Mật khẩu bị báo lộ: đổi một nơi vẫn chưa chặn credential stuffing

Để biết mật khẩu đã lưu có bị báo lộ hay không, hãy mở Password Checkup trong Google Password Manager; nếu muốn tra cứu một mật khẩu cụ thể, hãy dùng Pwned Passwords trên trang chính thức. Trong hướng dẫn Password Checkup, Google khuyên người nhận cảnh báo vào trực tiếp công cụ để xác minh và thay những mật khẩu không an toàn. Sau khi xác minh, hãy đổi mật khẩu tại dịch vụ liên quan và tại mọi tài khoản đã dùng lại cùng chuỗi.

Đổi ở một dịch vụ chỉ bảo vệ thông tin đăng nhập của dịch vụ đó. Nếu cặp tên đăng nhập và mật khẩu đã lộ cũng dùng được ở nơi khác, kẻ tấn công có thể đem nó thử trên những dịch vụ ấy; cách thử tự động này được gọi là credential stuffing. Cảnh báo là lý do để xử lý mật khẩu và kiểm tra tài khoản, nhưng riêng nó chưa chứng minh đã có người đăng nhập trái phép.

Xác minh cảnh báo trong Password Checkup

Nếu nhận thông báo qua email, tin nhắn hoặc cửa sổ bật lên, hãy tự mở Chrome hay trình duyệt thường dùng và truy cập Google Password Manager. Trên máy tính dùng Chrome, đường đi là mục Mật khẩu và tự động điền, tiếp đến Google Password Manager rồi Kiểm tra. Với trình duyệt khác, bạn có thể mở trang quản lý mật khẩu của Google và chọn Password Checkup. Cách truy cập trực tiếp giúp bạn đối chiếu cảnh báo trong tài khoản thay vì nhập thông tin đăng nhập vào đường dẫn đi kèm một thông báo đáng ngờ.

Công cụ phân biệt mật khẩu bị lộ, mật khẩu yếu và mật khẩu dùng lại ở nhiều tài khoản. Hãy xem tên dịch vụ và tài khoản nằm trong kết quả trước khi sửa: một cảnh báo về mật khẩu dùng lại cho biết bạn cần tìm các nơi dùng cùng chuỗi, còn cảnh báo về mật khẩu bị lộ đòi hỏi thay chuỗi đó. Nếu kết quả dẫn đến một website, bạn vẫn có thể tự mở website hoặc ứng dụng chính thức của dịch vụ để đổi mật khẩu trong phần bảo mật tài khoản.

Phạm vi của Password Checkup là các mật khẩu có trong Google Password Manager của bạn. Tài khoản đăng nhập thủ công, lưu ở trình quản lý khác hoặc chưa từng được lưu sẽ không tự xuất hiện trong danh sách này. Vì vậy, sau khi ghi nhận chuỗi bị cảnh báo, hãy nhớ đến cả những dịch vụ cũ và các ứng dụng trên thiết bị khác mà bạn từng dùng cùng mật khẩu.

Pwned Passwords cho biết điều gì?

Nếu cần tra một chuỗi riêng lẻ, Pwned Passwords của Have I Been Pwned cho biết chuỗi ấy có trong tập mật khẩu thu được từ các vụ rò rỉ đã biết hay không. Khi tra cứu trên trang này, mật khẩu được băm tại thiết bị bằng SHA-1; chỉ năm ký tự đầu của mã băm được gửi tới API, còn việc đối chiếu đầy đủ diễn ra ở phía người dùng. Mật khẩu nguyên vẹn không được gửi đi để thực hiện phép tra cứu.

Kết quả trùng khớp là căn cứ để ngừng dùng mật khẩu đó ở tất cả tài khoản, dù bạn chưa biết nó xuất phát từ vụ rò rỉ nào. Công cụ tra chuỗi mật khẩu, không xác định tài khoản hoặc địa chỉ email nào của bạn đã bị truy cập. Nếu công cụ báo không tìm thấy, kết luận chỉ giới hạn ở dữ liệu đã được đưa vào dịch vụ: mật khẩu vẫn có thể yếu, bị lộ ở nơi chưa được ghi nhận hoặc đang bị dùng lại ở nhiều tài khoản.

Hai công cụ trả lời hai câu hỏi khác nhau. Password Checkup giúp bạn nhận diện vấn đề trong những thông tin đăng nhập đã lưu; Pwned Passwords giúp tra một mật khẩu cụ thể trong tập dữ liệu rò rỉ. Một kết quả không có cảnh báo ở công cụ này không thay thế việc rà soát các tài khoản nằm ngoài phạm vi của nó. Bạn cũng không cần nhập mật khẩu vào website bên thứ ba không rõ nguồn gốc để kiểm tra thêm.

Đổi theo thứ tự nào khi một mật khẩu được dùng nhiều nơi?

Trước tiên, đổi mật khẩu tại dịch vụ được nêu trong cảnh báo bằng website hoặc ứng dụng chính thức. Nếu chuỗi ấy cũng bảo vệ hộp thư nhận liên kết đặt lại mật khẩu, hãy đổi mật khẩu email trong lượt đầu: quyền truy cập hộp thư có thể cho phép người khác can thiệp vào việc khôi phục các tài khoản liên kết. Với tài khoản đã mất quyền đăng nhập, dùng quy trình khôi phục của chính dịch vụ thay vì tiếp tục thử mật khẩu cũ.

Tiếp theo, tìm mọi nơi từng dùng lại chuỗi đó: danh sách mật khẩu trong Google Password Manager, trình quản lý mật khẩu khác, trình duyệt trên thiết bị còn lại và các ứng dụng bạn thường đăng nhập thủ công. Đừng chỉ tìm tên dịch vụ giống tên trong cảnh báo. Rủi ro nằm ở chuỗi mật khẩu được tái sử dụng, nên một tài khoản khác với tên đăng nhập khác vẫn cần đổi nếu nó dùng cùng chuỗi.

Ở mỗi tài khoản tìm được, đặt một mật khẩu mới, mạnh và riêng cho tài khoản ấy. Lấy mật khẩu mới của dịch vụ đầu tiên dùng tiếp cho các dịch vụ khác chỉ tạo ra một chuỗi dùng chung mới. Trình quản lý mật khẩu có thể tạo và lưu các chuỗi riêng để bạn không phải ghi nhớ từng chuỗi. Sau khi đổi ở một dịch vụ, cập nhật bản ghi đã lưu tương ứng; bản ghi cũ có thể khiến bạn nhầm về mật khẩu hiện đang bảo vệ tài khoản.

Nếu chưa thể rà soát hết ngay, hãy ưu tiên email và các tài khoản chứa dữ liệu cá nhân, thông tin thanh toán hoặc quyền quản lý dịch vụ khác, rồi tiếp tục với những nơi còn lại. Đây là thứ tự xử lý theo tác động có thể xảy ra nếu một tài khoản bị truy cập; nó không làm cho các tài khoản ít dùng trở nên an toàn khi vẫn giữ mật khẩu cũ. Chỉ khi từng nơi dùng lại đã có mật khẩu riêng, chuỗi bị báo lộ mới không còn mở đường sang những nơi đó.

Rà soát phiên đăng nhập và bảo mật tài khoản

Sau khi đổi mật khẩu, kiểm tra sự kiện bảo mật gần đây, thiết bị đang dùng tài khoản và thông tin khôi phục. Hướng dẫn bảo vệ Tài khoản Google chỉ cách nhận diện hoạt động, thiết bị và thay đổi cài đặt không quen thuộc, đồng thời hướng dẫn bật Xác minh hai bước. Nếu thấy thiết bị hoặc phiên đăng nhập lạ, hãy dùng chức năng đăng xuất hay gỡ thiết bị của dịch vụ và làm theo quy trình bảo vệ tài khoản tại đó.

Kiểm tra địa chỉ email, số điện thoại khôi phục và các phương thức xác thực đã đăng ký. Một thay đổi bạn không thực hiện cần được xử lý riêng, kể cả khi mật khẩu đã được thay: mật khẩu mới không tự sửa thông tin khôi phục bị chỉnh sai. Với hộp thư, cũng nên xem các quy tắc chuyển tiếp hoặc lọc thư lạ, vì chúng có thể tiếp tục ảnh hưởng đến thư đặt lại mật khẩu và thông báo bảo mật.

Bật lớp xác thực bổ sung tại những dịch vụ hỗ trợ và giữ phương án khôi phục theo hướng dẫn của từng dịch vụ. Lớp bảo vệ này giúp giảm nguy cơ khi mật khẩu bị biết đến, nhưng không thay cho việc đổi các mật khẩu đã dùng lại. Khi hoàn tất, mỗi tài khoản từng dùng chuỗi bị cảnh báo cần có mật khẩu riêng, còn danh sách thiết bị, phiên đăng nhập và thông tin khôi phục phải khớp với hoạt động của bạn.

Đọc thêm:

• Phiên đăng nhập Claude bị đánh cắp: đổi mật khẩu và MFA vẫn chưa đủ
• WhatsApp đổi PIN thành mật khẩu: đừng nhầm với passkey
• AI rút một chiến dịch đánh cắp mật khẩu xuống dưới sáu giờ