Reading Time: 11 minutes

Mật khẩu chính là hàng rào bảo vệ các tài khoản internet của bạn khỏi sự xâm phạm trái phép của tin tặc. Khi hàng rào này bị phá bỏ, hacker có thể truy cập vào các tài khoản, sử dụng trái phép thông tin cá nhân của bạn. Chúng có thể rao bán những thông tin cá nhân này cho bên thứ ba, đe dọa tống tiền hoặc lợi dụng danh tính của bạn để thanh toán, rút tiền trong tài khoản hay lừa đảo… gây ra nhiều thiệt hại cho người dùng.

Để ngăn chặn được những hậu quả nghiêm trọng bên trên, người dùng cần nắm được những cách hacker đánh cắp mật khẩu. Từ đó, biết được những phương pháp để bảo vệ tài khoản của mình khỏi sự tấn công của tin tặc. Trong bài viết này, chúng tôi sẽ giải thích vì sao mật khẩu của bạn bị đánh cắp và đưa ra một số khuyến nghị giúp bạn nâng cao bảo mật cho các tài khoản.

Một số cách hacker đánh cắp mật khẩu phổ biến hiện nay

Các cách liên quan đến vi phạm dữ liệu hoặc lợi dụng vi phạm dữ liệu

Mua bán mật khẩu bị rò rỉ trong quá trình vi phạm dữ liệu

Mua mật khẩu bị rò rỉ là hành động mua bán các thông tin đăng nhập (tên đăng nhập và mật khẩu) của người dùng trên các trang web bị rò rỉ dữ liệu, thông qua các thị trường ngầm trên internet hoặc các trang web đen.

Những thông tin này thường được thu thập từ các vụ vi phạm dữ liệu trước đó, khi các trang web hoặc ứng dụng bị tấn công và thông tin đăng nhập của người dùng bị đánh cắp. Sau đó, những kẻ tấn công sẽ bán các thông tin này cho những người muốn sử dụng chúng để tấn công hoặc lừa đảo người dùng khác.

Nhồi nhét thông tin xác thực

Nhồi nhét thông tin xác thực (hay Credential stuffing) là một hình thức tấn công mà trong đó thông tin xác thực thu được từ các vụ vi phạm dữ liệu sẽ được sử dụng để cố gắng đăng nhập vào một dịch vụ dịch vụ trực tuyến khác. Khi kẻ tấn công sử dụng kỹ thuật này, họ sẽ tìm kiếm các trang web hoặc ứng dụng khác để đăng nhập bằng tên người dùng và mật khẩu được thu thập trước đó.

Mục đích của credential stuffing là để truy cập trái phép vào các tài khoản người dùng khác, đặc biệt là tài khoản có giá trị cao như tài khoản ngân hàng hoặc tài khoản thanh toán trực tuyến và lấy được thông tin cá nhân của người dùng hoặc tiền của họ.

Cách hacker đánh cắp mật khẩu liên quan đến thử sai

Tấn công từ điển

Tấn công từ điển (hay Dictionary attack) là một kỹ thuật tấn công mật khẩu mà trong đó kẻ tấn công sử dụng một từ điển các từ ngữ hoặc các mật khẩu được sử dụng phổ biến để thử đăng nhập vào tài khoản của người dùng.

Kỹ thuật này thường được sử dụng khi kẻ tấn công đã có được danh sách các tài khoản người dùng và muốn tìm ra mật khẩu phù hợp để truy cập vào tài khoản đó. Đây là một trong những kỹ thuật tấn công mật khẩu phổ biến nhất và được sử dụng trong nhiều cuộc tấn công mạng.

Tấn công Brute Force

Đây là một cách hacker đánh cắp mật khẩu và xâm nhập trái phép vào hệ thống phổ biến hiện nay. Trong một cuộc tấn công Brute Force, hacker sẽ cố gắng thử nhiều username và password khác nhau, cho đến khi đúng thông tin đăng nhập và truy cập vào tài khoản của người dùng. Thông thường tin tặc sẽ sử dụng phần mềm tự động, có khả năng thử nhiều tên đăng nhập và mật khẩu với mức độ từ dễ đến khó.

Đối với những tài khoản có mật khẩu quen thuộc và đơn giản, Brute Force có tỷ lệ thành công rất cao. Tuy nhiên, với các tài khoản có mật khẩu phức tạp hơn thì hacker sẽ phải mất rất nhiều thời gian và công sức để đánh cắp.

Cách hacker đánh cắp mật khẩu liên quan đến lừa đảo

Giả mạo emails (Phishing emails)

Thủ thuật này rất quen thuộc và thường xuyên được hacker sử dụng, tuy nhiên vẫn có rất nhiều người “sập bẫy”.

Phishing email là một email giả mạo được thiết kế để lừa đảo người dùng với mục đích đánh cắp các thông tin cá nhân, thông tin đăng nhập, thông tin tài khoản ngân hàng, thẻ tín dụng… Hacker sẽ gửi cho bạn một đường link dẫn tới một trang web giả mạo (ví dụ đăng nhập vào facebook) để lừa bạn nhập tên tài khoản, mật khẩu. Ngoài ra, tin tặc cũng có thể gửi những email với file, link đính kèm có chữa mã độc, khi bạn nhấp vào hacker có thể xâm nhập hệ thống và đánh cắp dữ liệu quan trọng của bạn.

Thông thường, email sẽ được tạo ra để giả mạo một tổ chức, thường là ngân hàng hoặc dịch vụ tài chính có uy tín. Chính vì vậy, để tránh phải đối mặt với những hậu quả đáng tiếc khi bị mất dữ liệu quan trọng, người dùng phải hết sức tỉnh táo và cảnh giác khi nhận được những email yêu cầu cung cấp những thông tin riêng tư.

Lây nhiễm thiết bị của người dùng bằng phần mềm độc hại

Đây là cách hacker đánh cắp mật khẩu của người dùng bằng việc sử dụng các phần mềm độc hại để thu thập thông tin đăng nhập của người dùng trên thiết bị của họ và thực hiện các hành động trái phép. Một số phần mềm độc hại được kẻ tấn công sử dụng phổ biến hiện nay có thể kể đến như virus, trojan hay keylogger. Trong đó:

• Trojan là một loại phần mềm độc hại được giấu trong một phần mềm hoặc tệp đính kèm và khi được cài đặt sẽ thực hiện các hành động độc hại trên thiết bị của người dùng.
• Các virus có thể lây lan từ một thiết bị đến thiết bị khác và thực hiện các hành động độc hại như xóa dữ liệu hoặc mã hóa các tệp.
• Keylogger là một loại phần mềm độc hại được thiết kế để ghi lại các phím được nhấn trên bàn phím của người dùng, từ đó thu thập các thông tin đăng nhập của họ, bao gồm ID, password và những thông tin quan trọng khác.

Những phần mềm này có thể được kẻ tấn công phân phối thông qua các email giả mạo, các tệp đính kèm, các trang web giả mạo và các ứng dụng độc hại. Khi người dùng mở các tệp đính kèm hoặc truy cập vào các trang web giả mạo, phần mềm độc hại sẽ được cài đặt trên thiết bị của họ mà không hề hay biết.

Ngoài ra, các ứng dụng độc hại cũng có thể được tải xuống từ các trang web không an toàn hoặc từ các cửa hàng ứng dụng không chính thống.

Hack điện thoại

Kẻ tấn công có thể tấn công vào điện thoại của người dùng bằng cách cài đặt phần mềm độc hại hoặc khai thác các lỗ hổng bảo mật trên hệ điều hành của điện thoại. Họ có thể thu thập thông tin đăng nhập của người dùng thông qua các ứng dụng được cài đặt trên điện thoại của họ hoặc thông qua các trang web trên điện thoại.

Một số kẻ tấn công còn sử dụng các công cụ độc hại như các keylogger để ghi lại các phím được nhấn trên bàn phím của điện thoại, từ đó thu thập thông tin đăng nhập của người dùng.

Cách hacker đánh cắp mật khẩu liên quan đến phạm vi tiếp cận thu dần

Man in the Middle

Kẻ tấn công có thể sử dụng các kỹ thuật Man in the middle (MITM) để đánh cắp thông tin đăng nhập của người dùng. Khi người dùng truy cập một trang web hoặc ứng dụng, kẻ tấn công có thể giả mạo kết nối truyền tải giữa người dùng và máy chủ, từ đó lấy cắp thông tin người dùng. Các kỹ thuật tấn công MITM phổ biến bao gồm DNS spoofing, ARP poisoning hay Wi-Fi eavesdropping,…

Khi kẻ tấn công thực hiện một cuộc tấn công MITM, người dùng có thể không nhận ra rằng họ đã bị tấn công. Vì vậy, để ngăn chặn các cuộc tấn công MITM, người dùng cần đảm bảo rằng họ truy cập các trang web và ứng dụng thông qua kết nối an toàn và được mã hóa đủ mạnh để đảm bảo rằng thông tin không bị giả mạo trong quá trình truyền tải.

Nhìn lén (Shoulder surfing)

Kỹ thuật tấn công mật khẩu Shoulder surfing thường được sử dụng trong các địa điểm công cộng hoặc nơi có nhiều người chung quanh, khi kẻ tấn công cố gắng đọc mật khẩu của bạn bằng cách quan sát khi bạn nhập thông tin đăng nhập trên màn hình của bạn. Các kẻ tấn công thường đứng ở phía sau hoặc bên cạnh người dùng để có thể nhìn thấy màn hình của họ.

Wifi công cộng

Theo thống kê của Kaspersky Lab, có tới khoảng 28% điểm phát wifi trên toàn cầu có thể gây nguy hiểm đối với dữ liệu cá nhân người dùng. Tại các địa điểm công cộng như sân bay, quán cafe hay trường học, thường sẽ có rất nhiều điểm phát wifi miễn phí và tin tặc sẽ cố gắng tạo ra những wifi có cùng tên.

Khi truy cập wifi giả mạo, người dùng có thể được yêu cầu đăng nhập vào một trang CP giả mạo để được cấp quyền truy cập wifi. Nếu bạn cung cấp các thông tin theo yêu cầu của trạng web giả mạo thì các thông tin này sẽ bị tin tặc lấy cắp và sử dụng cho nhiều mục đích xấu.

Lưu giữ mật khẩu theo phương pháp truyền thống

Hiện nay, mỗi người đều có rất nhiều tài khoản internet dẫn đến việc số lượng mật khẩu cần nhớ cũng rất nhiều. Để dễ nhớ hơn, nhiều người chọn cách lưu lại các mật khẩu vào giấy nhớ, sổ hay ghi chú trên điện thoại.

Tuy nhiên, những cách làm truyền thống này đều tiềm ẩn rất nhiều rủi ro. Khi bạn làm mất những ghi chú này, toàn bộ những thông tin đăng nhập quan trọng vào các tài khoản của bạn đều bị mất và có thể dẫn đến rất nhiều hậu quả nghiêm trọng.

Cách phòng tránh

1. Đặt mật khẩu phức tạp

Đây là một cách đơn giản nhưng đem lại hiệu quả khá cao. Hacker sẽ khó có thể truy cập tài khoản của bạn nếu bạn đặt những mật khẩu mạnh. Mật khẩu mạnh là những mật khẩu dài, có sự kết hợp giữa chữ, số và các ký tự đặc biệt và quan trọng là không được trùng với thông tin cá nhân.

2. Bật xác thực 2 bước

Tính năng này thêm một lớp bảo mật cho các tài khoản của bạn. Khi muốn đăng nhập từ các thiết bị lạ, sau khi nhập mật khẩu bạn cần thực hiện thêm một bước xác thực có thể là nhập mật mã được gửi qua sms, qua email hay một phần mềm xác thực. Điều này khiến cho hacker dù hack được mật khẩu của bạn cũng không thể thực sự đăng nhập do cần có quyền truy cập vào thiết bị của bạn để lấy mật mã.

Hiện nay, các ứng dụng, phần mềm như Facebook, Instagram, Gmail hay các ứng dụng ngân hàng đều đã được tích hợp tính năng này. Bạn nên kích hoạt ngay tính năng này để tránh rủi ro khi bị lộ mật khẩu.

3. Thận trọng khi mở link, file đính kèm từ email

Như đã đề cập bên trên thì tấn công qua email là một cách hacker đánh cắp mật khẩu sử dụng nhiều nhất hiện nay. Vì vậy, khi nhận được những email từ người lạ yêu cầu cung cấp thông tin đăng nhập, thông tin cá nhân bạn cần xác minh kỹ càng để tránh rơi vào bẫy mà tin tặc đã tạo ra.

4. Sử dụng phần mềm diệt virus

Phần mềm diệt virus sẽ tìm kiếm và loại bỏ những virus, phần mềm độc hại đang ẩn nấp trong hệ thống máy tính của bạn và ngăn chặn các loại virus cố gắng xâm nhập vào hệ thống. Bằng cách cài đặt một phần mềm diệt virus, bạn sẽ có thể ngăn chặn các cuộc tấn công Key Logger hay Trojan.

5. Sử dụng trình quản lý mật khẩu Locker

Trình quản lý mật khẩu là một giải pháp tối ưu giúp người dùng bảo mật thông tin đăng nhập của các tài khoản internet. Phần mềm này có tác dụng thay thế một cuốn sổ ghi chép giúp bạn ghi nhớ tất cả mật khẩu, mã hóa và lưu trữ những thông tin này một cách tuyệt đối an toàn.

Trình quản lý mật khẩu Locker là một trong những phần mềm quản lý mật khẩu được nhiều người tin dùng. Ngoài những tính năng cơ bản của phần mềm quản lý mật khẩu, Locker còn tích hợp nhiều tiện ích như chia sẻ mật khẩu an toàn, ghi chú những thông tin bí mật, hỗ trợ đa nền tảng, tính năng offline mode…đem lại trải nghiệm tốt hơn cho người dùng.

Hiện tại, trình quản lý mật khẩu của Locker đã được tích hợp tính năng Email ẩn danh. Tính năng này giúp bạn giao tiếp ẩn danh mà vẫn có thể quản lý hộp thư đến hiệu quả, từ đó nâng cao năng suất làm việc và bảo mật thông tin cá nhân của bạn. Đây được xem là một tính năng hữu ích có thể giúp người dùng giảm thiểu tối đa nguy cơ bị tấn công qua email.

Cùng trải nghiệm những tính năng ưu việt của trình quản lý mật khẩu Locker và tải xuống miễn phí tại đường link: https://locker.io/vi/download.

Phải làm gì khi bị hack mật khẩu

Nếu bạn nghi ngờ tài khoản của mình đã bị rò rỉ mật khẩu, bạn cần:

• Đổi mật khẩu: Bạn cần nhanh chóng đăng xuất tài khoản ở tất cả các thiết bị đang sử dụng nếu có thể. Sau đó, thay đổi mật khẩu của tài khoản sang những mật khẩu mạnh, có tính bảo mật cao.
• Thông báo cho nhà cung cấp dịch vụ: Nếu không thể đăng xuất tài khoản ở tất cả các thiết bị, bạn cần phải ngay lập tức thông báo khóa tài khoản cho nhà cung cấp dịch vụ (facebook, email, ngân hàng…)
• Kiểm tra các dịch vụ có liên kết với tài khoản đã bị hack mật khẩu: Ví dụ khi bạn dùng Gmail để liên kết với tài khoản ngân hàng, khi Gmail bị hack bạn phải liên lạc với nhân viên hỗ trợ để họ khóa tài khoản ngân hàng của bạn lại.

Mật khẩu đóng vai trò rất quan trọng trong bảo mật thông tin. Mỗi chúng ta cần nhận thức được những mối nguy hại có thể xảy ra khiến mật khẩu bị rò rỉ, từ đó có cách phòng tránh hợp lý.