Vì sao không bao giờ dùng lại mật khẩu: bài học từ rò rỉ dữ liệu với Hitclub

Một họa sĩ có thể dùng cùng một tuýp màu cho nhiều bức tranh, nhưng không ai dùng cùng một chiếc chìa khóa cho phòng tranh, nhà kho và căn hộ riêng. Mật khẩu của Hitclub cũng vậy: nó là chìa khóa, không phải màu vẽ. Bài này đi qua lý do vì sao việc dùng lại một mật khẩu cho nhiều nơi là lỗ hổng lớn hơn hầu hết mọi người tưởng, và cách dựng một hệ thống chìa khóa riêng lẻ mà vẫn dễ sống.

Ảnh: Sumudu Mohottige / Unsplash

Một nơi lộ, nhiều nơi đổ

Hãy tưởng tượng bạn dùng cùng một mật khẩu cho email, mạng xã hội, một diễn đàn nhỏ và tài khoản Hitclub. Diễn đàn nhỏ ấy ít được đầu tư bảo mật, một ngày bị xâm nhập và danh sách tài khoản kèm mật khẩu bị rao bán. Bạn không hề làm gì sai ở Hitclub, nhưng chiếc chìa đã nằm trong tay người lạ.

Đây là cơ chế của rò rỉ dữ liệu: lỗi không nằm ở nơi bạn quan tâm nhất mà ở nơi yếu nhất trong chuỗi các dịch vụ bạn từng đăng ký. Mật khẩu dùng chung biến điểm yếu nhỏ nhất thành cửa vào của mọi nơi khác. Giống như một vết nước loang trên giấy: chỉ cần một góc ướt, cả bức tranh bị ảnh hưởng.

Credential stuffing: thử chìa hàng loạt

Kẻ xấu không ngồi đoán mật khẩu từng người. Họ lấy danh sách email và mật khẩu đã rò rỉ, rồi dùng công cụ tự động thử chính cặp thông tin đó trên hàng trăm dịch vụ khác nhau. Kỹ thuật này gọi là credential stuffing, tạm dịch là nhồi thông tin đăng nhập.

Điểm đáng chú ý là nó rẻ và nhanh. Chỉ cần một phần nhỏ trong số người dùng dùng lại mật khẩu là đủ để cuộc thử có lãi. Và vì cặp thông tin là đúng, hệ thống nhìn từ bên ngoài thấy một lần đăng nhập hợp lệ, không có dấu hiệu phá khóa nào cả. Điều duy nhất ngăn chặn được là mật khẩu ở Hitclub không trùng với bất cứ nơi nào khác.

Dấu hiệu bạn có thể nhận ra sau một cuộc thử như vậy gồm: thông báo đăng nhập từ thiết bị hoặc vị trí lạ, email đặt lại mật khẩu bạn không yêu cầu, hoặc yêu cầu xác thực xuất hiện khi bạn không thao tác.

Nguyên tắc: một dịch vụ, một mật khẩu duy nhất

Quy tắc ngắn gọn nhưng không có ngoại lệ: mỗi dịch vụ một mật khẩu riêng, không tái sử dụng, không biến tấu theo kiểu thêm số cuối. Việc đổi "matkhau1" thành "matkhau2" là một cái bẫy quen thuộc, vì công cụ tự động thử cả các biến thể phổ biến.

Một mật khẩu tốt cho Hitclub nên:

• Dài, ưu tiên từ 14 ký tự trở lên.
• Không chứa tên, ngày sinh, số điện thoại hay biệt danh bạn dùng công khai.
• Chưa từng xuất hiện ở bất kỳ dịch vụ nào khác.
• Được tạo ngẫu nhiên hoặc ghép từ nhiều từ không liên quan.

Nếu bạn cảm thấy mật khẩu quá khó nhớ, đó là dấu hiệu tốt, vì phần nhớ nên giao cho công cụ chuyên dụng.

Trình quản lý mật khẩu: bảng pha màu cho chìa khóa

Một họa sĩ không nhớ công thức của từng sắc độ trong đầu, họ ghi vào sổ phối màu. Trình quản lý mật khẩu làm đúng vai trò đó. Bạn chỉ cần nhớ một mật khẩu chủ thật dài và mạnh, phần còn lại do công cụ tạo ra, lưu trữ mã hóa và điền giúp.

Các bước thiết lập gợi ý:

1. Chọn một trình quản lý uy tín, có bản được cộng đồng bảo mật đánh giá tốt.
2. Tạo mật khẩu chủ dạng cụm từ dài, chỉ bạn biết, không ghi ở nơi dễ thấy.
3. Bật xác thực hai lớp cho chính trình quản lý này.
4. Nhập dần các tài khoản quan trọng trước: email, ngân hàng, rồi tài khoản Hitclub.
5. Với mỗi tài khoản, dùng chức năng tạo mật khẩu ngẫu nhiên và thay mật khẩu cũ.

Một lợi ích phụ: trình quản lý thường chỉ tự điền khi địa chỉ trang khớp với địa chỉ đã lưu. Nếu nó không điền, đó có thể là tín hiệu bạn đang ở một trang giả mạo, một lớp bảo vệ mà trí nhớ của con người khó làm được.

Kiểm tra rò rỉ và hành động khi bị lộ

Nhiều trình quản lý mật khẩu hiện nay có chức năng cảnh báo khi một mật khẩu trùng lặp, yếu hoặc xuất hiện trong dữ liệu rò rỉ đã biết. Hãy bật nó và xem như một lần rà soát định kỳ, giống việc lau khung tranh mỗi mùa.

Khi thấy cảnh báo, thứ tự ưu tiên nên là:

1. Đổi mật khẩu của dịch vụ bị cảnh báo trước, từ một thiết bị tin cậy.
2. Kiểm tra nơi nào khác từng dùng chung mật khẩu đó và đổi tiếp, bắt đầu từ email.
3. Đăng xuất các phiên đang mở, xem lại lịch sử đăng nhập và thiết bị liên kết.
4. Bật hoặc rà lại xác thực hai lớp.
5. Đọc kỹ mọi email lạ trong vài tuần sau, vì dữ liệu lộ thường kéo theo thư giả mạo.

Với tài khoản Hitclub, hãy luôn mở dịch vụ từ dấu trang bạn tự lưu hoặc tự gõ tên thương hiệu, không bấm nút trong tin nhắn nói rằng "tài khoản có vấn đề". Chính những tin nhắn đó là bước thứ hai của kẻ lấy được dữ liệu rò rỉ.

Sai lầm thường gặp

• Dùng một mật khẩu "chính" rồi thêm hậu tố theo dịch vụ. Chỉ cần lộ một biến thể, quy luật bị đoán ra.
• Lưu mật khẩu trong ghi chú điện thoại hoặc file không mã hóa. Mất máy là mất tất cả.
• Chỉ đổi mật khẩu sau khi đã có chuyện. Phòng ngừa luôn rẻ hơn khắc phục.
• Chia sẻ mật khẩu qua tin nhắn cho người thân hay bạn bè. Kênh trò chuyện không phải két sắt.
• Bỏ qua email. Email là chìa khóa tổng, vì mọi lần đặt lại mật khẩu đều đi qua nó.

Mỗi lỗi nhỏ đều là một nét sơn lệch, nhưng cộng lại thành bức tranh khó cứu.

Lưu ý 18+ và chơi có trách nhiệm

Nội dung chỉ mang tính hướng dẫn an toàn thông tin cho người đủ 18 tuổi. Việc sử dụng Hitclub là hoạt động giải trí, hãy tuân thủ pháp luật tại nơi bạn cư trú, đặt giới hạn thời gian và ngân sách rõ ràng từ trước và dừng lại khi thấy mình mệt mỏi hoặc mất kiểm soát. Bảo mật tốt giúp bạn giữ được tài khoản, còn kỷ luật cá nhân giúp bạn giữ được sự tỉnh táo; mỗi người tự chịu trách nhiệm với lựa chọn của mình.

Tham khảo thông tin tại Hit club.