Mailchimp vá lỗ hổng bảo mật: điều marketer cần biết

Nếu bạn đang dùng Mailchimp để gửi bản tin cho khách hàng, thử dừng lại một giây và tự hỏi: dữ liệu của hàng nghìn người đăng ký đang nằm trong tay tôi được bảo vệ tới mức nào? Và nếu nền tảng tôi tin tưởng bị xâm nhập, tôi sẽ làm gì trong 72 giờ tiếp theo?

Câu chuyện về bảo mật dữ liệu của Mailchimp những năm qua là một lời nhắc hơi đau. Không phải vì nó quá xa lạ, mà vì nó rất giống những gì bất kỳ ai làm email marketing cũng có thể gặp: một nền tảng lớn, một niềm tin lớn, và một vết nứt nhỏ đủ làm lung lay tất cả.

Ba lần công bố, một vết nứt không nhỏ

Từ năm 2022, đội ngũ an ninh của Mailchimp đã công bố ba vụ việc liên quan đến quyền riêng tư và bảo mật. Tháng 4/2022, họ xác nhận một vụ rò rỉ ảnh hưởng tới 319 khách hàng. Bốn tháng sau, một vụ khác khiến thêm 216 tài khoản bị xâm phạm.

Con số vài trăm tài khoản nghe có vẻ không quá lớn với một nền tảng email lớn nhất thế giới. Nhưng cách nó lan ra mới là phần đáng suy nghĩ. Trong sự việc tháng 8/2022, một trong những tài khoản bị ảnh hưởng là WooCommerce – nền tảng đang hỗ trợ hơn 5 triệu cửa hàng trực tuyến qua plugin WordPress. Khi một vụ rò rỉ mở được cửa tới hàng triệu người dùng cuối, nó không còn là “chỉ vài trăm tài khoản” nữa.

Vì sao danh sách email là mục tiêu đắt giá

Hãy nghĩ về thứ mà một danh sách email thực sự chứa. Không chỉ là địa chỉ thư. Với nhiều doanh nghiệp, đó là bản đồ hành vi khách hàng: ai mua gì, ai hay mở thư, ai sắp rời bỏ. Với kẻ xấu, đây là nguyên liệu để dựng nên những chiến dịch lừa đảo trông y như thật.

• Chất lượng cao: người đăng ký thường đã quan tâm tới thương hiệu, nên tỉ lệ mở và phản hồi cao hơn nhiều so với danh sách trôi nổi.
• Quyền gửi thư hợp lệ: chiếm được tài khoản là có thể gửi thư từ tên miền đã xác thực, khiến người nhận khó phân biệt thật giả.
• Hiệu ứng lan truyền: một khách hàng của nền tảng có thể là đầu mối cho hàng triệu người khác. Tổn thất không dừng ở một tài khoản.

Đó là lý do thông tin về quyền riêng tư của một nền tảng không chỉ là câu chuyện kỹ thuật. Người đọc không phân biệt “lỗi của nền tảng” và “lỗi của bạn” – họ chỉ thấy thư đến từ thương hiệu của bạn.

Mailchimp đã làm gì để lấy lại niềm tin

Ban lãnh đạo Mailchimp cho thấy họ hiểu mức độ nghiêm trọng. Nền tảng này là một trong những đơn vị đầu tiên tham gia khuôn khổ EU-US Privacy Shield, cam kết xác thực quyền riêng tư và bảo mật hằng năm từ 2016. Khi khuôn khổ này bị vô hiệu hóa vào 2020, họ vẫn tiếp tục đáp ứng các tiêu chuẩn chứng nhận tương tự. Song song đó, họ tham gia cơ chế cho phép người dùng châu Âu chuyển dữ liệu ra nước ngoài theo GDPR, qua một phụ lục xử lý dữ liệu nằm ngay trong điều khoản sử dụng.

Bước đi dễ thấy nhất là động thái xác minh tên miền vào tháng 2/2024. Trước đó, Mailchimp chỉ khuyến khích chứ không bắt buộc, cho phép người dùng chưa xác thực gửi thư từ bất kỳ địa chỉ nào, kể cả hộp thư miễn phí. Hệ quả là spam gia tăng và tình trạng lạm dụng danh sách trở nên phổ biến. Từ tháng 2/2024, người dùng gửi trên 5.000 email buộc phải xác minh tên miền.

Với người làm marketing, thay đổi này vừa khó chịu vừa đáng mừng: khó chịu vì thêm một bước kỹ thuật, đáng mừng vì hộp thư khách hàng bớt rác – và thư của bạn bớt bị chìm.

Intuit mua lại: khó hiểu nhưng có logic riêng

Cuối năm 2021, Intuit – công ty mẹ của QuickBooks và TurboTax – mua lại Mailchimp. Thương vụ khiến nhiều người trong ngành nhướng mày, vì Intuit vốn là công ty phần mềm tài chính, kế toán và thuế, chứ không phải dân marketing.

Nhìn kỹ hơn, logic khá rõ: hơn 50% doanh nghiệp nhỏ thất bại trong 5 năm đầu, và điều đó ảnh hưởng trực tiếp tới mảng kinh doanh cốt lõi của Intuit. Nếu khách hàng không bán được hàng, họ cũng chẳng cần phần mềm kế toán nữa. Về phía mình, Intuit có xếp hạng bảo mật rất tốt cùng nguồn lực để duy trì tiêu chuẩn an ninh cao cho các thương hiệu trực thuộc. Điều marketer nên lưu tâm là sự dịch chuyển dữ liệu: khi một nền tảng marketing nằm cùng hệ sinh thái với công cụ thuế và kế toán, câu hỏi dữ liệu được dùng thế nào càng đáng để hỏi.

Bốn nguyên tắc GDPR nên áp cho mọi nền tảng email

Bất kể bạn chọn nền tảng nào, quyền riêng tư là quá trình chủ động và liên tục, không phải một ô đánh dấu đã hoàn thành. Doanh nghiệp có người đăng ký ở châu Âu buộc theo GDPR. Nhưng khi bánh quy bên thứ ba dần biến mất và người tiêu dùng hiểu rõ quyền của mình hơn, nhiều thương hiệu chọn GDPR làm chuẩn mực tối thiểu cho mọi thị trường.

1. Quyền được xóa dữ liệu: cho người dùng khả năng xóa toàn bộ dữ liệu gắn với tên hoặc thông tin liên hệ của họ.
2. Quyền được truy cập: người dùng có quyền hỏi dữ liệu đang được dùng vào việc gì, lưu ở đâu, và nhận báo cáo cá nhân hóa miễn phí.
3. Quyền được thông báo: thông báo cho người dùng trong 72 giờ kể từ khi phát hiện rò rỉ. Nếu nền tảng báo cho bạn, hãy chuyển tiếp tới người đăng ký của mình.
4. Quyền được chuyển dữ liệu: khi người dùng yêu cầu, dữ liệu phải xuất được ở định dạng dễ truy cập – Mailchimp dùng .csv, và phần lớn nền tảng khác cũng vậy.

Bốn nguyên tắc này không chỉ để đối phó luật. Chúng buộc bạn trả lời một câu hỏi mà nhiều đội marketing bỏ qua: dữ liệu này thực sự thuộc về ai, và mình đang giữ nó vì lý do gì?

Thị phần giảm và bài học về niềm tin

Năm 2023, thị phần của Mailchimp giảm 6%, còn 66,7% – thấp hơn gần 20 điểm so với mức đỉnh 80% từng đạt. Nguyên nhân không nằm hết ở các lo ngại về quyền riêng tư, bởi thị trường hiện có hơn 175 nền tảng email marketing cạnh tranh nhau. Nhưng khó nói các vụ rò rỉ không đóng vai trò nào trong quyết định chuyển đổi của khách hàng.

Cũng phải công bằng: việc Mailchimp chủ động siết xác minh tên miền, duy trì chứng nhận quyền riêng tư và công khai các vụ việc cho thấy họ chọn hướng đối diện thay vì im lặng. Không phải nền tảng nào cũng làm vậy.

Rốt cuộc, dữ liệu chỉ có giá trị khi người ta tin nó được giữ an toàn. Một danh sách email đẹp đến mấy cũng vô nghĩa nếu người đăng ký không còn tin tưởng để mở thư của bạn.

Tuần này, thử một việc nhỏ: vào cài đặt nền tảng email bạn đang dùng, kiểm tra tên miền đã được xác minh chưa, và xem lại mình có đang lưu dữ liệu nào thật sự không cần thiết. Những bước nhỏ đó thường là thứ giữ niềm tin lâu nhất.

Và đây là chỗ tôi muốn nghe ý bạn: theo bạn, trách nhiệm bảo vệ dữ liệu khách hàng thuộc về nền tảng hay thuộc về chính người làm marketing? Tôi thấy nhiều người đổ hết cho nền tảng, nhưng cũng có góc nhìn cho rằng chúng ta mới là người quyết định thu thập gì và giữ nó bao lâu. Bạn nghĩ sao? Để lại bình luận nhé – tôi rất muốn đọc góc nhìn của bạn.