Rò rỉ dữ liệu tại tập đoàn dược phẩm lớn của Ấn Độ tiết lộ hàng nghìn hồ sơ khách hàng

Một lỗ hổng bảo mật nghiêm trọng tại một trong những nhà bán lẻ dược phẩm lớn nhất của Ấn Độ đã để lộ dữ liệu nhạy cảm của khách hàng và hoạt động kinh doanh có thể bị truy cập trái phép. Vụ việc liên quan đến DavaIndia Pharmacy, do Zota Healthcare vận hành, cho thấy cách mở rộng kinh doanh nhanh chóng đôi khi có thể làm lu mờ các biện pháp an ninh mạng quan trọng. Cuộc điều tra của TechCrunch phát hiện ra rằng mạng lưới nhà thuốc Ấn Độ này đã để hệ thống quản trị gần như không được bảo vệ, cho phép bất kỳ ai có kiến thức kỹ thuật cơ bản cũng có thể kiểm soát toàn bộ thông tin khách hàng và hoạt động của cửa hàng.

Cách truy cập quản trị không an toàn khiến dữ liệu khách hàng dễ bị tổn thương

Nhà nghiên cứu bảo mật Eaton Zveare phát hiện rằng nền tảng của DavaIndia chứa các API “siêu quản trị” dễ bị tấn công do không được bảo vệ đúng cách, không yêu cầu xác thực để truy cập. Lỗi nghiêm trọng này có nghĩa là bất kỳ ai cũng có thể tạo ra các tài khoản quản trị cấp cao và truy cập không giới hạn vào toàn bộ hoạt động của nhà thuốc. Khi đã vào trong, kẻ xấu có thể thao túng gần như mọi khía cạnh của doanh nghiệp.

Phạm vi thiệt hại tiềm năng rất lớn. Kẻ tấn công có thể đã truy cập hàng nghìn đơn hàng của khách hàng chứa thông tin sức khỏe cá nhân, thay đổi giá cả và tình trạng hàng hóa, tạo mã khuyến mãi giả mạo, và nguy hiểm nhất là thay đổi yêu cầu kê đơn thuốc—có thể dẫn đến việc bán các loại thuốc hạn chế mà không qua xác minh đúng cách. Các giao diện quản trị dễ bị tổn thương này đã tồn tại từ cuối năm 2024, khiến hệ thống bị phơi nhiễm trong nhiều tháng.

Trong thời gian này, khoảng 17.000 đơn hàng trực tuyến và các điều khiển quản trị của 883 nhà thuốc trên khắp Ấn Độ vẫn bị xâm phạm. Điều này có nghĩa là các quy tắc kê đơn, cấu trúc giá cả và các chương trình khuyến mãi có thể đã bị thay đổi mà không bị phát hiện hoặc phê duyệt.

Sự phát triển của chuỗi nhà thuốc Ấn Độ vượt quá khả năng bảo vệ an ninh

Công ty mẹ của DavaIndia, Zota Healthcare, đã trải qua quá trình mở rộng nhanh chóng trong khi lỗ hổng này chưa được khắc phục. Có trụ sở tại Gujarat, công ty hiện vận hành hơn 2.300 cửa hàng dược phẩm trên toàn quốc. Gần đây, công ty đã khai trương 276 địa điểm mới vào đầu năm 2025 và có kế hoạch mở thêm từ 1.200 đến 1.500 cửa hàng trong hai năm tới.

Quá trình tăng trưởng này phản ánh một mô hình phổ biến ở các công ty mở rộng nhanh chóng: việc mở rộng hạ tầng đôi khi diễn ra nhanh hơn khả năng triển khai và duy trì các biện pháp bảo mật phù hợp.

Tính nhạy cảm của dữ liệu nhà thuốc bị rò rỉ

Hồ sơ khách hàng nhà thuốc là một trong những loại thông tin cá nhân nhạy cảm nhất có sẵn trực tuyến. Khác với các giao dịch bán lẻ khác, việc mua thuốc có thể tiết lộ các tình trạng sức khỏe chi tiết, điều trị tâm thần, quản lý bệnh mãn tính và các thông tin y tế cá nhân sâu sắc khác. Vụ rò rỉ tại Ấn Độ đã phơi bày chính xác loại dữ liệu này.

Theo phân tích của Zveare, dữ liệu đơn hàng bị xâm phạm bao gồm tên khách hàng, số điện thoại, email, địa chỉ gửi thư, số tiền thanh toán và các mục mua hàng chi tiết. “Thông tin này có thể rất cá nhân hoặc thậm chí gây xấu hổ cho một số người,” Zveare giải thích, lưu ý rằng các sản phẩm nhà thuốc thường phản ánh các tình trạng sức khỏe nhạy cảm mà người dùng muốn giữ kín.

Phát hiện và khắc phục vụ việc nhà thuốc Ấn Độ

Zveare đã báo cáo các phát hiện của mình cho các cơ quan an ninh mạng Ấn Độ và CERT-In (đội phản ứng an ninh mạng quốc gia của Ấn Độ) vào giữa năm 2025. Lỗ hổng đã được khắc phục trong vòng vài tuần sau báo cáo ban đầu. Tuy nhiên, xác nhận chính thức từ DavaIndia chỉ được cung cấp cho các cơ quan chức năng vào cuối năm, theo dòng thời gian của Zveare.

TechCrunch đã cố gắng liên hệ với Sujit Paul, CEO của Zota Healthcare, để lấy ý kiến nhưng không nhận được phản hồi. Zveare xác nhận rằng hiện chưa có bằng chứng cho thấy lỗ hổng bảo mật đã bị khai thác một cách độc hại trước khi được sửa chữa, nhưng sự tồn tại của lỗ hổng này đã là một vi phạm đáng kể niềm tin của khách hàng.

Vụ việc này nhấn mạnh tầm quan trọng của các đánh giá an ninh trong giai đoạn tăng trưởng nhanh, và nhu cầu các công ty—đặc biệt là những công ty xử lý dữ liệu nhạy cảm về nhà thuốc và y tế—phải duy trì các giao thức xác thực mạnh mẽ và các cuộc kiểm tra an ninh định kỳ.