Vì sao không bao giờ dùng lại mật khẩu: bài học từ rò rỉ dữ liệu với Tipclub

Có một người thợ đánh máy cẩn thận đến mức bạn bè gọi ông là "ông chủ chìa khóa". Nhà ông có cửa chính, cửa kho, tủ hồ sơ, ngăn kéo, mỗi nơi một chìa khác nhau. Có người cười: sao không dùng một chìa cho tiện? Ông đáp: tiện cho tôi thì cũng tiện cho kẻ trộm, chỉ cần lấy một chiếc là vào được hết. Mật khẩu hoạt động y hệt. Với Tipclub hay bất kỳ dịch vụ nào, dùng lại một mật khẩu cho nhiều nơi là đang gom mọi ổ khóa về cùng một chiếc chìa.

Ảnh: Yudi Indrawan / Unsplash

Một nơi lộ, kéo theo nhiều nơi

Dữ liệu người dùng bị rò rỉ là chuyện xảy ra thường xuyên với đủ loại dịch vụ, từ diễn đàn nhỏ đến công ty lớn. Khi một cơ sở dữ liệu bị lấy cắp, danh sách tên đăng nhập và mật khẩu (đôi khi đã băm, đôi khi chưa) bị rao bán hoặc phát tán. Điều quan trọng là bạn không kiểm soát được việc một dịch vụ khác có bảo vệ dữ liệu tốt hay không. Bạn chỉ kiểm soát được thứ nằm trong tay mình: mỗi dịch vụ một mật khẩu riêng.

Giả sử bạn từng đăng ký một diễn đàn cũ với cặp email và mật khẩu A. Diễn đàn bị rò rỉ. Nếu bạn cũng dùng cặp đó cho email, mạng xã hội và tài khoản giải trí, thì chỉ một sự cố ở nơi yếu nhất cũng mở được cả chuỗi.

Credential stuffing hoạt động thế nào

Credential stuffing, tạm dịch là nhồi thông tin đăng nhập, là kỹ thuật tự động hóa việc thử lại các cặp tên đăng nhập và mật khẩu bị lộ trên hàng loạt dịch vụ khác. Quy trình của kẻ tấn công:

1. Thu thập danh sách cặp đăng nhập từ các vụ rò rỉ cũ.
2. Dùng phần mềm thử từng cặp trên nhiều trang phổ biến, ở tốc độ rất cao, thường qua mạng lưới máy tính giả danh người dùng bình thường.
3. Ghi lại những cặp nào đăng nhập thành công.
4. Chiếm tài khoản, đổi thông tin khôi phục, hoặc rao bán quyền truy cập.

Điểm đáng sợ là kẻ tấn công không cần "hack" gì cả. Chúng chỉ cần chờ có người dùng lại mật khẩu. Tỷ lệ thành công mỗi lần có thể rất thấp, nhưng khi thử hàng triệu cặp, vẫn đủ nhiều người dính. Và bạn không cần làm sai điều gì ở dịch vụ bị tấn công: lỗi nằm ở chỗ khác.

Mật khẩu duy nhất cho mỗi dịch vụ

Nguyên tắc: mỗi tài khoản một mật khẩu, không trùng, không biến thể nhỏ. Đừng nghĩ "đổi đuôi một con số" là khác biệt: kẻ tấn công thử cả các biến thể hiển nhiên.

Một mật khẩu tốt có các đặc điểm:

• Dài: từ mười sáu ký tự trở lên, càng dài càng tốt. Độ dài quan trọng hơn độ phức tạp.
• Ngẫu nhiên: không chứa tên, ngày sinh, số điện thoại, từ có trong từ điển hay câu quen thuộc.
• Duy nhất: chưa từng dùng ở nơi nào khác.
• Không cần nhớ: bạn không cần phải thuộc lòng, đã có công cụ lo giúp.

Một lựa chọn khác cho những nơi cần nhớ bằng đầu, như mật khẩu máy tính hoặc kho khóa, là cụm từ ngẫu nhiên gồm bốn đến sáu từ không liên quan nhau, dễ nhớ mà rất khó đoán.

Trình quản lý mật khẩu là cuốn sổ chìa khóa

Vì không ai nhớ nổi hàng chục mật khẩu dài ngẫu nhiên, hãy dùng trình quản lý mật khẩu. Nó giống chiếc tủ có khóa chứa tất cả chìa: bạn chỉ cần nhớ một chìa chủ. Lợi ích:

• Tự tạo mật khẩu ngẫu nhiên, dài, cho từng dịch vụ.
• Tự điền đúng trang đã lưu, nên còn là lớp chống trang giả: nếu địa chỉ không khớp, nó sẽ không điền.
• Đồng bộ giữa điện thoại và máy tính, mã hóa dữ liệu bằng chìa chủ của bạn.
• Cảnh báo mật khẩu yếu, trùng lặp hoặc đã bị lộ.

Cách bắt đầu: chọn một trình quản lý uy tín (có thể là loại tích hợp sẵn trong hệ điều hành hoặc trình duyệt, hoặc dịch vụ chuyên dụng), đặt chìa chủ thật dài và duy nhất, bật xác thực hai lớp cho chính nó, rồi chuyển dần từng tài khoản sang, ưu tiên email, tài chính, rồi đến Tipclub và các dịch vụ giải trí. Đừng cố đổi hết trong một ngày, mỗi ngày vài tài khoản là đủ.

Kiểm tra rò rỉ và phản ứng

Nhiều dịch vụ kiểm tra rò rỉ cho phép bạn nhập email để xem địa chỉ đó có xuất hiện trong các vụ lộ dữ liệu đã biết không. Trình quản lý mật khẩu cũng thường có tính năng này. Hãy làm vài việc:

1. Kiểm tra các email bạn dùng, định kỳ vài tháng một lần.
2. Nếu thấy địa chỉ xuất hiện trong một vụ rò rỉ, đổi ngay mật khẩu của dịch vụ liên quan, và của mọi nơi từng dùng chung mật khẩu đó.
3. Bật xác thực hai lớp cho các tài khoản quan trọng, vì mật khẩu lộ cũng chưa chắc đủ để kẻ xấu vào được.
4. Xem lại danh sách thiết bị đăng nhập, đóng các phiên lạ.
5. Cảnh giác với thư lừa đảo sau vụ rò rỉ: kẻ xấu thường nhân cơ hội gửi thư giả mạo.

Chỉ nhập địa chỉ vào những công cụ kiểm tra uy tín, và đừng bao giờ nhập chính mật khẩu của mình vào trang lạ.

Những sai lầm thường gặp

• "Mật khẩu này đủ mạnh nên dùng chung cũng được". Mạnh đến đâu, dùng chung vẫn là một chìa cho nhiều ổ.
• Ghi mật khẩu vào ghi chú trần, tin nhắn tự gửi hoặc tờ giấy dán màn hình.
• Dùng chung mật khẩu với người thân, đồng nghiệp.
• Dùng biến thể có thể đoán: tên cộng năm, hay chỉ đổi chữ cuối.
• Bỏ qua xác thực hai lớp vì "đã có mật khẩu dài".
• Chỉ đổi mật khẩu một nơi sau vụ rò rỉ, quên những nơi khác dùng chung.

Một người "ông chủ chìa khóa" mất công hơn lúc đầu, nhưng ngủ ngon hơn mỗi đêm. Hãy dành một buổi cuối tuần đặt lại cho các tài khoản quan trọng nhất, bắt đầu từ email, vì email là chiếc chìa đứng sau mọi chiếc chìa khác.

Nội dung về Tipclub dành cho người từ đủ 18 tuổi, mang tính tham khảo. Mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí hợp lý và tự chịu trách nhiệm với quyết định của mình. Giải trí chỉ vui khi tài khoản và tài chính của bạn được bảo vệ cẩn thận.