Một mật khẩu quản trị viên yếu được cho là có liên quan đến một vụ vi phạm dữ liệu lớn của Đan Mạch làm lộ thông tin gắn với khoảng 8,8 triệu số nhận dạng quốc gia. Theo các báo cáo, ít nhất ba tài khoản tại Pays, một công ty IT trên đảo Funen, đã sử dụng mật khẩu "123456", trong đó có một tài khoản quản trị viên. Câu chuyện về mật khẩu trong vụ vi phạm dữ liệu CPR Đan Mạch là lời nhắc nhở thẳng thắn rằng những rủi ro lớn nhất đối với dữ liệu cá nhân thường đến từ những sai lầm đơn giản nhất.
Điều gì đã xảy ra tại Pays
Vụ vi phạm liên quan đến dữ liệu gắn với số CPR của Đan Mạch, các số nhận dạng quốc gia được sử dụng trên khắp đất nước. Việc rò rỉ thông tin có liên quan đến Pays, một công ty IT có trụ sở tại Funen, và các tài khoản tại đây được cho là đã dùng "123456" làm mật khẩu. Một trong những tài khoản đó có quyền quản trị viên, thường đồng nghĩa với quyền truy cập rộng hơn so với tài khoản người dùng tiêu chuẩn.
Các chi tiết ở đây đến từ báo cáo, và mật khẩu được mô tả là "được cho là" đã được sử dụng. Một tuyên bố riêng từ một hacker về cách truy cập được thực hiện đã được đề cập trong bài viết trước của chúng tôi, Hacker tuyên bố '123456' đã mở kho đăng ký 8,8 triệu hồ sơ của Đan Mạch. Những độc giả muốn có đầy đủ thông tin trao đổi về tuyên bố đó nên bắt đầu từ đó.
Điều đáng chú ý là điểm yếu nằm ở đâu. Dữ liệu không bị lộ vì các cá nhân dùng lại mật khẩu trên tài khoản của chính họ. Nó có liên quan đến một nhà cung cấp IT bên thứ ba, nghĩa là người dân không có quyền kiểm soát hoặc khả năng nhìn thấy các biện pháp bảo mật đang bảo vệ dữ liệu danh tính của họ.
Vì sao "123456" vẫn mở được cửa
Thật dễ coi một mật khẩu như "123456" là một sự xấu hổ cá biệt. Trên thực tế, nó vẫn tồn tại vì cách các tổ chức và con người hành xử. Thông tin đăng nhập mặc định được thiết lập trong quá trình triển khai và không bao giờ được thay đổi. Các tài khoản dùng chung hoặc tài khoản dịch vụ được tạo vội vàng. Các quy tắc mật khẩu không được thực thi, hoặc chỉ được thực thi với nhân viên thông thường mà không áp dụng cho quản trị viên.
Kẻ tấn công biết điều này. Đoán những mật khẩu phổ biến nhất là một trong những kỹ thuật rẻ nhất hiện có, và nó liên quan chặt chẽ đến một tấn công brute force, trong đó kẻ tấn công thử có hệ thống các tổ hợp cho đến khi một tổ hợp hoạt động. Với một mật khẩu dễ đoán như "123456", kẻ tấn công thậm chí không cần nhiều sức mạnh tính toán. Một danh sách ngắn các mật khẩu phổ biến có thể là đủ.
Tài khoản quản trị viên làm tăng mức độ nghiêm trọng. Một thông tin đăng nhập quản trị viên bị xâm phạm có thể cho phép truy cập vào dữ liệu, cài đặt và các tài khoản khác, vì vậy một thông tin đăng nhập yếu ở đó có thể gây hậu quả lớn hơn nhiều. Các biện pháp kiểm soát cơ bản mà tổ chức có thể áp dụng bao gồm:
- Chặn các mật khẩu phổ biến và từng bị rò rỉ khi tạo
- Yêu cầu xác thực đa yếu tố, đặc biệt trên tài khoản quản trị viên
- Giới hạn số lần đăng nhập và cảnh báo khi có truy cập bất thường
- Rà soát và loại bỏ các tài khoản không dùng hoặc dùng chung
Việc lộ số CPR có ý nghĩa gì đối với đánh cắp danh tính
Số CPR không giống như mật khẩu. Bạn không thể dễ dàng đặt lại nó, và với hầu hết mọi người, nó giữ nguyên suốt đời. Đó là lý do khiến việc lộ dữ liệu gắn với 8,8 triệu số như vậy trở nên đặc biệt nghiêm trọng: định danh này không thể đơn giản được thay mới sau một vụ rò rỉ.
Tự nó, một số nhận dạng quốc gia không phải là chìa khóa vào tài khoản ngân hàng của bạn. Rủi ro nằm ở sự kết hợp. Nếu kẻ tấn công ghép các chi tiết nhận dạng với thông tin khác, chúng có thể cố mạo danh, lừa đảo phishing nghe thuyết phục vì dùng chi tiết thật, hoặc cố trả lời các câu hỏi khôi phục tài khoản. Kẻ lừa đảo thường dựa vào một thông điệp có vẻ như biết bạn là ai.
Phản ứng thực tế là cảnh giác thay vì hoảng loạn. Hãy hoài nghi với các cuộc gọi, email hoặc tin nhắn bất ngờ yêu cầu mật khẩu hoặc thông tin bí mật, ngay cả khi người gửi có vẻ biết chi tiết cá nhân. Các tổ chức hợp pháp thường không yêu cầu bạn cung cấp thông tin đăng nhập theo cách này.
Cách bảo vệ tài khoản của chính bạn
Bạn không thể sửa chính sách mật khẩu của nhà cung cấp, nhưng bạn có thể đảm bảo tài khoản của mình không trở thành mắt xích yếu tiếp theo. Hãy bắt đầu với các bước sau:
- Dùng mật khẩu riêng cho mọi tài khoản. Nếu một dịch vụ bị xâm phạm, việc dùng lại mật khẩu cho phép kẻ tấn công thử cùng thông tin đăng nhập ở nơi khác.
- Sử dụng trình quản lý mật khẩu. Nó tạo và lưu các mật khẩu dài ngẫu nhiên để bạn không phải ghi nhớ chúng.
- Bật xác thực hai yếu tố. Ngay cả khi mật khẩu bị đoán hoặc rò rỉ, yếu tố thứ hai có thể chặn đăng nhập.
- Kiểm tra các mật khẩu kiểu "123456". Thay thế mọi mật khẩu đơn giản, ngắn hoặc theo mẫu, bắt đầu với email, ngân hàng và tài khoản công việc.
- Coi các yêu cầu không được yêu cầu trước là đáng nghi. Xác minh bằng cách liên hệ tổ chức qua kênh chính thức mà bạn đã tin tưởng.
Điều này có ý nghĩa gì với bạn
Nếu bạn sống ở Đan Mạch, điểm mấu chốt chính là hãy cảnh giác với các nỗ lực phishing và mạo danh sử dụng chi tiết cá nhân để trông đáng tin. Vì số CPR khó thay đổi, sự thận trọng lâu dài quan trọng hơn một biện pháp khắc phục một lần. Nếu bạn ở nơi khác, bài học vẫn đúng: dữ liệu của bạn chỉ an toàn ngang với tài khoản yếu nhất tại mọi công ty đang nắm giữ nó.
Đối với các tổ chức, đặc biệt là nhà cung cấp IT xử lý hồ sơ nhạy cảm cho người khác, thông điệp còn đơn giản hơn. Hãy thực thi mật khẩu mạnh, yêu cầu xác thực đa yếu tố trên tài khoản quản trị viên và kiểm toán thông tin đăng nhập thường xuyên.
Điểm chính
Câu chuyện về mật khẩu trong vụ vi phạm dữ liệu CPR Đan Mạch cho thấy một thông tin đăng nhập tầm thường duy nhất tại nhà cung cấp bên thứ ba có thể đặt dữ liệu danh tính của cả một quốc gia vào vòng nguy hiểm. Hãy dành vài phút hôm nay để kiểm tra thông tin đăng nhập của chính bạn: đặt mật khẩu riêng cho từng tài khoản, dùng trình quản lý mật khẩu và bật xác thực hai yếu tố. Để có thêm bối cảnh, hãy đọc bài viết của chúng tôi về tuyên bố của hacker về kho đăng ký và mục thuật ngữ của chúng tôi về tấn công brute force.
