Một báo cáo mới từ CyberStation cho biết họ đã phát hiện 1,8 triệu hồ sơ người Bangladesh đang lưu hành trên dark web. Phát hiện này là lời nhắc hữu ích rằng tình trạng lộ dữ liệu trên dark web của Bangladesh hiếm khi là kết quả của một sự cố chấn động duy nhất. Thông thường hơn, đó là sự tích tụ dần dần của nhiều vụ rò rỉ nhỏ hơn mà không bao giờ biến mất.

Bài báo gốc khá ngắn gọn, vì vậy bài viết này chỉ tập trung vào những gì đã được báo cáo và giải thích ý nghĩa của nó đối với người dân thường.

Những gì CyberStation phát hiện trên dark web

Theo báo cáo, các dịch vụ chính phủ chiếm phần lớn nhất trong số hồ sơ công dân bị lộ. Công nghệ và viễn thông có tỷ lệ lộ cao nhất, nghĩa là các lĩnh vực này xuất hiện nhiều nhất trong dữ liệu mà CyberStation đã xem xét.

Con số nổi bật là 1,8 triệu hồ sơ. Đó là một con số lớn, nhưng chi tiết quan trọng hơn là cách nó được tổng hợp. CyberStation không kiểm tra một cơ sở dữ liệu bị rò rỉ duy nhất. Họ đã xem xét dữ liệu lưu hành trên khắp dark web và quy nguồn gốc cho nhiều nguồn khác nhau.

Báo cáo không xác nhận một nguồn vi phạm cụ thể. Không có công ty, cơ quan hay sự cố nào được nêu tên là nguồn gốc của các hồ sơ.

Tại sao dữ liệu đến từ nhiều vụ vi phạm, không phải một

Theo báo cáo, lời giải thích khả dĩ là các hồ sơ đến từ nhiều vụ vi phạm của bên thứ ba theo thời gian. Nói cách khác, đây không phải là một vụ rò rỉ mới mà mọi người có thể chỉ ra và phản ứng. Đó là một tập hợp dữ liệu được tích lũy từ các sự cố trước đó.

Điều này quan trọng vì dữ liệu cá nhân bị đánh cắp không hết hạn khi câu chuyện về vụ vi phạm phai nhạt. Một khi hồ sơ bị sao chép, chúng có thể được bán lại, hợp nhất với các tập dữ liệu khác và tái sử dụng trong nhiều năm. Tên và số điện thoại từ một sự cố có thể được ghép với địa chỉ email từ một sự cố khác, tạo ra hồ sơ đầy đủ hơn so với bất kỳ vụ vi phạm đơn lẻ nào có thể cung cấp.

Điều này cũng giải thích tại sao mọi người không thể dựa vào một thông báo vi phạm duy nhất để biết liệu họ có bị ảnh hưởng hay không. Nếu việc lộ dữ liệu đến từ nhiều bên thứ ba không liên quan, có thể không có tổ chức nào chịu trách nhiệm thông báo cho bạn. Bạn có thể sẽ không bao giờ nhận được thông báo nào cả, ngay cả khi thông tin của bạn đang lưu hành.

Mô thức này quen thuộc ở nơi khác. Dữ liệu danh tính do viễn thông và chính phủ nắm giữ đã bị nhắm mục tiêu trong các vụ việc gần đây khác, chẳng hạn như vụ vi phạm Odido ảnh hưởng đến 6,5 triệu khách hàng ở Hà Lan và vụ vi phạm ANTS ID với 18 triệu hồ sơ ở Pháp. Đây là những sự kiện riêng biệt, và không có gì trong báo cáo của CyberStation liên kết chúng với Bangladesh. Chúng chỉ cho thấy cách các loại tổ chức tương tự nắm giữ dữ liệu mà kẻ tấn công coi là có giá trị.

Tại sao con số 1,8 triệu có thể là số thấp hơn thực tế

CyberStation mô tả các con số của mình là thận trọng và cho biết mức độ lộ thực tế có thể lớn hơn. Có một vài lý do khiến điều đó hợp lý, mặc dù bản thân báo cáo nên được coi là cơ quan có thẩm quyền về phương pháp luận của chính nó.

Bất kỳ con số nào về dữ liệu dark web đều phụ thuộc vào những gì các nhà nghiên cứu có thể tìm thấy và truy cập. Các diễn đàn riêng tư, giao dịch kín và tập dữ liệu được trao đổi trực tiếp giữa người mua khó đo lường hơn. Các hồ sơ trùng lặp giữa nhiều vụ vi phạm cũng làm phức tạp việc đếm, vì cùng một người có thể xuất hiện trong nhiều nguồn.

Điểm mấu chốt thực tế là 1,8 triệu nên được hiểu là mức sàn chứ không phải mức trần. Đó là ảnh chụp những gì có thể nhìn thấy, không phải bản kê đầy đủ về mọi thứ đã bị lộ.

Điều này có ý nghĩa gì với bạn

Nếu bạn sống ở Bangladesh, hoặc đã sử dụng các dịch vụ chính phủ, viễn thông hoặc công nghệ của Bangladesh, hãy giả định rằng một số thông tin của bạn có thể đã bị lộ. Đó không phải là lý do để hoảng loạn, nhưng nó nên thay đổi cách bạn bảo vệ bản thân.

Các rủi ro chính từ kiểu lộ dữ liệu này là lừa đảo phishing, lừa đảo qua SMS và các nỗ lực chiếm đoạt tài khoản. Kẻ tấn công biết tên, số điện thoại hoặc email của bạn có thể tạo ra các tin nhắn trông đáng tin cậy, đặc biệt nếu chúng xuất hiện từ một nhà cung cấp viễn thông hoặc văn phòng chính phủ.

Vì dữ liệu đã cũ và phân tán, các biện pháp phòng vệ hiệu quả nhất là những biện pháp hoạt động bất kể thông tin của bạn đến từ vụ vi phạm nào.

Cách kiểm tra mức độ lộ dữ liệu và giảm thiểu rủi ro

Bắt đầu bằng cách kiểm tra xem địa chỉ email và số điện thoại của bạn có xuất hiện trong các vụ vi phạm đã biết hay không. Các công cụ thông báo vi phạm uy tín cho phép bạn tìm kiếm theo email, và một số còn bao gồm cả số điện thoại. Việc tìm thấy kết quả không có nghĩa là bạn bị hack hôm nay, nhưng nó cho bạn biết tài khoản nào cần được chú ý.

Tiếp theo, tăng cường bảo mật cho các tài khoản của bạn:

  • Sử dụng mật khẩu duy nhất cho mỗi tài khoản, lý tưởng nhất là lưu trữ trong trình quản lý mật khẩu, để một vụ vi phạm cũ không thể mở khóa các tài khoản khác.
  • Bật xác thực đa yếu tố (MFA), ưu tiên sử dụng ứng dụng xác thực thay vì SMS khi có thể.
  • Cảnh giác với các tin nhắn bất ngờ đề cập đến tên, số điện thoại hoặc chi tiết tài khoản của bạn. Liên hệ với tổ chức qua kênh chính thức thay vì trả lời.
  • Chia sẻ ít dữ liệu cá nhân hơn với các dịch vụ chính phủ và viễn thông. Chỉ cung cấp những gì được yêu cầu và tránh các trường tùy chọn làm tăng thêm dữ liệu mà tổ chức nắm giữ về bạn.

Cũng đáng nhớ rằng việc lộ dữ liệu không giới hạn ở một lĩnh vực. Ngay cả các công ty nhân sự và tiện ích cũng đã phải đối mặt với các cuộc tấn công, như đã thấy trong vụ vi phạm được tuyên bố tại United Personnel, vì vậy thói quen hạn chế những gì bạn cung cấp được áp dụng rộng rãi.

Những điểm chính cần ghi nhớ

Báo cáo của CyberStation cho thấy tình trạng lộ dữ liệu trên dark web của Bangladesh là một tình trạng đang diễn ra, không phải một sự kiện đơn lẻ với khởi đầu và kết thúc rõ ràng. Với 1,8 triệu hồ sơ gắn liền với nhiều vụ vi phạm của bên thứ ba trong quá khứ, và các con số có thể đánh giá thấp tổng số thực tế, việc chờ đợi một thông báo không phải là chiến lược đáng tin cậy.

Kiểm tra xem email và số điện thoại của bạn có xuất hiện trong các vụ vi phạm đã biết hay không, chuyển sang sử dụng mật khẩu duy nhất với MFA, và chia sẻ ít dữ liệu cá nhân hơn với các dịch vụ chính phủ và viễn thông. Các vụ Odido và ANTS cho thấy dữ liệu danh tính do các công ty viễn thông và cơ quan công quyền nắm giữ có thể bị lộ như thế nào, vì vậy việc giảm thiểu những gì bạn cung cấp là một trong số ít các bước hoàn toàn nằm trong tầm kiểm soát của bạn.