Tổng cộng 500 triệu tài khoản Zoom là để bán trên dark web nhờ vào "nhồi nhét thông tin xác thực". Đó là cách phổ biến để bọn tội phạm đột nhập vào tài khoản trực tuyến. Dưới đây là ý nghĩa thực sự của thuật ngữ đó và cách bạn có thể tự bảo vệ mình.
Nó bắt đầu với cơ sở dữ liệu mật khẩu bị rò rỉ
Các cuộc tấn công chống lại các dịch vụ trực tuyến là phổ biến. Tội phạm thường khai thác các lỗ hổng bảo mật trong hệ thống để lấy cơ sở dữ liệu về tên người dùng và mật khẩu. Cơ sở dữ liệu của thông tin đăng nhập bị đánh cắp thường được bán trực tuyến trên web đen , với tội phạm trả tiền Bitcoin để có đặc quyền truy cập cơ sở dữ liệu.
Giả sử bạn có một tài khoản trên diễn đàn Avast, vi phạm vào năm 2014 . Tài khoản đó đã bị xâm phạm và bọn tội phạm có thể có tên người dùng và mật khẩu của bạn trên diễn đàn Avast. Avast đã liên hệ với bạn và yêu cầu bạn thay đổi mật khẩu diễn đàn của mình, vậy vấn đề là gì?
Thật không may, vấn đề là nhiều người sử dụng lại các mật khẩu giống nhau trên các trang web khác nhau. Giả sử chi tiết đăng nhập diễn đàn Avast của bạn là “[email protected]” và “AmazingPassword.” Nếu bạn đăng nhập vào các trang web khác bằng cùng tên người dùng (địa chỉ email của bạn) và mật khẩu, bất kỳ tên tội phạm nào có được mật khẩu bị rò rỉ của bạn đều có thể truy cập vào các tài khoản khác đó.
LIÊN QUAN: Web đen là gì?
Thông tin đăng nhập đang thực hiện
“Nhồi nhét thông tin xác thực” liên quan đến việc sử dụng các cơ sở dữ liệu này về các chi tiết đăng nhập bị rò rỉ và cố gắng đăng nhập bằng chúng trên các dịch vụ trực tuyến khác.
Tội phạm lấy cơ sở dữ liệu lớn về sự kết hợp tên người dùng và mật khẩu bị rò rỉ — thường là hàng triệu thông tin đăng nhập — và cố gắng đăng nhập bằng chúng trên các trang web khác. Một số người sử dụng lại cùng một mật khẩu trên nhiều trang web, vì vậy một số sẽ trùng khớp. Điều này thường có thể được tự động hóa bằng phần mềm, nhanh chóng thử nhiều kết hợp đăng nhập.
Đối với một thứ nguy hiểm đến mức nghe có vẻ kỹ thuật, đó là tất cả — thử thông tin đăng nhập đã bị rò rỉ trên các dịch vụ khác và xem cách nào hoạt động. Nói cách khác, “tin tặc” nhét tất cả các thông tin đăng nhập đó vào biểu mẫu đăng nhập và xem điều gì sẽ xảy ra. Một số người trong số họ chắc chắn sẽ hoạt động.
Đây là một trong những những cách phổ biến mà kẻ tấn công "hack" tài khoản trực tuyến những ngày này. Riêng năm 2018, mạng phân phối nội dung Akamai đã ghi lại gần 30 tỷ cuộc tấn công nhồi nhét thông tin xác thực.
LIÊN QUAN: Làm thế nào những kẻ tấn công thực sự "Hack tài khoản" trực tuyến và cách bảo vệ bản thân
Cách bảo vệ bản thân
Bảo vệ bản thân khỏi nhồi nhét thông tin xác thực khá đơn giản và liên quan đến việc tuân theo các phương pháp bảo mật mật khẩu tương tự mà các chuyên gia bảo mật đã khuyến nghị trong nhiều năm. Không có giải pháp kỳ diệu nào — chỉ cần vệ sinh mật khẩu tốt. Đây là lời khuyên:
- Tránh sử dụng lại mật khẩu: Sử dụng một mật khẩu duy nhất cho mỗi tài khoản bạn sử dụng trực tuyến. Bằng cách đó, ngay cả khi mật khẩu của bạn bị rò rỉ, nó cũng không thể được sử dụng để đăng nhập vào các trang web khác. Những kẻ tấn công có thể cố gắng nhét thông tin đăng nhập của bạn vào các biểu mẫu đăng nhập khác, nhưng chúng sẽ không hoạt động.
- Sử dụng Trình quản lý mật khẩu: Nhớ mật khẩu mạnh duy nhất là một nhiệm vụ gần như bất khả thi nếu bạn có tài khoản trên khá nhiều trang web và hầu như tất cả mọi người đều vậy. Chúng tôi đề nghị sử dụng trình quản lý mật khẩu giống 1 Mật mã (trả tiền) hoặc Bitwarden (miễn phí và mã nguồn mở) để ghi nhớ mật khẩu cho bạn. Nó thậm chí có thể tạo ra những mật khẩu mạnh từ đầu.
- Bật xác thực hai yếu tố: Với xác thực hai bước , bạn phải cung cấp thông tin khác — chẳng hạn như mã do ứng dụng tạo hoặc được gửi cho bạn qua SMS — mỗi khi bạn đăng nhập vào một trang web. Ngay cả khi kẻ tấn công có tên người dùng và mật khẩu của bạn, chúng sẽ không thể đăng nhập vào tài khoản của bạn nếu chúng không có mã đó.
- Nhận thông báo mật khẩu bị rò rỉ: Với một dịch vụ như Tôi đã được Pwned chưa? , bạn có thể nhận được thông báo khi thông tin đăng nhập của bạn xuất hiện trong một vụ rò rỉ .
LIÊN QUAN: Cách kiểm tra xem mật khẩu của bạn có bị đánh cắp hay không
Cách các dịch vụ có thể bảo vệ chống lại việc nhồi nhét thông tin xác thực
Mặc dù các cá nhân cần phải chịu trách nhiệm bảo mật tài khoản của họ, nhưng có nhiều cách để các dịch vụ trực tuyến bảo vệ khỏi các cuộc tấn công nhồi nhét thông tin xác thực.
- Quét cơ sở dữ liệu bị rò rỉ cho mật khẩu người dùng: Facebook và Netflix đã quét cơ sở dữ liệu bị rò rỉ cho mật khẩu, tham chiếu chéo chúng với thông tin đăng nhập trên các dịch vụ của chính họ. Nếu có sự trùng khớp, Facebook hoặc Netflix có thể nhắc người dùng thay đổi mật khẩu của họ. Đây là một cách để đánh bại những kẻ nhồi nhét thông tin xác thực.
- Cung cấp xác thực hai yếu tố: Người dùng có thể bật xác thực hai yếu tố để bảo mật tài khoản trực tuyến của họ. Các dịch vụ đặc biệt nhạy cảm có thể khiến điều này trở nên bắt buộc. Họ cũng có thể yêu cầu người dùng nhấp vào liên kết xác minh đăng nhập trong email để xác nhận yêu cầu đăng nhập.
- Yêu cầu CAPTCHA: Nếu nỗ lực đăng nhập có vẻ lạ, một dịch vụ có thể yêu cầu nhập mã CAPTCHA được hiển thị trong hình ảnh hoặc nhấp qua biểu mẫu khác để xác minh một người — chứ không phải bot — đang cố gắng đăng nhập.
- Hạn chế các nỗ lực đăng nhập lặp lại : Các dịch vụ phải cố gắng chặn không cho bot cố gắng đăng nhập một số lượng lớn trong một khoảng thời gian ngắn. Các bot tinh vi hiện đại có thể cố gắng đăng nhập từ nhiều địa chỉ IP cùng một lúc để che giấu các nỗ lực nhồi nhét thông tin xác thực của chúng.
Các thực hành mật khẩu kém — và công bằng mà nói, các hệ thống trực tuyến được bảo mật kém thường quá dễ bị xâm phạm — khiến việc nhồi nhét thông tin xác thực trở thành mối nguy hiểm nghiêm trọng đối với bảo mật tài khoản trực tuyến. Không có gì thắc mắc nhiều công ty trong ngành công nghệ muốn xây dựng một thế giới an toàn hơn mà không cần mật khẩu .
LIÊN QUAN: Ngành công nghiệp công nghệ muốn tiêu diệt mật khẩu. Hay không?
