Vì sao không bao giờ dùng lại mật khẩu: bài học từ rò rỉ dữ liệu với Hitclub
Tôi biết một người thợ khóa kể rằng vụ trộm khiến ông thấy tiếc nhất không phải do kẻ phá cửa, mà do chủ nhà chép một chiếc chìa thành nhiều bản, đưa cho đủ người, đến nỗi ai nhặt được một chiếc cũng mở được cả dãy nhà. Mật khẩu dùng lại ở nhiều nơi là chuyện y như vậy. Bài này nói vì sao, và cách giữ cho mỗi cánh cửa, kể cả tài khoản Hitclub, có một chiếc chìa riêng.
Ảnh: David Fagan / Unsplash
Một nơi lộ, nhiều nơi nguy
Các dịch vụ trực tuyến bị rò rỉ dữ liệu khá thường xuyên, và không có dịch vụ nào miễn nhiễm hoàn toàn. Khi một nơi bị lộ, danh sách địa chỉ email kèm mật khẩu có thể bị bán hoặc phát tán rộng rãi. Bạn không thể làm gì để ngăn điều đó nếu nó xảy ra ở một dịch vụ mình không kiểm soát.
Điều bạn kiểm soát được là hậu quả. Nếu mật khẩu ở dịch vụ bị lộ chỉ dùng ở đúng dịch vụ đó, thiệt hại dừng lại ở đó: bạn đổi mật khẩu, xong. Nhưng nếu cùng mật khẩu ấy được dùng cho email, mạng xã hội, ví điện tử, tài khoản giải trí, thì một vụ rò rỉ nhỏ ở một diễn đàn quên tên có thể kéo cả chuỗi tài khoản quan trọng sụp theo.
Credential stuffing: kẻ thử chìa hàng loạt
Credential stuffing, tạm gọi là nhồi thông tin đăng nhập, là kỹ thuật dùng phần mềm tự động lấy các cặp email và mật khẩu đã rò rỉ rồi thử lần lượt trên hàng loạt dịch vụ khác. Kẻ tấn công không cần đoán, không cần thông minh; chúng chỉ cần kiên nhẫn và phần mềm chạy hàng nghìn lần mỗi giờ.
Nếu tỷ lệ người dùng lại mật khẩu là cao, thì chỉ cần một phần nhỏ trong số hàng triệu lần thử trúng là đã đủ để chiếm hàng nghìn tài khoản. Bạn không cần là mục tiêu cụ thể của ai; bạn chỉ là một dòng trong danh sách. Điều này đáng lưu ý: tấn công kiểu này không đòi hỏi bất kỳ lỗi nào từ phía Hitclub hay dịch vụ bị thử, mà đơn giản là khai thác thói quen dùng lại của người dùng.
Mật khẩu duy nhất cho mỗi dịch vụ
Nguyên tắc rất đơn giản: mỗi dịch vụ một mật khẩu riêng, không trùng, không "na ná" kiểu thêm số cuối. Những biến thể như đổi một chữ hay cộng thêm tên dịch vụ vào mật khẩu gốc rất dễ bị các công cụ tự động đoán ra. Hãy để mật khẩu thật sự độc lập.
Về độ mạnh, mật khẩu dài quan trọng hơn mật khẩu phức tạp. Một cụm nhiều từ không liên quan nhau, đủ dài, dễ nhớ nhưng khó đoán, thường tốt hơn một chuỗi ký tự ngắn rối rắm. Nhưng ở chỗ nào có thể dùng trình quản lý mật khẩu, hãy để nó tạo chuỗi ngẫu nhiên dài, vì khi đó bạn không cần nhớ.
Hãy ưu tiên đổi trước cho những tài khoản quan trọng nhất: email chính, ngân hàng, ví điện tử, các tài khoản gắn thanh toán, rồi đến Hitclub và những dịch vụ giải trí khác. Email là mắt xích then chốt, vì nó là nơi nhận thư khôi phục cho mọi thứ còn lại.
Trình quản lý mật khẩu: cuốn sổ chìa khóa an toàn
Không ai nhớ nổi hàng chục mật khẩu dài và khác nhau, nên cần một công cụ. Trình quản lý mật khẩu là kho được mã hóa, mở bằng một mật khẩu chủ mạnh, lưu và tự điền mật khẩu cho từng trang. Nó có thể tạo mật khẩu ngẫu nhiên, cảnh báo mật khẩu trùng hoặc yếu, và nhiều loại còn nhắc bạn khi một trang đã bị rò rỉ.
Cách dùng thận trọng: chọn sản phẩm có uy tín, đặt mật khẩu chủ thật dài chỉ dùng cho nó, bật xác thực hai lớp cho chính kho, và lưu mã khôi phục ở nơi an toàn ngoài thiết bị. Ngoài ra, tự điền chỉ nên hoạt động trên đúng tên miền đã lưu; chính điều này còn giúp bạn nhận ra trang giả, vì trình quản lý sẽ không điền gì trên một địa chỉ lạ.
Khi chuyển sang trình quản lý mật khẩu, đừng cố đổi hết trong một đêm. Mỗi lần đăng nhập vào một dịch vụ, hãy đổi mật khẩu luôn. Sau vài tuần, phần lớn tài khoản quan trọng sẽ đã sạch.
Kiểm tra rò rỉ và phản ứng khi bị lộ
Hãy thỉnh thoảng kiểm tra xem địa chỉ email của mình có xuất hiện trong các vụ rò rỉ công khai hay không, bằng các dịch vụ kiểm tra uy tín hoặc tính năng cảnh báo có sẵn trong trình quản lý mật khẩu và trình duyệt. Nếu có, đừng hoảng; hãy hành động theo thứ tự.
Đầu tiên, đổi ngay mật khẩu của dịch vụ liên quan và bất kỳ nơi nào từng dùng chung. Thứ hai, bật hoặc kiểm tra xác thực hai lớp. Thứ ba, đăng xuất khỏi mọi phiên đăng nhập và xem lại thiết bị đã liên kết. Thứ tư, kiểm tra sao kê và hoạt động tài khoản xem có giao dịch lạ không, và báo ngay cho ngân hàng hoặc dịch vụ nếu có. Cuối cùng, cảnh giác với email và tin nhắn lừa đảo sau vụ rò rỉ, vì kẻ xấu thường tận dụng dữ liệu để tạo lời nhắn có vẻ thật.
Những sai lầm cần tránh
Có vài sai lầm phổ biến: lưu mật khẩu trong ghi chú điện thoại không mã hóa, gửi mật khẩu qua tin nhắn cho người khác, dùng mật khẩu chung cho cả gia đình, chọn câu hỏi bảo mật có đáp án dễ tìm trên mạng xã hội, và nghĩ rằng "mình không quan trọng, ai thèm nhắm tới". Kẻ tấn công tự động không chọn người; chúng thử tất cả. Giữ kỷ luật nhỏ này từ hôm nay đỡ tốn rất nhiều rắc rối về sau.
Lời nhắc về chơi có trách nhiệm
Giải trí trực tuyến, gồm cả Hitclub, chỉ dành cho người đủ 18 tuổi trở lên, và bạn cần tuân thủ pháp luật nơi mình cư trú. Bảo vệ tài khoản bằng mật khẩu riêng là một phần của sự an toàn; phần còn lại là giữ giải trí trong giới hạn, chỉ dùng tiền nhàn rỗi, đặt trước ngân sách và thời gian, nghỉ ngơi khi cần. Nếu thấy khó kiểm soát, hãy chia sẻ với người thân hoặc tìm hỗ trợ chuyên môn. Mỗi người tự chịu trách nhiệm về lựa chọn của mình.
Tham khảo thông tin tại Hit Club.