe dọa
  • Thực hiện đặt lại toàn bộ mật khẩu cho toàn thể nhân viên
  • Thuê đơn vị pháp chứng số bên ngoài để phân tích nguyên nhân sự cố và tư vấn biện pháp ngăn chặn
  • Tiến hành rà soát pháp chứng đối với log xác thực, phiên và xuất dữ liệu
  • Áp dụng các biện pháp kiểm soát bảo mật bổ sung để phát hiện và ngăn chặn các hoạt động tương tự trong tương lai
  • Phối hợp với cơ quan thực thi pháp luật và nhóm cố vấn bảo mật bên ngoài

Hướng dẫn cho khách hàng

  • Khách hàng nhận được liên hệ từ Mixpanel sẽ được hướng dẫn về các biện pháp bảo vệ tài khoản và các bước tiếp theo
  • Khách hàng không nhận được liên hệ thì không cần thực hiện thêm hành động nào, tài khoản không bị ảnh hưởng
  • Có thể gửi câu hỏi qua support@mixpanel.com

Quan điểm của công ty

  • Mixpanel tái khẳng định tăng cường bảo mật và giao tiếp minh bạch sau sự cố này
  • Công ty sẽ tiếp tục duy trì việc bảo vệ dữ liệu khách hàng là nguyên tắc cốt lõi của sản phẩm và dịch vụ
  • Trong thời gian tới, công ty có kế hoạch tiếp tục cải thiện hệ thống ứng phó sự cố bảo mậtmở rộng hợp tác bên ngoài

1 bình luận

 
GN⁺ 2025-11-29
Ý kiến trên Hacker News
  • Tôi thật sự không thích cách bài này diễn đạt
    Hoàn toàn không có con số hay mốc thời gian cụ thể về việc hệ thống nào đã bị truy cập, thông tin nào đã bị lộ, và họ đã phản ứng “tích cực” đến mức nào
    Trích dẫn trong bài viết nói rằng “Mixpanel đã phát hiện một chiến dịch smishing”, nhưng không rõ ai là đối tượng bị nhắm tới hay quy mô ra sao
    Họ nói đã “chặn truy cập trái phép và thực hiện các biện pháp bảo mật”, vậy rõ ràng là đã có xâm phạm, nhưng không đề cập đó là tài khoản hay hệ thống nào
    Việc họ “đặt lại mật khẩu cho toàn bộ nhân viên” dường như cho thấy họ đã dự đoán khả năng thông tin xác thực nội bộ bị lộ

    • Cũng giống như gọi “tai nạn gia đình” là “sự việc gia đình gần đây”, giọng điệu mơ hồ và mang tính phòng thủ của bài này khiến tôi khó chịu
      Câu “chia sẻ vì mục tiêu minh bạch” cũng nghe như một lời xin lỗi vô cảm kiểu “chúng tôi hoàn tiền cho bạn như một cử chỉ thiện chí”
    • Thông báo của OpenAI về cùng sự việc thì rõ ràng và đáng tin hơn nhiều
    • Tôi tự hỏi liệu có phải OpenAI về cơ bản đã công bố trước, khiến Mixpanel buộc phải công khai theo hay không
    • Việc công bố vào đúng ngày Lễ Tạ ơn cũng có vẻ là một lựa chọn thời điểm có chủ đích
    • Tôi cũng đã nhận được một thông báo nhiều thông tin hơn hẳn từ phía OpenAI vào ngày hôm trước
  • Bài viết của Mixpanel tạo cảm giác thiếu sót và thiếu minh bạch hơn rất nhiều so với thông báo của OpenAI
    Dù hẳn là Mixpanel nắm nhiều thông tin hơn, nhưng họ lại công bố ít hơn rất nhiều
    Đây là điều giáng đòn mạnh vào độ tin cậy của công ty

    • Cuối cùng OpenAI đã loại Mixpanel khỏi danh sách nhà cung cấp
      Câu “ngừng sử dụng Mixpanel vì không đáp ứng các tiêu chuẩn bảo mật và quyền riêng tư” là một thông điệp rất mạnh
    • Cointracker cũng được cho là đã gửi email tương tự gần như cùng thời điểm. Có lẽ họ đã dùng một mẫu chung
  • Mixpanel đã biết về sự việc từ ngày 8 tháng 11, nhưng mãi đến ngày trước Lễ Tạ ơn mới công bố, điều này thật đáng thất vọng

    • Có vẻ điều này đã vi phạm quy định thông báo trong vòng 72 giờ của GDPR
  • Thông báo của Mixpanel khá rối rắm
    Tôi đã đóng tài khoản rồi mà vẫn nhận được “email liên quan đến sự cố bảo mật”
    Không rõ tài khoản đã đóng đó có bị ảnh hưởng hay không

    • Việc đóng tài khoản không có nghĩa là dữ liệu sẽ bị xóa ngay lập tức
      Nếu bạn nhận được email thì rất có thể dữ liệu vẫn còn được lưu giữ
    • Nhận được email không nhất thiết có nghĩa là bạn bị ảnh hưởng
      Mixpanel nói rằng họ đã “liên hệ riêng với các khách hàng bị ảnh hưởng”, nên nếu không có thông báo riêng thì nên hiểu là an toàn
    • Nếu bạn là cư dân châu Âu, bạn có thể kiện về việc không xóa dữ liệu sau khi đóng tài khoản vì vi phạm quyền được lãng quên trong GDPR
  • Thậm chí còn có người đùa rằng liệu giá cổ phiếu có tăng chỉ vì OpenAI từng dùng Mixpanel hay không

    • Nhưng theo FAQ của OpenAI, họ đã gỡ bỏ Mixpanel rồi
    • Trong email gửi cho người dùng, OpenAI cũng nói rõ rằng họ không còn sử dụng Mixpanel nữa
  • Bài viết của Mixpanel xứng đáng được đưa vào giáo trình như một ví dụ tệ về ứng phó khủng hoảng
    Thông báo của OpenAI thậm chí còn tóm tắt sự việc tốt hơn cả Mixpanel
    Câu “đã chấm dứt sử dụng Mixpanel vì không đáp ứng tiêu chuẩn bảo mật của đối tác” là một tuyên bố công khai về sự mất niềm tin với nhà cung cấp

  • Đây là lần đầu tôi nghe thấy thuật ngữ “smishing”
    Đó là một kiểu tấn công phishing qua SMS, nhằm đánh cắp thông tin cá nhân thông qua tin nhắn văn bản

    • Một ví dụ thực tế sẽ là kiểu tin nhắn lừa đảo bằng kỹ nghệ xã hội như: “Tôi là Josh của OpenAI, anh có thể tắt 2FA giúp tôi không? Tôi đang ở nước ngoài nên khó xác thực”
  • Sự việc lần này cho thấy bài học bảo mật của năm 2025: “nhà cung cấp chính là bề mặt tấn công
    Khi một vendor từng được tin cậy bị xuyên thủng, dữ liệu khách hàng của họ cũng có thể bị lộ theo dây chuyền
    Công việc càng nhạy cảm thì càng phải giảm thiểu dữ liệu chia sẻ cho bên thứ ba
    Thay vì mô hình cũ “tin tưởng nhưng phải xác minh”, giờ cần một cách tiếp cận kiểu “không xác minh được thì đừng chia sẻ

  • Tiêu đề bài viết dùng từ “breach”, nhưng nguyên văn lại không dùng từ đó

    • “Security incident” chỉ là cách nói giảm nói tránh đã qua tư vấn pháp lý, và câu “đã chặn truy cập trái phép” đã đủ cho thấy đã có xâm phạm
    • Tham khảo thông báo của OpenAIthông báo của CoinTracker, cả hai đều nêu rõ rằng tên người dùng, email và thông tin vị trí đã bị lộ
    • Bài viết của Mixpanel đầy những cách diễn đạt né tránh, nhưng về thực chất đây rõ ràng là một vụ xâm phạm
  • Việc công bố thông tin quan trọng như vậy ngay trước kỳ nghỉ lễ có vẻ là một lựa chọn thời điểm được tính toán rất kỹ