Lovesac là một nhà thiết kế, sản xuất và bán lẻ đồ nội thất, vận hành 267 phòng trưng bày trên khắp Hoa Kỳ và có doanh thu ròng hàng năm là 750 triệu đô la. Thương hiệu này nổi tiếng nhất với hệ thống ghế sofa mô-đun gọi là 'sactionals', cũng như ghế lười 'sacs'.

Theo thông báo được gửi đến các cá nhân bị ảnh hưởng, từ ngày 12/02/2025 đến 03/3/2025, tin tặc đã truy cập trái phép vào hệ thống nội bộ của công ty và đánh cắp dữ liệu được lưu trữ trên các hệ thống đó.

Lovesac phát hiện ra vụ xâm phạm vào ngày 28/02/2025, điều đó có nghĩa là họ mất ba ngày để khắc phục hoàn toàn tình hình và chặn truy cập của kẻ tấn công vào mạng của mình. Dữ liệu bị đánh cắp bao gồm họ tên đầy đủ và các thông tin cá nhân khác chưa được tiết lộ trong mẫu thông báo được chia sẻ với Văn phòng Tổng Chưởng lý.

Công ty chưa làm rõ liệu sự cố này ảnh hưởng đến khách hàng, nhân viên hay nhà thầu, và cũng không tiết lộ chính xác số lượng cá nhân bị ảnh hưởng. Gửi kèm trong thư thông báo, người nhận sẽ được cung cấp dịch vụ hỗ trợ giám sát tín dụng 24/24  đến ngày 28/11/2025.

Công ty lưu ý rằng hiện tại không có dấu hiệu nào cho thấy thông tin bị đánh cắp đã bị sử dụng sai mục đích, nhưng khuyến cáo những người bị ảnh hưởng nên cảnh giác với các nỗ lực lừa đảo.

Nhóm ransomware tuyên bố tấn công Lovesac

Mặc dù Lovesac không nêu tên những kẻ tấn công và không đề cập đến việc mã hóa dữ liệu trong các bức thư, nhưng nhóm ransomware RansomHub đã tuyên bố một cuộc tấn công vào ngày 03/3/2025.

Những kẻ tấn công đã thêm Lovesac vào cổng tống tiền của chúng, thông báo về vụ xâm nhập, cho thấy kế hoạch rò rỉ dữ liệu bị đánh cắp nếu khoản tiền chuộc không được thanh toán. Lovesac vẫn không thể xác định liệu họ có theo dõi mối đe dọa này hay không.

Chiến dịch tấn công bằng mã độc tống tiền như là dịch vụ (ransomware-as-a-service, viết tắt là RaaS) của RansomHub xuất hiện vào tháng 02/2024 và kể từ đó đã thu thập được một danh sách các nạn nhân nổi tiếng, bao gồm công ty cung cấp nhân sự Manpower, công ty dịch vụ dầu khí khổng lồ Halliburton, chuỗi nhà thuốc Rite Aid, chi nhánh châu Âu của Kawasaki, nhà đấu giá Christie's, nhà cung cấp viễn thông Frontier Communications của Hoa Kỳ, tổ chức phi lợi nhuận chăm sóc sức khỏe Planned Parenthood và Câu lạc bộ bóng đá Bologna của Ý.

Chiến dịch ransomware này đã lặng lẽ dừng hoạt động vào tháng 4/2025, với nhiều chi nhánh chuyển sang DragonForce. Các chuyên gia nghiên cứu hàng đầu trên thế giới đã liên hệ với Lovesac để tìm hiểu thêm về sự cố, tác động của nó và số lượng khách hàng bị ảnh hưởng. Hiện thông tin về vụ việc vẫn tiếp tục được cập nhật.

Hà Linh