Bảo mật email khôi phục: cánh cửa sau của tài khoản Hitclub

Khi vẽ một ngôi nhà, ta hay dồn công vào cửa chính: tay nắm đẹp, ổ khoá chắc. Nhưng kẻ vào nhà thường tìm cửa sau. Với tài khoản Hitclub, mật khẩu là cửa chính, còn email khôi phục là cánh cửa sau. Ai kiểm soát được hộp thư đó đều có thể bấm "quên mật khẩu" và tự đặt lại mọi thứ mà không cần biết mật khẩu cũ. Trên bản đồ tuần của WhizArts, điểm yếu này hiếm khi được tô màu vì nó nằm ngoài tài khoản, nhưng nó lại là nơi sự cố nghiêm trọng bắt đầu.

Ảnh: Austin Distel / Unsplash

Vì sao email khôi phục quan trọng đến vậy

Gần như mọi dịch vụ đều dùng email để gửi liên kết đặt lại mật khẩu, mã xác minh và thông báo bảo mật. Điều đó có nghĩa là hộp thư của bạn là "chìa khoá của các chìa khoá". Nếu email bị chiếm:

• Kẻ gian có thể đặt lại mật khẩu tài khoản Hitclub chỉ trong vài phút.
• Họ đọc được thông báo đăng nhập lạ và xoá chúng để bạn không nhận ra.
• Họ có thể thiết lập quy tắc chuyển tiếp ngầm, nhận thư của bạn trong nhiều tuần mà không bị phát hiện.
• Họ dùng chính hộp thư đó để vào các dịch vụ khác của bạn.

Vì vậy mức bảo mật của tài khoản không bao giờ cao hơn mức bảo mật của email gắn với nó.

Bước 1: bật xác thực hai lớp cho chính email

Nếu chỉ làm một việc, hãy làm việc này. Trong phần bảo mật của hộp thư, bật xác thực hai lớp, ưu tiên ứng dụng xác thực hoặc khoá bảo mật thay vì chỉ dùng SMS, vì số điện thoại có thể bị chiếm bằng chiêu đổi SIM. Sau khi bật:

1. Tạo bộ mã dự phòng và lưu ngoại tuyến ở nơi an toàn, không chụp màn hình để lên mây.
2. Kiểm tra danh sách thiết bị tin cậy và gỡ những thiết bị bạn không còn dùng.
3. Bật cảnh báo đăng nhập từ thiết bị mới nếu dịch vụ thư có tính năng này.

Bước 2: mật khẩu riêng, dài và không trùng ở đâu khác

Email khôi phục cần một mật khẩu chỉ dùng cho nó. Nếu mật khẩu đó từng dùng cho một diễn đàn đã bị lộ dữ liệu, kẻ gian sẽ thử lại nó ở hộp thư của bạn, kỹ thuật này rất phổ biến. Quy tắc đơn giản:

• Dùng cụm từ dài khoảng 14 ký tự trở lên, gồm vài từ không liên quan nhau, thay vì một từ ngắn thêm số.
• Không dùng chung với bất kỳ tài khoản nào khác, kể cả Hitclub.
• Cất trong trình quản lý mật khẩu uy tín thay vì sổ tay trong ví hoặc tệp ghi chú không mã hoá.
• Đổi ngay khi nghi ngờ lộ, hoặc khi thấy thông báo đăng nhập lạ.

Bước 3: rà soát quy tắc chuyển tiếp và bộ lọc lạ

Đây là bước nhiều người bỏ qua, trong khi nó là chiêu duy trì quyền truy cập âm thầm quen thuộc. Hãy vào phần cài đặt thư và kiểm tra:

• Chuyển tiếp (forwarding): có địa chỉ nào lạ đang nhận bản sao thư của bạn không?
• Bộ lọc và quy tắc: có quy tắc nào tự động đánh dấu đã đọc, chuyển vào thùng rác hoặc lưu trữ các thư từ dịch vụ bạn dùng không? Kẻ gian dùng cách này để giấu thông báo bảo mật.
• Địa chỉ trả lời mặc định và chữ ký: có bị thay đổi không?
• Ứng dụng và quyền truy cập bên thứ ba: gỡ ứng dụng bạn không nhận ra hoặc không còn dùng.
• Địa chỉ và số điện thoại khôi phục của chính email: có phải do bạn đặt, và còn hoạt động không?

Nên rà soát một lần mỗi quý và ngay sau bất kỳ cảnh báo nào. Chỉ cần thấy một mục lạ, hãy xoá, đổi mật khẩu và đăng xuất mọi phiên.

Bước 4: giữ thông tin khôi phục luôn cập nhật

Email khôi phục cũng cần chính nó được khôi phục. Hãy kiểm tra rằng số điện thoại và địa chỉ phụ vẫn dùng được. Nên dùng một địa chỉ riêng, ít công khai, chỉ để phục vụ bảo mật cho tài khoản Hitclub, không dùng để đăng ký bản tin hay mạng xã hội. Địa chỉ càng ít người biết, càng ít bị nhắm tới bằng thư lừa đảo. Đừng dùng hộp thư công việc có thể bị thu hồi khi đổi chỗ làm, hay một địa chỉ cũ bị nhà cung cấp xoá vì lâu không đăng nhập.

Dấu hiệu email đã bị xâm nhập

• Thư bạn không gửi nằm trong mục đã gửi, hoặc bạn bè nhận được thư lạ từ bạn.
• Thông báo bảo mật hay thư xác nhận biến mất.
• Có đăng nhập từ vị trí, thiết bị lạ trong lịch sử hoạt động.
• Mật khẩu hay thông tin khôi phục bị đổi mà bạn không làm.
• Nhận được thư đặt lại mật khẩu cho các dịch vụ bạn không yêu cầu.

Nếu gặp, hãy đi theo trình tự: đổi mật khẩu email từ thiết bị tin cậy, đăng xuất tất cả phiên, kiểm tra quy tắc chuyển tiếp, bật hoặc đặt lại 2FA, rồi mới đổi mật khẩu Hitclub và các dịch vụ liên quan. Liên hệ hỗ trợ chính thức nếu thấy hoạt động bất thường trong tài khoản và ghi lại mốc thời gian.

Checklist nửa giờ cho cuối tuần

• Bật 2FA cho email bằng ứng dụng xác thực hoặc khoá bảo mật.
• Đặt mật khẩu mới, dài và duy nhất cho email.
• Kiểm tra mục chuyển tiếp và bộ lọc, xoá mục lạ.
• Gỡ ứng dụng bên thứ ba không cần.
• Cập nhật số điện thoại và địa chỉ phụ dùng để khôi phục.
• Lưu mã dự phòng ngoại tuyến.
• Đặt nhắc rà soát lại sau ba tháng.

Lưu ý 18+ và chơi có trách nhiệm: Nội dung chỉ dành cho người đủ 18 tuổi và mang tính hướng dẫn bảo mật. Hãy tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng về thời gian và ngân sách, không chia sẻ mật khẩu hay mã khôi phục cho bất kỳ ai và tự chịu trách nhiệm cho quyết định của mình. Khi không thể xác minh tình trạng tài khoản, hãy tạm dừng sử dụng cho tới khi chắc chắn.

Tham khảo thông tin tại nhà cái Hitclub.