Một Nhật Ký Đánh Cắp SunCloudNew Khác Xuất Hiện Với 5.829 Bản Ghi

Một nhật ký đánh cắp mới liên quan đến tập dữ liệu SunCloudNew đã làm lộ 5.829 bản ghi chứa mật khẩu văn bản thuần, địa chỉ email và các URL đăng nhập liên quan, theo công ty tình báo mối đe dọa HEROIC. Nhóm giám sát vi phạm DarkHive của công ty đã xác định vụ lộ dữ liệu này và đang cung cấp một công cụ quét miễn phí, kiểm tra dữ liệu cá nhân dựa trên hơn 400 tỷ bản ghi bị xâm phạm được thu thập từ các vụ vi phạm và nhật ký mã độc.

Đây không phải là vụ lộ dữ liệu đầu tiên liên quan đến SunCloudNew xuất hiện trong những tháng gần đây. Các nhật ký đánh cắp tương tự mang cùng quy ước đặt tên đã liên tục xuất hiện trong suốt năm 2026, với số bản ghi dao động từ hơn 3.000 đến hơn 17.000 trong các sự cố trước đó. Sự xuất hiện lặp đi lặp lại của kiểu đặt tên này cho thấy một chiến dịch mã độc đang hoạt động hoặc một nhóm tác nhân đe dọa liên tục thu thập và phân phối lại thông tin đăng nhập bị đánh cắp, thay vì chỉ là một vụ rò rỉ đơn lẻ.

Nhật Ký Đánh Cắp Thực Sự Là Gì

Không giống như một vụ vi phạm dữ liệu truyền thống, nơi kẻ tấn công xâm nhập máy chủ của công ty và trích xuất cơ sở dữ liệu, nhật ký đánh cắp đến từ một thứ cá nhân hơn: mã độc được cài trực tiếp trên thiết bị của nạn nhân. Phần mềm đánh cắp thông tin, thường được gọi là infostealer, lặng lẽ thu thập mật khẩu đã lưu, dữ liệu tự động điền của trình duyệt, cookie phiên và thậm chí cả thông tin xác thực ví tiền mã hóa từ một máy tính bị nhiễm, sau đó gửi thông tin đó cho kẻ tấn công.

Tệp kết quả, được gọi là nhật ký đánh cắp, thường được sắp xếp theo URL của trang web mà mật khẩu thuộc về, kết hợp với địa chỉ email và mật khẩu tương ứng ở dạng văn bản thuần. Những nhật ký này thường được tải lên các chợ ngầm hoặc, ngày càng phổ biến, được chia sẻ miễn phí trên các kênh Telegram nơi tội phạm mạng trao đổi dữ liệu bị đánh cắp. Nhật ký SunCloudNew khớp chặt với mô hình này: các báo cáo mô tả nó là một tệp được tải lên bởi một người dùng Telegram, chứa các điểm cuối, địa chỉ email, thông tin máy chủ API và mật khẩu, tất cả đều ở dạng văn bản thuần.

Điều khiến nhật ký đánh cắp đặc biệt nguy hiểm so với các vụ vi phạm kiểu cũ là thông tin xác thực vẫn còn hiệu lực và không được mã hóa tại thời điểm bị đánh cắp. Không có thuật toán băm nào để phá và cũng không có muối (salt) nào để xử lý. Nếu thông tin xác thực của bạn xuất hiện trong một trong những nhật ký này, kẻ tấn công đã có sẵn chính xác những gì chúng cần để đăng nhập.

Tại Sao Mật Khẩu Văn Bản Thuần Lại Là Vấn Đề Lớn Hơn Bạn Nghĩ

Với 5.829 bản ghi, vụ lộ dữ liệu cụ thể này nhỏ hơn một số nhật ký liên quan đến SunCloudNew được xác định trước đó trong năm, nhưng quy mô không phải là yếu tố duy nhất quan trọng ở đây. Bởi vì mã độc thu giữ bất cứ thứ gì trình duyệt đã lưu tại thời điểm bị lây nhiễm, một thiết bị bị nhiễm duy nhất có thể tạo ra thông tin xác thực cho hàng chục dịch vụ không liên quan: cổng ngân hàng, email công việc, mạng xã hội và các trang mua sắm, tất cả được gộp chung trong cùng một tệp.

Hiệu ứng gộp chung đó chính là lý do tại sao việc tái sử dụng mật khẩu vẫn là một rủi ro dai dẳng. Nếu một trong những tài khoản bị lộ chia sẻ mật khẩu với tài khoản email, dịch vụ tài chính hoặc đăng nhập nơi làm việc, kẻ tấn công có thể từ một thông tin xác thực bị đánh cắp duy nhất chuyển sang một thỏa hiệp rộng hơn nhiều thông qua phép thử và sai đơn giản, một kỹ thuật được gọi là nhồi thông tin xác thực (credential stuffing).

Điều Này Có Ý Nghĩa Gì Với Bạn

Nếu địa chỉ email của bạn xuất hiện trong một nhật ký đánh cắp như thế này, điều đó thường có nghĩa là mã độc đã có mặt trên một thiết bị bạn từng sử dụng vào một thời điểm nào đó, không nhất thiết là một công ty bạn tin tưởng đã bị hack. Sự khác biệt đó rất quan trọng vì cách khắc phục là khác nhau: thay đổi mật khẩu sau khi một công ty bị vi phạm chỉ giải quyết cho một tài khoản, nhưng làm sạch một thiết bị bị nhiễm và thay đổi mọi mật khẩu được lưu trên đó mới giải quyết được nguồn gốc thực sự của vụ rò rỉ.

Phản ứng thực tế là giống nhau bất kể dữ liệu của bạn xuất hiện trong nhật ký đánh cắp nào. Hãy kiểm tra email của bạn bằng một công cụ kiểm tra vi phạm uy tín, chẳng hạn như trình quét miễn phí mà HEROIC đã cung cấp cho vụ lộ này, để xem liệu thông tin của bạn có nằm trong số 5.829 bản ghi hoặc bất kỳ hàng tỷ bản ghi nào khác đang lưu hành hay không. Nếu bạn nhận được kết quả trùng khớp, hãy coi mọi mật khẩu được lưu trong trình duyệt của bạn vào khoảng thời gian đó là đã bị xâm phạm, không chỉ mật khẩu bị gắn cờ.

Những Hành Động Cần Thực Hiện

  • Kiểm tra địa chỉ email của bạn bằng trình quét miễn phí của HEROIC hoặc một cơ sở dữ liệu vi phạm uy tín khác để xem bạn có nằm trong vụ lộ này hay không.
  • Nếu bạn bị ảnh hưởng, hãy thay đổi mật khẩu ngay lập tức, không chỉ cho tài khoản bị gắn cờ mà còn cho bất kỳ dịch vụ nào khác mà bạn đã tái sử dụng nó.
  • Chạy quét toàn bộ phần mềm diệt vi-rút và chống mã độc trên mọi thiết bị mà bạn lưu mật khẩu trong trình duyệt, vì nhật ký đánh cắp bắt nguồn từ các máy bị nhiễm, không phải từ các trang web bị hack.
  • Chuyển sang một trình quản lý mật khẩu chuyên dụng thay vì dựa vào mật khẩu được lưu trong trình duyệt, vốn là mục tiêu chính của phần mềm đánh cắp thông tin.
  • Bật xác thực hai yếu tố ở bất cứ nơi nào được cung cấp, đặc biệt là trên tài khoản email, ngân hàng và công việc, để chỉ riêng mật khẩu bị đánh cắp là không đủ để cấp quyền truy cập.

Những nhật ký đánh cắp như vụ lộ SunCloudNew là một lời nhắc nhở rằng hành vi đánh cắp thông tin xác thực ngày càng bắt đầu từ các thiết bị cá nhân thay vì máy chủ doanh nghiệp. Để luôn đi trước nó, bạn cần coi việc vệ sinh mật khẩu và bảo mật thiết bị là những thói quen liên tục, chứ không phải là những biện pháp khắc phục một lần sau khi đọc tin tức.