24 Tỷ Hồ Sơ Bị Lộ: Tại Sao VPN Sẽ Không Cứu Được Bạn
Các nhà nghiên cứu tại Cybernews đã phát hiện một trong những cơ sở dữ liệu không bảo mật lớn nhất từng được tìm thấy, chứa 24 tỷ hồ sơ bao gồm tên người dùng, địa chỉ email, mật khẩu dạng văn bản thuần túy và URL đăng nhập. Sự kiện hàng tỷ thông tin đăng nhập bị lộ này không phải là một vụ tấn công công ty theo nghĩa truyền thống. Đây là một kho dữ liệu đăng nhập bị đánh cắp được tổng hợp và công khai, nằm trực tuyến không được bảo vệ, sẵn sàng cho bất kỳ ai có công cụ phù hợp để khai thác. Nếu bạn nghĩ rằng gói đăng ký VPN giúp bạn an toàn trước kiểu lộ lọt này, thì chi tiết của phát hiện này sẽ buộc bạn phải suy nghĩ lại một cách nghiêm túc.
Cơ Sở Dữ Liệu 24 Tỷ Hồ Sơ Thực Sự Chứa Những Gì
Quy mô của cơ sở dữ liệu này rất khó để hình dung. 24 tỷ hồ sơ không có nghĩa là 24 tỷ cá nhân duy nhất bị ảnh hưởng. Những cơ sở dữ liệu rò rỉ được tổng hợp như thế này thường tập hợp dữ liệu từ hàng trăm vụ vi phạm riêng lẻ trong nhiều năm, có nghĩa là thông tin đăng nhập của cùng một người có thể xuất hiện hàng chục lần trong các mục khác nhau.
Điều khiến vụ lộ lọt cụ thể này đặc biệt nguy hiểm là sự hiện diện của mật khẩu dạng văn bản thuần túy. Nhiều cơ sở dữ liệu lưu trữ mật khẩu dưới dạng giá trị băm, điều này ít nhất tạo ra một rào cản trước khi dữ liệu có thể được sử dụng. Mật khẩu văn bản thuần túy không đòi hỏi bất kỳ nỗ lực giải mã nào. Kẻ tấn công có thể lấy tên người dùng, ghép với mật khẩu liên quan và cố gắng đăng nhập ngay lập tức.
Cơ sở dữ liệu cũng bao gồm các URL đăng nhập, địa chỉ web cụ thể được liên kết với từng bộ thông tin đăng nhập. Chi tiết này thường bị đánh giá thấp. Thay vì một danh sách các tổ hợp email-mật khẩu mà kẻ tấn công sau đó phải ghép nối với đúng dịch vụ, cơ sở dữ liệu này cung cấp cho kẻ tấn công một bản đồ trực tiếp: đây là tài khoản, đây là nơi để đăng nhập, và đây là mật khẩu. Mức độ cụ thể đó làm giảm đáng kể trở ngại giữa một hồ sơ bị rò rỉ và một vụ chiếm đoạt tài khoản thành công.
Cách Thức Tấn Công Nhồi Thông Tin Đăng Nhập Biến Mật Khẩu Bị Rò Rỉ Thành Các Vụ Chiếm Đoạt Tài Khoản
Tấn công nhồi thông tin đăng nhập là cách chính mà các cơ sở dữ liệu như thế này bị vũ khí hóa. Các công cụ tự động xoay vòng qua các cặp tên người dùng-mật khẩu với tốc độ cực lớn, kiểm tra chúng trên các trang đăng nhập của hàng trăm dịch vụ cùng lúc. Bởi vì nhiều người sử dụng lại mật khẩu trên các tài khoản khác nhau, thông tin đăng nhập bị rò rỉ từ một dịch vụ có thể mở khóa tài khoản trên các nền tảng hoàn toàn khác.
Sự hiện diện của các URL đăng nhập trong cơ sở dữ liệu này thậm chí còn làm cho bước tự động đó hiệu quả hơn. Kẻ tấn công không cần phải đoán nạn nhân sử dụng những dịch vụ nào. Dữ liệu cho chúng biết điều đó. Một hồ sơ bị lộ duy nhất có thể dẫn đến việc xâm phạm tài khoản ngân hàng, hộp thư email, hoặc cổng VPN công ty nếu nạn nhân sử dụng lại mật khẩu đó ở nơi khác.
Đây không phải là rủi ro mang tính lý thuyết. Các cuộc tấn công nhồi thông tin đăng nhập đã được liên kết với các vụ chiếm đoạt tài khoản tại các tổ chức tài chính, dịch vụ phát trực tuyến, nền tảng thương mại điện tử và hệ thống doanh nghiệp. Khối lượng dữ liệu thông tin đăng nhập có sẵn đã tăng đến mức ngay cả những kẻ tấn công với nguồn lực khiêm tốn cũng có thể chạy các chiến dịch này ở quy mô lớn.
Cũng đáng lưu ý rằng các kỹ thuật lừa đảo phi kỹ thuật đang phát triển song song với việc đánh cắp thông tin đăng nhập. Kẻ tấn công ngày càng kết hợp dữ liệu bị rò rỉ với các chiến dịch lừa đảo có chủ đích. Biết địa chỉ email, dịch vụ liên quan và mật khẩu của nạn nhân cung cấp cho kẻ xấu đủ ngữ cảnh để tạo ra các cuộc tấn công tiếp theo đầy thuyết phục, bao gồm các kế hoạch lừa đảo được hỗ trợ bởi AI đang ngày càng khó phân biệt với các giao tiếp hợp pháp.
Tại Sao Một Mình VPN Sẽ Không Bảo Vệ Bạn Trước Mối Đe Dọa Này
VPN mã hóa lưu lượng internet của bạn và che giấu địa chỉ IP của bạn. Đây thực sự là một công cụ bảo mật hữu ích để bảo vệ dữ liệu đang truyền tải, đặc biệt là trên các mạng công cộng. Nhưng mối đe dọa do cơ sở dữ liệu 24 tỷ hồ sơ này gây ra không liên quan gì đến việc chặn bắt lưu lượng.
Thông tin đăng nhập của bạn không bị đánh cắp khi đang di chuyển qua mạng. Chúng đã bị lấy từ một dịch vụ mà bạn đã đăng nhập, được lưu trữ không an toàn, và cuối cùng được hợp nhất vào một cơ sở dữ liệu tổng hợp. Vào thời điểm cơ sở dữ liệu đó có sẵn cho kẻ tấn công, VPN của bạn không còn vai trò gì nữa. Thiệt hại đã xảy ra ở cấp độ lưu trữ, không phải ở cấp độ truyền tải.
Đây là một sự phân biệt quan trọng thường bị bỏ qua trong cách VPN được tiếp thị và thảo luận. VPN không thể bảo vệ dữ liệu mà một dịch vụ bên thứ ba đã lưu trữ kém. Nó không thể ngăn chặn các cuộc tấn công nhồi thông tin đăng nhập sử dụng mật khẩu bạn đã tạo từ nhiều năm trước. Nó không thể cảnh báo bạn khi email của bạn xuất hiện trong tập dữ liệu bị rò rỉ. Đây là những công việc dành cho các công cụ hoàn toàn khác.
Các Bước Ngay Lập Tức: MFA, Trình Quản Lý Mật Khẩu và Giám Sát Vi Phạm
Tin tốt là các biện pháp phòng vệ chống lại tấn công nhồi thông tin đăng nhập đã được hiểu rõ và dễ tiếp cận. Thách thức là hầu hết mọi người chưa triển khai chúng một cách đầy đủ.
Bật xác thực đa yếu tố ở mọi nơi nó được cung cấp. Ngay cả khi kẻ tấn công có tên người dùng và mật khẩu chính xác của bạn, MFA yêu cầu một bước xác minh thứ hai mà chúng gần như chắc chắn không thể hoàn thành. Các ứng dụng xác thực an toàn hơn mã qua SMS, nhưng cả hai lựa chọn đều tốt hơn rất nhiều so với việc không có MFA. Hãy ưu tiên tài khoản email, tài khoản tài chính của bạn, và bất kỳ dịch vụ nào lưu trữ thông tin thanh toán.
Sử dụng trình quản lý mật khẩu để tạo và lưu trữ mật khẩu duy nhất. Việc sử dụng lại mật khẩu chính là điều biến một thông tin đăng nhập bị rò rỉ duy nhất thành sự xâm phạm nhiều tài khoản. Trình quản lý mật khẩu loại bỏ gánh nặng nhận thức của việc phải nhớ các mật khẩu duy nhất, phức tạp cho mỗi dịch vụ. Nếu thông tin đăng nhập của bạn từ một vụ vi phạm không thể mở khóa bất kỳ tài khoản nào khác, thiệt hại từ bất kỳ vụ lộ lọt đơn lẻ nào cũng sẽ được khoanh vùng.
Kiểm tra xem thông tin đăng nhập của bạn có xuất hiện trong các vụ vi phạm đã biết hay không. Một số dịch vụ giám sát vi phạm uy tín cho phép bạn nhập địa chỉ email và xem liệu nó có xuất hiện trong các tập dữ liệu bị rò rỉ đã biết hay không. Nhiều trình quản lý mật khẩu hiện bao gồm tính năng giám sát này như một tính năng tích hợp sẵn. Chạy kiểm tra này là một cơ sở hữu ích để hiểu mức độ lộ lọt hiện tại của bạn.
Kiểm tra các tài khoản hiện có của bạn. Tìm các dịch vụ bạn không còn sử dụng và xóa những tài khoản đó thay vì chỉ đơn giản là bỏ rơi chúng. Các tài khoản không hoạt động với mật khẩu được sử dụng lại là một trách nhiệm pháp lý. Ít tài khoản đang hoạt động hơn có nghĩa là bề mặt tấn công nhỏ hơn.
Điều Này Có Ý Nghĩa Gì Đối Với Bạn
Hàng tỷ thông tin đăng nhập bị lộ trong vụ vi phạm dữ liệu này đại diện cho một mối đe dọa cụ thể, hiện hữu, không phải là một rủi ro giả định trong tương lai. Nếu bạn có những tài khoản có từ trước khi bạn áp dụng thói quen mật khẩu tốt, những thông tin đăng nhập cũ đó có thể đã có trong những cơ sở dữ liệu như thế này.
Phản ứng đúng đắn không phải là từ bỏ việc sử dụng VPN hay hoảng sợ. Mà là nhận ra rằng quyền riêng tư và bảo mật đòi hỏi một bộ công cụ bổ trợ lẫn nhau: VPN để bảo vệ lưu lượng, trình quản lý mật khẩu cho vệ sinh thông tin đăng nhập, MFA để kiểm soát truy cập tài khoản, và giám sát vi phạm để nâng cao nhận thức. Không có công cụ duy nhất nào bao phủ tất cả các mặt.
Hãy dành ba mươi phút trong tuần này để kiểm tra thiết lập bảo mật của bạn. Bật MFA trên các tài khoản nhạy cảm nhất của bạn, chạy kiểm tra vi phạm trên các địa chỉ email chính của bạn, và xem lại liệu bạn có còn đang sử dụng lại bất kỳ mật khẩu nào trên các dịch vụ hay không. Những bước này sẽ làm được nhiều hơn để bảo vệ tài khoản của bạn khỏi hậu quả của một cơ sở dữ liệu 24 tỷ hồ sơ so với bất kỳ công cụ bảo mật đơn lẻ nào.
