Meta bị phạt vì vi phạm GDPR khi lưu trữ 600 triệu mật khẩu tài khoản mạng xã hội ở dạng văn bản thuần

 Trong thời đại mà bảo mật trực tuyến quan trọng hơn bao giờ hết, Meta Platforms Ireland Limited (MPIL) đã bị phát hiện lưu trữ hơn 600 triệu mật khẩu của người dùng Instagram và Facebook ở dạng văn bản thuần. Một số mật khẩu này đã tồn tại dưới dạng này hơn 10 năm. Ánh sáng mặt trời lần đầu tiên chiếu vào chủ đề này vào năm 2019 khi Facebook, nay được gọi là Meta, thừa nhận với Ủy ban Bảo vệ Dữ liệu (DPC) rằng hàng trăm triệu mật khẩu đã được lưu trữ vô tình không được mã hóa ở dạng văn bản thuần.

Sau một cuộc điều tra kéo dài năm năm của DPC, các hoạt động của Meta tại Ireland đã bị phạt 101,5 triệu đô la. Meta đã bị phát hiện vi phạm Quy định chung về bảo vệ dữ liệu (GDPR) của châu Âu bằng cách không lưu trữ mật khẩu của nhiều người dùng Instagram và Facebook theo cách an toàn hơn. Meta tuyên bố rằng những mật khẩu không được mã hóa này không khả dụng cho những người bên ngoài công ty. Tuy nhiên, công ty đã thừa nhận rằng 2.000 kỹ sư đã thực hiện 9 triệu truy vấn liên quan đến cơ sở dữ liệu người dùng cụ thể này.

Quyết định của DPC đã phát hiện ra rằng Meta Platforms Ireland Limited (MPIL) đã không tuân theo các quy tắc GDPR bằng cách vi phạm các hành vi sau:

Điều 33 (1) -MPIL không thông báo cho DPC về vi phạm dữ liệu cá nhân liên quan đến việc lưu trữ mật khẩu người dùng ở dạng văn bản thuần; Điều 33 (5) -MPIL không ghi lại các vi phạm dữ liệu cá nhân liên quan đến việc lưu trữ mật khẩu người dùng ở dạng văn bản thuần; Điều 5 (1) (f) -MPIL không sử dụng các biện pháp kỹ thuật hoặc tổ chức thích hợp để đảm bảo bảo mật phù hợp của mật khẩu người dùng chống lại xử lý trái phép; và Điều 32 (1) -MPIL không thực hiện các biện pháp kỹ thuật và tổ chức thích hợp để đảm bảo mức độ bảo mật phù hợp với rủi ro, bao gồm khả năng đảm bảo tính bảo mật liên tục của mật khẩu người dùng.

“Người ta thường chấp nhận rằng mật khẩu người dùng không nên được lưu trữ ở dạng văn bản thuần, xét đến các rủi ro lạm dụng phát sinh từ những người truy cập vào dữ liệu đó. Phải nhớ rằng những mật khẩu đang được xem xét trong trường hợp này là đặc biệt nhạy cảm, vì chúng sẽ cho phép truy cập vào tài khoản mạng xã hội của người dùng.”-Graham Doyle, Phó Ủy viên của DPC

Quyết định của DPC yêu cầu Meta đưa ra một lời khiển trách theo Điều 58 (2) (b) GDPR; và trả khoản tiền phạt 91 triệu Euro (101,5 triệu đô la Mỹ) nói trên. DPC cho biết thêm rằng họ sẽ công bố Quyết định đầy đủ và thông tin liên quan khác trong thời gian tới. Người ta tin rằng các mật khẩu được bao gồm trong phán quyết chỉ bao gồm người dùng không phải của Hoa Kỳ. Vào năm 2019, Meta nói với CNN rằng phần lớn các mật khẩu văn bản thuần là dành cho một dịch vụ được gọi là Facebook Lite, một dịch vụ truyền thông xã hội ít toàn diện hơn dành cho các khu vực trên thế giới có kết nối internet chậm hơn.

Ủy ban Bảo vệ Dữ liệu Ireland phạt Meta tương đương 101,5 triệu đô la Mỹ vì vi phạm GDPR. |

Meta sở hữu Facebook, Messenger, Instagram và WhatsApp.