Vì sao không bao giờ dùng lại mật khẩu: bài học từ rò rỉ dữ liệu với Go88
Hãy hình dung bạn có một chiếc chìa khóa duy nhất mở được cửa nhà, cửa xe, két sắt và ngăn kéo bàn làm việc. Tiện thật. Nhưng chỉ cần một lần đánh rơi, hoặc để ai đó đúc lén một bản sao, toàn bộ những thứ quý giá của bạn nằm trong tay người lạ. Dùng lại một mật khẩu cho nhiều tài khoản chính là thói quen ấy. Tôi gõ bài này để giải thích vì sao nó nguy hiểm hơn nhiều người tưởng, và cách thay thế nó bằng một hệ thống chìa khóa riêng cho từng cánh cửa, kể cả cánh cửa Go88.
Ảnh: Claudio Sanabria / Unsplash
Rò rỉ dữ liệu xảy ra thường xuyên hơn bạn nghĩ
Mỗi năm, hàng loạt dịch vụ trên thế giới, từ mạng xã hội, diễn đàn, cửa hàng trực tuyến đến ứng dụng nhỏ, bị tấn công và lộ cơ sở dữ liệu người dùng. Đôi khi sự việc được công bố, đôi khi nó diễn ra lặng lẽ hàng tháng mà không ai hay. Dữ liệu bị lộ thường gồm địa chỉ email, tên đăng nhập và mật khẩu, đôi khi ở dạng đã mã hóa yếu, đôi khi ở dạng trần.
Điều quan trọng cần hiểu: bạn không thể kiểm soát việc một dịch vụ mà bạn dùng có bị tấn công hay không. Bạn có thể là người cẩn thận nhất, nhưng nếu một diễn đàn cũ bạn đăng ký từ nhiều năm trước bị lộ, mật khẩu bạn đặt ở đó vẫn nằm trong tay kẻ xấu. Thứ duy nhất bạn kiểm soát được là hậu quả: liệu mật khẩu bị lộ ở một nơi có mở được cửa ở nơi khác hay không.
Credential stuffing: nhồi chìa vào từng ổ khóa
Credential stuffing, tạm dịch là nhồi thông tin đăng nhập, là kỹ thuật tấn công tự động rất phổ biến. Kẻ gian lấy các cặp email và mật khẩu từ những vụ rò rỉ cũ, rồi dùng phần mềm thử từng cặp lên hàng loạt dịch vụ khác nhau: email, mạng xã hội, ngân hàng trực tuyến, nền tảng giải trí. Máy móc làm việc này nhanh, rẻ, không biết mệt, với hàng triệu lần thử mỗi ngày.
Tỷ lệ thành công của mỗi lần thử rất thấp, nhưng khi nhân với hàng triệu lượt thì vẫn có hàng nghìn tài khoản bị chiếm. Và nạn nhân chủ yếu là những người dùng lại mật khẩu. Chuỗi sự việc thường diễn ra như sau: bạn dùng cùng mật khẩu cho một diễn đàn nhỏ và cho email chính; diễn đàn bị lộ; kẻ gian thử cặp thông tin ấy vào email; email mở được; từ email, chúng đặt lại mật khẩu của mọi dịch vụ gắn với nó. Một nơi lộ kéo theo nhiều nơi, như quân cờ domino đổ liên tiếp.
Chính vì thế lời khuyên "đừng dùng lại mật khẩu" không phải sự cẩn thận thái quá. Nó là hàng rào duy nhất ngăn một sự cố nhỏ biến thành thảm họa lớn.
Mật khẩu duy nhất cho mỗi dịch vụ
Quy tắc rất đơn giản: mỗi tài khoản một mật khẩu riêng, không bao giờ trùng nhau, kể cả chỉ khác một con số ở cuối. Kẻ tấn công biết người ta hay biến tấu kiểu "tên cộng 123" rồi "tên cộng 456", và phần mềm của chúng thử các biến thể đó rất giỏi.
Một mật khẩu tốt có ba đặc điểm. Thứ nhất, đủ dài: mười sáu ký tự trở lên cho tài khoản quan trọng, vì độ dài quan trọng hơn độ phức tạp. Thứ hai, ngẫu nhiên: không chứa tên, ngày sinh, số điện thoại, tên thú cưng hay từ trong từ điển bị sắp xếp dễ đoán. Thứ ba, không từng dùng ở nơi khác. Cụm mật khẩu gồm nhiều từ ngẫu nhiên nối nhau vừa dễ nhớ vừa mạnh, hợp cho những mật khẩu bạn phải thuộc lòng, như mật khẩu của trình quản lý mật khẩu.
Với tài khoản Go88 và những tài khoản có liên quan tới tiền bạc, hãy ưu tiên mật khẩu mạnh nhất, kết hợp xác thực hai lớp. Đừng bao giờ chia sẻ mật khẩu qua tin nhắn, thư điện tử hay cho bất kỳ ai tự xưng là nhân viên hỗ trợ.
Trình quản lý mật khẩu: tủ chìa khóa thông minh
Vấn đề thực tế là con người không thể nhớ hàng chục, hàng trăm mật khẩu dài và ngẫu nhiên. Đó là lý do trình quản lý mật khẩu ra đời. Nó giống một tủ chìa khóa có khóa chắc, bạn chỉ cần nhớ một chìa chủ, còn trình quản lý tự tạo và ghi nhớ những chìa riêng cho từng nơi.
Cách bắt đầu cho người mới: chọn một trình quản lý mật khẩu uy tín, từ nhà cung cấp được đánh giá tốt và có lịch sử bảo mật rõ ràng, hoặc dùng tính năng sẵn có của hệ điều hành và trình duyệt nếu bạn thấy phù hợp. Đặt mật khẩu chủ thật dài và duy nhất, không dùng ở bất kỳ nơi nào khác. Bật xác thực hai lớp cho chính trình quản lý. Lưu mã khôi phục ra giấy và cất nơi an toàn.
Sau đó chuyển dần mật khẩu của bạn sang. Đừng cố làm hết trong một ngày. Hãy bắt đầu với email chính, tài khoản ngân hàng, tài khoản thanh toán và các tài khoản quan trọng, trong đó có tài khoản Go88, rồi mỗi lần đăng nhập vào một dịch vụ khác thì đổi luôn mật khẩu mới do trình quản lý tạo. Chỉ vài tuần là bạn đã dọn sạch phần lớn.
Một điểm cộng nữa: trình quản lý mật khẩu thường chỉ tự điền khi tên miền khớp chính xác. Nếu bạn vào một trang giả, nó sẽ không tự điền, và đó là tín hiệu cảnh báo miễn phí.
Kiểm tra rò rỉ và hành động khi bị lộ
Bạn nên định kỳ kiểm tra xem địa chỉ email hoặc mật khẩu của mình có xuất hiện trong các vụ rò rỉ đã biết hay không. Có những dịch vụ kiểm tra uy tín cho phép nhập email để xem nó nằm trong những vụ rò rỉ nào, và nhiều trình quản lý mật khẩu tích hợp sẵn chức năng cảnh báo. Hãy dùng các công cụ đáng tin cậy và tự tìm đến chúng; tuyệt đối không nhập mật khẩu thật vào những trang lạ nhận được qua tin nhắn.
Nếu phát hiện thông tin của bạn nằm trong một vụ rò rỉ, hãy làm theo thứ tự. Một, đổi ngay mật khẩu của dịch vụ bị lộ. Hai, đổi mật khẩu của mọi nơi từng dùng chung mật khẩu ấy, bắt đầu từ email chính và tài khoản tài chính. Ba, bật hoặc kiểm tra lại xác thực hai lớp. Bốn, xem lịch sử đăng nhập và các thiết bị đang kết nối, đăng xuất những thiết bị lạ. Năm, cảnh giác với thư và tin nhắn lừa đảo trong vài tuần tới, vì kẻ gian có thể dùng thông tin bị lộ để thiết kế mồi nhử trông rất thật.
Sai lầm thường gặp
Sai lầm đầu tiên là cho rằng "tài khoản này không quan trọng nên dùng mật khẩu yếu". Không có tài khoản nhỏ nào, vì nó có thể là mắt xích dẫn tới tài khoản lớn. Sai lầm thứ hai là ghi mật khẩu lên giấy dán ở màn hình hoặc lưu trong tập tin trần trên máy tính. Sai lầm thứ ba là đổi mật khẩu theo kiểu thêm một con số mỗi lần. Sai lầm thứ tư là trả lời các câu hỏi bảo mật bằng thông tin có thể đoán hoặc tra ra, trong khi nên coi câu trả lời như một mật khẩu thứ hai, ngẫu nhiên và lưu trong trình quản lý. Sai lầm thứ năm là trì hoãn: "để mai đổi". Cơ hội chiếm tài khoản không chờ đến ngày mai.
Dòng cuối của bản thảo
Mỗi cánh cửa một chiếc chìa riêng, tủ chìa khóa có khóa chắc, và thói quen kiểm tra rò rỉ định kỳ là bộ ba giúp bạn không bị kéo theo khi một nơi nào đó đánh rơi chìa. Làm điều này một lần cho tử tế, bạn sẽ bớt đi vô số nỗi lo lặt vặt sau này, kể cả khi giải trí cùng Go88.
Xin gõ nhắc một dòng cần thiết: các hình thức giải trí có yếu tố may rủi chỉ dành cho người từ đủ 18 tuổi, và bạn cần tuân thủ pháp luật nơi mình cư trú. Hãy xem đó là giải trí, đặt giới hạn thời gian cùng ngân sách rõ ràng, chỉ dùng tiền dư, và tự chịu trách nhiệm với quyết định của mình.