Vì sao không bao giờ dùng lại mật khẩu: bài học từ rò rỉ dữ liệu với Hitclub

Trong xưởng vẽ, có một sai lầm mà người mới nào cũng từng mắc: pha một màu thật ưng ý rồi dùng nó cho mọi thứ, từ bầu trời đến chiếc áo, từ bóng đổ đến mặt nước. Tiện thật, nhưng khi màu ấy phai hay bị vấy bẩn, cả bức tranh hỏng theo. Mật khẩu dùng chung cho nhiều dịch vụ vận hành y hệt như vậy. Với người dùng Hitclub, hiểu được cơ chế này là một trong những việc rẻ nhất mà hiệu quả nhất để giữ tài khoản của mình an toàn.

Ảnh: Joshua Reddekopp / Unsplash

Một nơi lộ, nhiều nơi nguy: cơ chế của rò rỉ dữ liệu

Các vụ rò rỉ dữ liệu thường không xảy ra ở dịch vụ mà bạn đang dùng. Chúng xảy ra ở một diễn đàn cũ bạn quên mất, một cửa hàng trực tuyến từng mua đồ một lần, một ứng dụng học tập đã gỡ từ lâu. Khi cơ sở dữ liệu của những nơi đó bị lấy cắp, danh sách email kèm mật khẩu (đôi khi ở dạng đã băm, đôi khi ở dạng gần như nguyên văn) được rao bán hoặc chia sẻ.

WhizArts hay ví von rằng đây giống chuyện một tấm phác thảo bị lọt ra ngoài xưởng. Ai nhặt được cũng có thể đem so với những bức tranh hoàn chỉnh của bạn để đoán xem bạn thường dùng bố cục nào. Vấn đề không nằm ở việc bạn bất cẩn với Hitclub, mà ở chỗ mật khẩu bạn đặt cho nơi khác lại là chìa khóa của chính nơi này.

Credential stuffing: kẻ gian không cần đoán, chỉ cần thử

Credential stuffing là kỹ thuật dùng phần mềm tự động thử hàng loạt cặp email và mật khẩu đã rò rỉ trên rất nhiều dịch vụ khác nhau. Kẻ tấn công không phải thông minh hơn bạn, họ chỉ có số lượng. Nếu trong một triệu cặp thông tin, chỉ vài trăm cặp trùng khớp với một dịch vụ khác, đối với họ đó đã là món hời.

Điểm đáng chú ý là hệ thống tự động này không "tấn công" theo nghĩa phá khóa. Nó chỉ gõ đúng mật khẩu, bằng đúng tên đăng nhập của bạn. Từ phía dịch vụ, phiên đăng nhập trông rất bình thường. Vì vậy, thứ duy nhất ngăn được nó nằm ở phía bạn: mỗi dịch vụ một mật khẩu riêng, để thông tin lộ ở nơi này không mở được cánh cửa ở nơi kia.

Mật khẩu duy nhất cho mỗi dịch vụ: nguyên tắc, không phải lời khuyên

Nhiều người nghĩ đặt mật khẩu khác nhau là việc cầu kỳ. Thực ra nó đơn giản như việc không dùng một chìa cho cả nhà, cơ quan và két sắt. Hãy áp dụng ba nguyên tắc:

1. Không biến tấu quá hiển nhiên. Đổi "mauvang2024" thành "mauvang2025" hay thêm tên dịch vụ vào cuối là kiểu biến tấu mà công cụ tự động đoán rất nhanh.
2. Không tái sử dụng dù chỉ một lần "tạm". Mật khẩu tạm có xu hướng ở lại vĩnh viễn.
3. Ưu tiên chuỗi dài, ngẫu nhiên. Độ dài và tính ngẫu nhiên quan trọng hơn việc nhét thêm ký tự đặc biệt theo thói quen.

Với tài khoản Hitclub, hãy coi mật khẩu như một màu độc quyền chỉ pha cho đúng một bức tranh. Nếu một nơi khác làm lộ màu ấy, bức tranh của bạn vẫn nguyên vẹn vì chưa từng dùng màu đó.

Trình quản lý mật khẩu: chiếc hộp màu có khóa

Phản đối thường gặp là "mật khẩu khác nhau cho từng nơi thì ai nhớ nổi". Câu trả lời là bạn không cần nhớ. Trình quản lý mật khẩu hoạt động như chiếc hộp màu có khóa: bạn chỉ nhớ một chìa chính, còn mọi màu bên trong được pha ngẫu nhiên và lưu giúp bạn.

Cách bắt đầu thực tế:

• Chọn một trình quản lý uy tín, có đánh giá độc lập, hỗ trợ cả điện thoại lẫn máy tính.
• Đặt mật khẩu chính thật dài (một cụm từ nhiều từ ghép lại) và không dùng ở bất kỳ đâu khác.
• Bật xác thực hai bước cho chính trình quản lý ấy.
• Tạo mật khẩu mới ngẫu nhiên cho từng dịch vụ, bắt đầu từ những tài khoản quan trọng nhất như email, ngân hàng và Hitclub.
• Ghi lại mã khôi phục của trình quản lý ở nơi vật lý an toàn, tách khỏi thiết bị.

Đừng chép mật khẩu vào ghi chú không mã hóa hay ảnh chụp màn hình. Đó là cách đặt chìa khóa dưới thảm chùi chân.

Kiểm tra rò rỉ: định kỳ nhìn lại bức tranh cũ

Có hai cách để biết thông tin của mình đã lộ chưa. Thứ nhất là dùng tính năng kiểm tra rò rỉ có sẵn trong nhiều trình quản lý mật khẩu và trình duyệt uy tín: họ so sánh thông tin của bạn với các kho dữ liệu đã bị lộ mà không cần hiển thị mật khẩu thật. Thứ hai là bật thông báo từ các dịch vụ tra cứu rò rỉ nổi tiếng quốc tế để nhận cảnh báo khi email của bạn xuất hiện trong một vụ lộ mới.

Khi nhận được cảnh báo, hãy đi theo thứ tự cố định: đổi mật khẩu của chính dịch vụ bị lộ, đổi ngay mọi nơi từng dùng chung mật khẩu đó (nếu có, đây chính là lúc bạn nhận ra mình đã dùng lại), bật hoặc kiểm tra xác thực hai bước, rồi xem lại lịch sử đăng nhập ở các tài khoản quan trọng, trong đó có Hitclub. Việc này nên làm trong cùng một buổi, không để dây dưa.

Sai lầm thường gặp cần tránh

• Cho rằng "tài khoản của tôi chẳng có gì đáng giá nên không ai để ý". Công cụ tự động không chọn mục tiêu, nó thử tất cả.
• Chỉ đổi mật khẩu của nơi bị lộ mà quên những nơi dùng trùng.
• Tin vào email "báo mật khẩu của bạn bị lộ" kèm đường dẫn lạ. Hãy tự mở kênh chính thức thay vì bấm theo thư.
• Dùng chung một mật khẩu "mạnh" cho mọi thứ, vì mạnh đến đâu mà dùng lại thì vẫn thành điểm yếu duy nhất.

Nhắc nhẹ cuối bài

Giữ mỗi cánh cửa một chiếc chìa riêng là thói quen nhỏ mà bền, cũng như người họa sĩ luôn rửa cọ sau mỗi lần pha màu. Làm một lần, bạn tiết kiệm được rất nhiều rắc rối về sau.

Hitclub là tên thương hiệu được nhắc trong bài nhằm minh họa các thói quen bảo mật tài khoản. Nội dung chỉ mang tính hướng dẫn an toàn dành cho người từ đủ 18 tuổi; mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng cho thời gian và ngân sách của mình, và tự chịu trách nhiệm với quyết định của mình.

Tham khảo thông tin tại Hit Club.