Vì sao không bao giờ dùng lại mật khẩu: bài học từ rò rỉ dữ liệu với Sunwin
Hãy tưởng tượng một người thợ đánh máy khoá mười ngăn tủ khác nhau bằng cùng một chiếc chìa, vì "đỡ phải nhớ". Một hôm chiếc chìa ấy bị sao chép. Kẻ cầm bản sao không cần biết ngăn nào chứa gì, chỉ cần thử lần lượt, và mười ngăn mở toang. Dùng lại một mật khẩu cho nhiều tài khoản chính là thói quen đó. Bài này nói rõ vì sao nó nguy hiểm, và cách thay bằng một hệ thống chắc chắn hơn cho các tài khoản, trong đó có tài khoản Sunwin của bạn.
Ảnh: Aerps.com / Unsplash
Rò rỉ dữ liệu xảy ra thường xuyên hơn bạn nghĩ
Hầu như năm nào cũng có những vụ lộ dữ liệu lớn: một dịch vụ bị tấn công, một cơ sở dữ liệu cấu hình sai, một nhân sự bị lừa. Danh sách email và mật khẩu rò ra thường được trao đổi, bán lại, gom thành những tập khổng lồ lưu hành trong giới tội phạm mạng.
Điều quan trọng cần hiểu: bạn không thể kiểm soát việc một dịch vụ khác có bị lộ hay không. Bạn có thể cẩn thận tuyệt đối với tài khoản của mình, nhưng nếu mật khẩu ấy cũng đang nằm trong một diễn đàn nhỏ lâu ngày không ai bảo trì, nó vẫn có thể bị lộ từ đó. Cái bạn kiểm soát được là việc đảm bảo mật khẩu bị lộ ở nơi này không dùng được ở nơi khác.
Credential stuffing: kẻ cầm chùm chìa đi thử từng cửa
Credential stuffing, tạm dịch là nhồi thông tin đăng nhập, là kỹ thuật tự động hoá: kẻ tấn công lấy các cặp email và mật khẩu đã lộ rồi dùng phần mềm thử đồng loạt trên hàng trăm dịch vụ phổ biến. Chúng không cần đoán mật khẩu, vì mật khẩu thật đã nằm sẵn trong tay.
Vì sao nó thành công? Vì tỉ lệ người dùng lại mật khẩu rất cao. Chỉ cần một phần nhỏ trong số hàng triệu cặp thông tin khớp với tài khoản ở dịch vụ khác, chúng đã có đủ nạn nhân. Quá trình diễn ra tự động, nhanh và rẻ, nên không có chuyện "mình đâu có gì đáng để họ nhắm". Bạn bị thử không vì bạn là ai, mà vì thông tin của bạn nằm trong danh sách.
Hệ quả có thể kéo từ tài khoản giải trí sang thư điện thoại, ví điện tử, mạng xã hội. Một mật khẩu dùng chung biến một sự cố nhỏ thành một chuỗi sự cố.
Hiệu ứng domino: một nơi lộ, nhiều nơi nguy
Cách nghĩ hữu ích là xem các tài khoản như những quân domino xếp thẳng hàng. Mật khẩu dùng chung là sợi dây nối chúng. Quân đầu ngã, cả hàng ngã theo. Đặc biệt nguy hiểm nếu mật khẩu đó cũng là mật khẩu của hộp thư chính, vì hộp thư là nơi nhận thư đặt lại mật khẩu của mọi dịch vụ khác. Kẻ chiếm được hộp thư có thể lần lượt "quên mật khẩu" rồi chiếm tiếp từng tài khoản.
Mật khẩu duy nhất cho mỗi dịch vụ cắt đứt sợi dây này. Quân nào ngã thì ngã riêng quân đó, các quân còn lại vẫn đứng vững. Thiệt hại bị khoanh vùng, bạn chỉ phải xử lý đúng một chỗ.
Mật khẩu duy nhất cho mỗi dịch vụ, và làm sao nhớ nổi
Nghe có vẻ bất khả thi khi bạn có hàng chục, hàng trăm tài khoản. Câu trả lời là bạn không cần nhớ hết, mà để công cụ nhớ giúp. Các nguyên tắc cho một mật khẩu tốt:
- Dài. Ưu tiên mười sáu ký tự trở lên, hoặc một cụm từ dài gồm nhiều từ ngẫu nhiên. Độ dài đáng giá hơn việc cố nhồi ký hiệu.
- Ngẫu nhiên. Không dùng ngày sinh, tên người thân, từ điển quen thuộc, hay quy luật tự chế như thêm số cuối cho mỗi dịch vụ.
- Duy nhất. Mỗi dịch vụ một mật khẩu riêng, không có ngoại lệ, nhất là với email, ngân hàng và tài khoản Sunwin.
- Do máy sinh. Dùng trình tạo mật khẩu trong trình quản lý để có chuỗi thực sự ngẫu nhiên.
Tránh luôn những "mẹo" phổ biến nhưng yếu: đổi chữ "a" thành "@", thêm "123" ở cuối, hoặc chỉ đổi vài ký tự giữa các dịch vụ. Kẻ tấn công cũng biết các quy luật này và thử chúng.
Trình quản lý mật khẩu và xác thực hai bước
Trình quản lý mật khẩu là kho lưu trữ có mã hóa, bạn chỉ cần nhớ một mật khẩu chủ thật dài và mạnh, còn lại nó tự sinh, lưu và điền cho từng dịch vụ. Nhiều trình duyệt và hệ điều hành đã có sẵn tính năng này, ngoài ra còn các ứng dụng chuyên dụng. Hãy chọn sản phẩm có uy tín, đọc kỹ cách bảo vệ dữ liệu, và bật xác thực hai bước cho chính trình quản lý.
Một số bước bắt đầu thực tế:
- Cài một trình quản lý mật khẩu đáng tin và đặt mật khẩu chủ dài, chỉ có trong đầu bạn.
- Bật xác thực hai bước cho nó và lưu mã khôi phục ở nơi an toàn ngoài mạng.
- Nhập dần các tài khoản quan trọng nhất trước: email, ngân hàng, ví, rồi tài khoản Sunwin.
- Với mỗi tài khoản, đổi sang mật khẩu mới do máy sinh.
- Bật xác thực hai bước ở từng dịch vụ có hỗ trợ, ưu tiên ứng dụng xác thực hoặc khóa bảo mật.
Lớp xác thực hai bước là chiếc khoá thứ hai: kể cả mật khẩu bị lộ, kẻ xấu vẫn thiếu phần còn lại.
Kiểm tra rò rỉ và phản ứng khi bị lộ
Bạn có thể chủ động kiểm tra xem địa chỉ email của mình có xuất hiện trong các vụ rò rỉ công khai hay không, qua các dịch vụ kiểm tra uy tín, hoặc qua tính năng cảnh báo mật khẩu bị lộ có trong nhiều trình quản lý mật khẩu và trình duyệt. Hãy nhập địa chỉ ở những nơi bạn tin cậy và không bao giờ nhập chính mật khẩu của mình vào các trang không rõ nguồn.
Nếu phát hiện thông tin bị lộ, hãy hành động theo thứ tự:
- Đổi ngay mật khẩu của tài khoản liên quan, rồi của mọi nơi từng dùng chung mật khẩu đó.
- Bật hoặc kiểm tra xác thực hai bước.
- Đăng xuất mọi thiết bị lạ và xem lại lịch sử đăng nhập.
- Cảnh giác tin nhắn, thư lạ sau vụ rò rỉ, vì kẻ xấu hay lợi dụng để lừa tiếp.
- Theo dõi sao kê và thông báo từ các dịch vụ tài chính để phát hiện giao dịch bất thường.
Điều đáng nhớ: bị lộ không phải là lỗi của bạn, nhưng phản ứng nhanh và gọn là phần bạn làm được.
Lưu ý 18+ và chơi có trách nhiệm
Dịch vụ giải trí liên quan đến Sunwin chỉ dành cho người đủ 18 tuổi trở lên. Hãy tuân thủ pháp luật nơi bạn cư trú, xem đây là hoạt động giải trí, đặt giới hạn thời gian và ngân sách rõ ràng, và tự chịu trách nhiệm với lựa chọn của mình. Bảo vệ tài khoản bằng mật khẩu riêng và xác thực hai bước là một phần của chơi có trách nhiệm, nhưng không thay thế việc giữ cân bằng cuộc sống. Khi thấy mất cân bằng, hãy dừng lại và tìm sự hỗ trợ phù hợp.
Tham khảo thông tin tại customplays.in.net.