Vì sao không bao giờ dùng lại mật khẩu: bài học từ rò rỉ dữ liệu với Sunwin

Trong xưởng vẽ, có một thói quen mà họa sĩ lâu năm nào cũng nhắc: mỗi tác phẩm quý có một ngăn tủ riêng, một ổ khóa riêng. Không ai đúc một chiếc chìa duy nhất rồi dùng nó mở cả xưởng, kho sơn, phòng lưu tranh và căn hộ của mình. Vậy mà trên không gian mạng, rất nhiều người đang làm đúng điều đó với mật khẩu. WhizArts muốn dùng bài này để giải thích vì sao thói quen ấy nguy hiểm, và vì sao với một tài khoản Sunwin, mật khẩu riêng biệt là nền móng của mọi lớp bảo vệ khác.

Ảnh: Markus Spiske / Unsplash

Một nơi lộ, nhiều nơi mất: cách rò rỉ lan ra

Hãy hình dung bạn đăng ký một diễn đàn nhỏ về sưu tầm tranh bằng email và mật khẩu quen thuộc. Vài năm sau, diễn đàn ấy bị xâm nhập, cơ sở dữ liệu bị đem rao bán. Bạn thậm chí đã quên mình từng có tài khoản ở đó. Nhưng bộ đôi email và mật khẩu của bạn giờ nằm trong một tệp khổng lồ, được sao chép qua rất nhiều tay.

Điều đáng sợ không nằm ở diễn đàn nhỏ kia, mà ở chuyện bạn dùng cùng mật khẩu ấy cho thư điện tử, mạng xã hội, ví điện tử và cả tài khoản giải trí như Sunwin. Kẻ xấu không cần tấn công nơi được bảo vệ tốt nhất. Chúng chỉ cần chờ một nơi yếu nhất làm rơi chiếc chìa, rồi thử chiếc chìa ấy lên mọi cánh cửa còn lại.

Credential stuffing: thử chìa hàng loạt

Kỹ thuật này có tên là credential stuffing, tạm hiểu là nhồi thông tin đăng nhập. Chúng hoạt động như sau:

1. Kẻ xấu lấy một danh sách email và mật khẩu từ một vụ rò rỉ cũ.
2. Một chương trình tự động mang từng cặp thông tin đó đi thử đăng nhập vào hàng trăm dịch vụ phổ biến, trong đó có các nền tảng giải trí.
3. Với mỗi cặp trùng khớp, chương trình ghi lại một tài khoản vừa bị mở.
4. Tài khoản được dùng trực tiếp hoặc bán lại cho người khác.

Điểm mấu chốt: quá trình này không cần đoán mật khẩu, không cần kỹ năng cao, và chạy cả ngày lẫn đêm. Tỉ lệ thành công mỗi lần có thể thấp, nhưng khi danh sách có hàng triệu dòng thì con số tuyệt đối vẫn rất lớn. Người dùng bị mất tài khoản thường không hiểu mình sai ở đâu, vì họ chưa từng bị "hack" theo nghĩa bình thường. Họ chỉ dùng lại một chiếc chìa cũ.

Nguyên tắc: mỗi dịch vụ một mật khẩu duy nhất

Giải pháp nghe đơn giản đến mức nhiều người bỏ qua: mỗi dịch vụ một mật khẩu hoàn toàn khác nhau, không biến tấu theo công thức. Đặc biệt cần tránh kiểu "đổi vài ký tự cuối", chẳng hạn mật khẩu cũ cộng thêm tên dịch vụ. Kẻ xấu biết rõ mẹo này và các chương trình thử chìa thường tự động thử luôn những biến thể quen thuộc.

Với tài khoản Sunwin, hãy coi mật khẩu như tên của một bức tranh duy nhất: nó chỉ thuộc về tác phẩm đó. Nếu mai kia một dịch vụ khác bị lộ, thiệt hại sẽ dừng lại ở đúng nơi ấy, không lan sang phòng triển lãm nào khác. Đây gọi là nguyên tắc khoanh vùng thiệt hại, và nó quan trọng hơn việc mật khẩu của bạn "phức tạp" đến đâu.

Trình quản lý mật khẩu: tủ khóa của người bận rộn

Nghe đến đây có người sẽ hỏi: làm sao nhớ nổi vài chục mật khẩu khác nhau? Câu trả lời là bạn không cần nhớ. Trình quản lý mật khẩu là một cái tủ khóa được mã hóa, trong đó bạn chỉ cần nhớ đúng một chìa chủ.

Cách dùng hợp lý:

• Chọn một trình quản lý uy tín, có tiếng, được kiểm định độc lập, thay vì tự ghi vào tệp văn bản hay ghi chú điện thoại.
• Đặt chìa chủ là một cụm từ dài, đủ dài để khó đoán nhưng vẫn dễ nhớ với bạn.
• Bật xác thực hai lớp cho chính trình quản lý này, vì nó giữ mọi thứ.
• Để trình quản lý tự sinh mật khẩu ngẫu nhiên, dài, cho từng dịch vụ, bao gồm cả tài khoản Sunwin.
• Chuyển dần các tài khoản cũ sang mật khẩu mới, bắt đầu từ thư điện tử chính và những nơi có tiền hay thông tin cá nhân.

Một lợi ích ít được nhắc: trình quản lý còn giúp nhận ra trang giả. Nó chỉ tự điền mật khẩu khi địa chỉ khớp với trang đã lưu, nên khi bạn thấy nó im lặng ở một trang trông quen thuộc, đó là lời cảnh báo miễn phí.

Kiểm tra rò rỉ và chuyển đổi từ từ

Việc dùng lại mật khẩu thường là thói quen tích tụ nhiều năm, nên đừng cố sửa hết trong một buổi tối. Hãy làm theo thứ tự ưu tiên.

Trước hết, kiểm tra xem email của bạn có xuất hiện trong các vụ rò rỉ đã được công bố hay không, bằng những dịch vụ tra cứu uy tín mà bạn tự tìm và tự gõ địa chỉ, không bấm theo đường dẫn lạ. Nếu có, hãy xem vụ rò rỉ đó chứa loại thông tin nào, rồi đổi mật khẩu ở mọi nơi từng dùng chung chiếc chìa ấy.

Sau đó, lập một danh sách nhỏ các tài khoản quan trọng: thư điện tử, ngân hàng hoặc ví, mạng xã hội chính, và tài khoản Sunwin. Đổi từng cái, mỗi cái một mật khẩu sinh ngẫu nhiên. Cuối cùng mới đến những tài khoản ít quan trọng.

Hãy nhớ rằng mật khẩu mới chỉ an toàn khi bạn không gõ nó vào chỗ nào khác. Đừng gửi mật khẩu qua tin nhắn, đừng chụp màn hình, và đừng đọc cho ai nghe, kể cả người tự xưng là hỗ trợ.

Những sai lầm thường gặp

• Nghĩ rằng "tôi không quan trọng, chẳng ai nhắm vào tôi". Các chương trình tự động không chọn người, chúng thử tất cả.
• Dùng mật khẩu giống nhau nhưng thêm số hoặc ký tự đặc biệt ở cuối.
• Lưu mật khẩu trong trình duyệt dùng chung với người khác, hoặc trên máy tính công cộng.
• Bỏ qua thư thông báo "phát hiện đăng nhập mới" vì cho rằng chắc là nhầm.
• Chỉ đổi mật khẩu khi đã mất tài khoản, thay vì đổi ngay khi nghe tin rò rỉ.

Một bảo tàng không bảo vệ tranh bằng cách khóa cửa chính thật chắc rồi để mọi cửa phụ dùng chung một chìa. Việc bảo vệ tài khoản Sunwin cũng vậy: mật khẩu duy nhất, trình quản lý mật khẩu, xác thực hai lớp và thói quen kiểm tra rò rỉ định kỳ là bốn lớp bổ trợ cho nhau.

Lưu ý 18+ và chơi có trách nhiệm

Nội dung giải trí chỉ dành cho người đủ 18 tuổi trở lên. Hãy tuân thủ pháp luật tại nơi bạn sinh sống và chỉ tham gia khi việc đó hoàn toàn hợp pháp với bạn. Xem giải trí là giải trí: đặt một giới hạn thời gian và ngân sách rõ ràng từ trước, không dùng khoản tiền cần cho sinh hoạt, và dừng lại khi cảm thấy mệt hoặc mất kiểm soát. Mọi quyết định đều là trách nhiệm của chính bạn; nếu thấy khó tự dừng, hãy chia sẻ với người thân hoặc tìm sự hỗ trợ chuyên môn.

Tham khảo thông tin tại customplays.in.net.