Hai sự cố bảo mật riêng biệt, một ở Nhật Bản và một ở Đài Loan, đã được xác nhận trong tuần này. Vụ rò rỉ dữ liệu Comic CMoa ảnh hưởng đến một trong những cửa hàng sách điện tử lớn nhất Nhật Bản, với địa chỉ email và mật khẩu dạng băm được báo cáo là đã bị lộ. Riêng biệt, ACCESS đã xác nhận rằng 1.305 tài khoản thẻ đã bị đánh cắp từ CROS. Hai vụ việc không liên quan đến nhau, nhưng cùng nhau chúng cho thấy hai kiểu lộ lọt phổ biến: thông tin đăng nhập và dữ liệu thẻ thanh toán.

Các chi tiết hiện có đến nay còn hạn chế, vì vậy bài viết này chỉ tập trung vào những gì đã được báo cáo và giải thích ý nghĩa của chúng trong thực tế.

Những gì đã bị rò rỉ trong các vụ xâm phạm Comic CMoa và ACCESS

Theo các báo cáo, vụ rò rỉ dữ liệu Comic CMoa liên quan đến một cửa hàng sách điện tử phổ biến của Nhật Bản, và dữ liệu bị mất bao gồm địa chỉ email người dùng và mật khẩu dạng băm. Mật khẩu dạng băm là một phiên bản đã được mã hóa của mật khẩu, không phải chính mật khẩu. Các công ty lưu trữ dạng băm để họ không phải giữ mật khẩu dạng văn bản thuần trên máy chủ của mình.

Sự cố thứ hai là riêng biệt. ACCESS đã xác nhận rằng 1.305 tài khoản thẻ đã bị đánh cắp từ CROS. Nguồn tin mô tả quy mô là 1.305 tài khoản thẻ, và không cung cấp thêm chi tiết trong tài liệu mà chúng tôi đã xem xét. Chúng tôi sẽ không đoán những trường dữ liệu nào đã bị lấy, cách kẻ tấn công xâm nhập, hay ai đứng sau mỗi sự cố.

Cần nhấn mạnh rằng đây là hai công ty khác nhau, hai hệ thống khác nhau và hai loại dữ liệu khác nhau. Độc giả không nên cho rằng sự cố này có liên quan đến sự cố kia.

Tại sao mật khẩu dạng băm vẫn khiến người dùng gặp rủi ro

Nghe nói rằng chỉ có dạng băm bị lấy có thể nghe có vẻ yên tâm, nhưng điều đó không nên khiến bất kỳ ai lơ là. Dạng băm là một lớp bảo vệ, không phải là sự bảo đảm. Mức độ an toàn của một mật khẩu dạng băm phụ thuộc vào độ mạnh của mật khẩu gốc và cách dịch vụ băm nó.

Nếu kẻ tấn công có được một tập hợp các dạng băm, họ có thể cố gắng làm ngược lại bằng cách đoán các mật khẩu phổ biến, băm từng lần đoán và so sánh kết quả. Những mật khẩu ngắn, dễ đoán hoặc được sử dụng phổ biến thường bị phá trước. Những cụm mật khẩu mạnh và duy nhất thì khó khôi phục hơn nhiều.

Địa chỉ email cũng quan trọng. Ngay cả khi không có bất kỳ mật khẩu nào, một danh sách email gắn với một dịch vụ cụ thể có thể được sử dụng cho lừa đảo có chủ đích, chẳng hạn như các tin nhắn giả mạo tự nhận đến từ cửa hàng sách điện tử và yêu cầu bạn đăng nhập lại.

Mối nguy hiểm thực tế lớn nhất là việc tái sử dụng mật khẩu. Nếu bạn đã dùng mật khẩu Comic CMoa của mình trên một trang khác, bất kỳ ai phá được dạng băm đó đều có thể thử cùng tổ hợp email và mật khẩu ở nơi khác. Điều này được gọi là nhồi nhét thông tin đăng nhập, và nó chỉ hiệu quả khi mọi người tái sử dụng mật khẩu.

Vụ trộm thẻ CROS có ý nghĩa gì đối với khách hàng bị ảnh hưởng

Dữ liệu thẻ là một vấn đề khác. Với 1.305 tài khoản thẻ được báo cáo là bị đánh cắp từ CROS, mối lo chính đối với khách hàng bị ảnh hưởng là các khoản phí trái phép và các nỗ lực lừa đảo. Các tổ chức phát hành thẻ thường có quy trình thay thế thẻ bị xâm phạm và khiếu nại các giao dịch gian lận, nhưng họ chỉ có thể hành động nếu bạn nhận thấy vấn đề hoặc được thông báo về nó.

Nếu bạn được ACCESS hoặc tổ chức phát hành thẻ của bạn liên hệ về sự cố này, hãy xem trọng thông báo đó, nhưng trước tiên hãy xác minh nó. Các vụ xâm phạm thường được theo sau bởi những tin nhắn lừa đảo bắt chước công ty bị ảnh hưởng. Hãy sử dụng thông tin liên hệ được in trên thẻ của bạn hoặc lấy trực tiếp từ trang web chính thức của công ty, không phải từ các liên kết trong một email hoặc tin nhắn văn bản bất ngờ.

Các khoản phí thử nghiệm nhỏ là dấu hiệu phổ biến của việc lạm dụng thẻ, vì vậy ngay cả những giao dịch nhỏ mà bạn không nhận ra cũng đáng để gọi cho tổ chức phát hành thẻ của bạn.

Các bước để bảo vệ tài khoản của bạn sau một vụ xâm phạm

Bạn không cần phải hoảng loạn, nhưng một vài hành động nhanh chóng sẽ có tác dụng rất lớn:

  • Thay đổi mật khẩu đã được tái sử dụng. Nếu mật khẩu Comic CMoa của bạn đã được dùng ở bất kỳ nơi nào khác, hãy thay thế nó trên mọi tài khoản khác. Hãy làm cho mỗi mật khẩu trở nên duy nhất.
  • Bật xác thực hai yếu tố (2FA). Ngay cả khi ai đó có mật khẩu của bạn, yếu tố thứ hai khiến họ khó xâm nhập hơn nhiều. Mã dựa trên ứng dụng hoặc khóa phần cứng thường mạnh hơn SMS.
  • Sử dụng trình quản lý mật khẩu. Nó có thể tạo ra các mật khẩu dài, ngẫu nhiên và ghi nhớ chúng cho bạn, điều này loại bỏ sự cám dỗ tái sử dụng.
  • Theo dõi sao kê thẻ. Kiểm tra tài khoản của bạn thường xuyên, thiết lập cảnh báo giao dịch nếu ngân hàng của bạn cung cấp, và báo cáo bất kỳ điều gì không quen thuộc ngay lập tức.
  • Cảnh giác với các tin nhắn tiếp theo. Không nhấp vào các liên kết trong những email bất ngờ về một trong hai sự cố.

Những thói quen tương tự cũng áp dụng sau bất kỳ vụ xâm phạm nào, bao gồm cả các cuộc tấn công mà tội phạm nhắm trực tiếp đến phá hoại nạn nhân, như trong trường hợp của một chi nhánh ransomware Akira mà cuộc tấn công của hắn đã phản tác dụng. Kẻ tấn công có thể mắc sai lầm, nhưng bạn không nên trông chờ vào điều đó để bảo vệ dữ liệu của mình.

Điều này có ý nghĩa gì đối với bạn

Nếu bạn có tài khoản Comic CMoa, hãy cho rằng địa chỉ email của bạn có thể đang nằm trong tay các bên thứ ba và dạng băm mật khẩu của bạn cuối cùng có thể bị phá, đặc biệt nếu mật khẩu yếu. Hãy thay đổi nó, và thay đổi ở bất kỳ nơi nào khác mà bạn đã sử dụng nó. Nếu bạn có liên quan đến CROS hoặc một tài khoản thẻ ACCESS, hãy theo dõi sao kê của bạn chặt chẽ và xác nhận mọi thông tin liên lạc thông qua các kênh chính thức.

Nếu bạn không thuộc cả hai nhóm này, những sự cố này vẫn là một lời nhắc nhở hữu ích. Phần lớn thiệt hại từ các vụ xâm phạm đến sau đó, khi các chi tiết bị đánh cắp được tái sử dụng chống lại những người không thay đổi thói quen của mình.

Những điểm chính cần ghi nhớ

Vụ rò rỉ dữ liệu Comic CMoa và vụ trộm thẻ ACCESS CROS là những sự kiện riêng biệt, nhưng lời khuyên thì giống nhau: hãy hành động sớm. Thay thế mật khẩu đã tái sử dụng bằng những mật khẩu duy nhất, bật 2FA, lưu thông tin đăng nhập trong trình quản lý mật khẩu và xem xét hoạt động thẻ của bạn thường xuyên. Mười phút dọn dẹp bây giờ dễ dàng hơn nhiều so với việc đối phó với việc chiếm đoạt tài khoản hoặc các khoản phí gian lận sau này.