Vì sao không bao giờ dùng lại mật khẩu: bài học từ rò rỉ dữ liệu với Hitclub
Hãy tưởng tượng bạn đúc một chiếc chìa khóa duy nhất mở được cửa nhà, cửa xe, két sắt và cả tủ hồ sơ. Tiện lắm, cho tới ngày bạn làm rơi nó. Mật khẩu dùng lại ở nhiều nơi chính là chiếc chìa khóa vạn năng ấy. Với người dùng một dịch vụ như Hitclub, hay bất kỳ tài khoản nào, thói quen này là một trong những rủi ro lớn nhất mà cũng dễ sửa nhất.
Ảnh: Bernd 📷 Dittrich / Unsplash
Rò rỉ dữ liệu xảy ra thường hơn bạn nghĩ
Các dịch vụ trực tuyến lưu trữ thông tin của hàng triệu người, và đôi khi chúng bị xâm nhập. Khi đó, danh sách địa chỉ email kèm mật khẩu có thể bị đánh cắp rồi rao bán hoặc phát tán. Điều quan trọng là bạn không kiểm soát được việc một dịch vụ khác bảo vệ dữ liệu tốt đến đâu. Một diễn đàn nhỏ bạn từng đăng ký cách đây nhiều năm, một ứng dụng bạn đã quên, đều có thể là nơi lộ.
Khi dữ liệu bị lộ, mật khẩu có thể ở dạng đã băm hoặc, tệ hơn, ở dạng chữ thường. Ngay cả khi đã băm, mật khẩu yếu hay phổ biến vẫn có thể bị dò ra. Điều này có nghĩa là bạn nên mặc định rằng một ngày nào đó, một trong những nơi bạn dùng mật khẩu sẽ bị lộ, và thiết kế thói quen của mình để khi chuyện ấy xảy ra, thiệt hại chỉ dừng ở một nơi.
Credential stuffing: kẻ gian thử chìa khóa vào mọi ổ
Credential stuffing, tạm hiểu là nhồi thông tin đăng nhập, là cách tấn công khai thác đúng thói quen dùng lại mật khẩu. Kẻ gian có sẵn danh sách email và mật khẩu từ một vụ rò rỉ. Chúng dùng công cụ tự động thử từng cặp đó trên hàng loạt dịch vụ khác, vì biết rằng nhiều người dùng cùng một mật khẩu ở nhiều nơi. Mỗi lần thử chỉ mất một phần nghìn giây, và với hàng triệu cặp, một tỷ lệ nhỏ trúng cũng là một mẻ lớn.
Nghĩa là bạn không cần phải là mục tiêu bị nhắm đặc biệt. Bạn chỉ cần là một dòng trong danh sách và có mật khẩu bị trùng. Chiếc chìa khóa bị đánh rơi ở nơi này sẽ được thử vào mọi ổ khóa ở nơi khác, hoàn toàn tự động và không ai để ý.
Một nơi lộ kéo theo nhiều nơi
Giả sử bạn dùng chung một mật khẩu cho email, mạng xã hội, ứng dụng ngân hàng và tài khoản giải trí. Nếu một diễn đàn không quan trọng bị lộ, kẻ gian thử mật khẩu ấy vào email của bạn. Vào được email, chúng bấm "quên mật khẩu" ở mọi dịch vụ khác và nhận thư đặt lại. Chỉ một sơ hở nhỏ ban đầu có thể lan thành hiệu ứng domino, kéo đổ cả hệ thống tài khoản của bạn.
Đây là lý do email phải là tài khoản được bảo vệ kỹ nhất. Nó là chìa khóa đặt lại cho mọi chìa khóa khác. Và đây cũng là lý do một thói quen nhỏ, dùng mật khẩu riêng cho từng nơi, chặn được hiệu ứng ấy từ gốc: khi mỗi cửa có một khóa riêng, việc lộ một khóa chỉ mở được một cửa.
Mật khẩu duy nhất cho mỗi dịch vụ
Nguyên tắc cốt lõi đơn giản: mỗi dịch vụ một mật khẩu, không trùng, không na ná nhau. Đừng chỉ đổi một ký tự hay thêm số cuối, vì kẻ tấn công cũng thử những biến thể ấy. Mật khẩu tốt nên dài, ưu tiên cụm nhiều từ ngẫu nhiên ghép với nhau hoặc chuỗi ký tự sinh ngẫu nhiên, thay vì một từ có nghĩa kèm vài chữ số. Độ dài quan trọng hơn sự rắc rối.
Tránh dùng thông tin cá nhân dễ đoán như ngày sinh, tên người thân, tên thú cưng, số điện thoại. Không viết mật khẩu lên giấy dán màn hình, không lưu trong ghi chú không mã hóa, và không gửi qua tin nhắn. Và nếu dịch vụ hỗ trợ, hãy bật thêm xác thực hai lớp, để dù mật khẩu có lộ, kẻ gian vẫn bị chặn ở lớp thứ hai.
Trình quản lý mật khẩu: bộ nhớ mà bạn không phải nhớ
Không ai nhớ nổi hàng chục mật khẩu dài, ngẫu nhiên, và đó là chỗ trình quản lý mật khẩu phát huy tác dụng. Nó là một kho khóa được mã hóa, chỉ mở bằng một mật khẩu chủ mạnh, bạn nhớ và chỉ bạn biết. Nó có thể tự sinh mật khẩu ngẫu nhiên cho từng dịch vụ, lưu lại và tự điền khi bạn đăng nhập.
Một lợi ích ít người để ý: trình quản lý thường chỉ tự điền trên đúng tên miền đã lưu. Khi bạn vào một trang giả mạo, nó sẽ không điền, và đó là tín hiệu cảnh báo miễn phí. Để dùng tốt, hãy chọn sản phẩm uy tín, đặt mật khẩu chủ dài và độc nhất, bật xác thực hai lớp cho chính kho khóa, và cất bản dự phòng khôi phục ở nơi an toàn. Chuyển dần từng tài khoản sang mật khẩu mới, bắt đầu từ những tài khoản quan trọng nhất: email, tài chính, rồi đến các dịch vụ giải trí như Hitclub.
Kiểm tra rò rỉ và hành động khi bị lộ
Hãy định kỳ kiểm tra xem địa chỉ email của bạn có xuất hiện trong các vụ rò rỉ đã biết hay không, qua các dịch vụ kiểm tra rò rỉ uy tín hoặc tính năng cảnh báo có sẵn trong trình quản lý mật khẩu và trình duyệt. Chỉ nhập địa chỉ email vào những công cụ bạn đã xác minh là đáng tin, và tuyệt đối không nhập mật khẩu thật của mình vào bất cứ đâu để "kiểm tra".
Nếu phát hiện bị lộ, hãy làm ngay theo thứ tự. Đổi mật khẩu của dịch vụ bị lộ. Đổi mật khẩu của mọi nơi đã dùng cùng mật khẩu đó, bắt đầu từ email. Bật xác thực hai lớp. Đăng xuất các phiên đăng nhập lạ và xem lại hoạt động gần đây. Theo dõi sao kê ngân hàng và cảnh giác với email, tin nhắn lừa đảo nhắm vào bạn trong thời gian sau đó, vì kẻ gian thường lợi dụng thông tin bị lộ để giả mạo thuyết phục hơn.
Những sai lầm thường gặp
Dùng một mật khẩu "mạnh" cho mọi nơi, nghĩ rằng mạnh là đủ. Đổi mật khẩu bằng cách thêm số đuôi. Chỉ đổi mật khẩu ở nơi bị lộ mà quên những nơi dùng trùng. Lưu mật khẩu trong tệp văn bản thường. Chia sẻ mật khẩu qua tin nhắn. Bỏ qua xác thực hai lớp vì thấy phiền. Và chỉ làm khi sự cố đã xảy ra, thay vì chuẩn bị từ lúc bình yên.
Cất chìa khóa vạn năng đi
Một bộ chìa khóa riêng cho từng cánh cửa có vẻ cồng kềnh, nhưng với trình quản lý mật khẩu, sự cồng kềnh ấy biến mất. Hôm nay hãy bắt đầu với một việc nhỏ: đổi mật khẩu email thành một chuỗi dài, độc nhất, rồi lần lượt xử lý các tài khoản còn lại, trong đó có Hitclub.
Lưu ý: dịch vụ giải trí trực tuyến chỉ dành cho người từ đủ 18 tuổi trở lên. Hãy tuân thủ pháp luật nơi bạn cư trú, dùng trong giới hạn thời gian và ngân sách do bạn tự đặt, và tự chịu trách nhiệm với lựa chọn của mình.