Thấy gì từ vụ các tài khoản Golden Lotus và Yahoo bị đánh cắp?

17:20 24/09/2016
Mới đây, việc Yahoo xác nhận 500 triệu tài khoản thành viên của hãng bị đánh cắp thông tin đã dấy lên mối lo ngại về việc bảo vệ dữ liệu cá nhân và nhận thức về an toàn thông tin khi “sống” trên môi trường Internet hiện đang ở mức báo động.

Các dữ liệu mà hacker tấn công và lấy được từ Yahoo có thể bao gồm họ tên, địa chỉ email, số điện thoại, ngày sinh, câu hỏi và câu trả lời bí mật. Yahoo cho rằng thông tin thẻ tín dụng, tài khoản ngân hàng hay các mật khẩu không mã hóa vẫn được bảo vệ bởi nó được lưu trên một hệ thống khác. Yahoo cũng thừa nhận, một số dữ liệu người dùng đã bị sử dụng, nhưng không ước tính có bao nhiều thành viên thật sự bị ảnh hưởng.

Hãng công nghệ Yahoo thừa nhận thông tin 500 triệu thành viên bị đánh cắp.

Trước đó, hồi tháng 7/2016, hệ thống của Hãng Hàng không Quốc gia Việt Nam (Vietnam Airlines) bị tấn công, thông tin về việc giải mã thành công mật khẩu của hơn 400 ngàn khách hàng chương trình Bông Sen Vàng - Golden Lotus, được lan truyền trên mạng.

Hacker đã công bố lên mạng danh sách hơn 400.000 khách hàng thuộc nhóm Golden Lotus trong đó chứa nhiều thông tin quan trọng như: Tên, Ngày sinh, Địa chỉ, Điểm tích lũy, Tài khoản hội viên, Mật khẩu, Email,… trong đó mật khẩu đã được mã hóa và email được sửa toàn bộ thành xxxx, chỉ để lại phần tên miền sau @.

Ngay sau khi danh sách này bị công bố, Vietnam Airlines đã có thông báo kêu gọi khách hàng đổi mật khẩu, tuy nhiên có thể chắc chắn rằng vẫn còn nhiều khách hàng chưa biết hoặc… không để ý đến.

Quan sát danh sách mật khẩu nhận thấy đây không phải là kiểu mã hóa mật khẩu một chiều (sử dụng hàm băm) mà chỉ là một phương pháp mã hóa khá đơn giản.

Sau khoảng hơn nửa tiếng tiến hành thử nghiệm giải mã, anh bạn tôi – một chuyên viên của Văn phòng Bộ Thông tin & Truyền thông, mà tên tuổi gắn liền với trò chơi Lines 98 khá phổ biến tại Việt Nam hồi đầu những năm 2000, đã có được hơn 400 ngàn mật khẩu của các thành viên chương trình Bông Sen Vàng.

Thử đối chiếu qua một vài người bạn, chúng tôi được xác nhận đúng mật khẩu, ngoài ra cũng có thể dễ dàng xác nhận bằng mắt thường các mật khẩu sau khi được giải mã.

Mặc dù trên các phương tiện thông tin đại chúng đã phân tích mổ xẻ khá nhiều chiều, nhiều góc nhìn từ kỹ thuật đến khía cạnh quản lý, tuy nhiên vấn đề lộ mật khẩu và các hậu quả, rủi ro của nó thì lại ít được đề cập đến.

Thậm chí bạn bè của chúng tôi, một số thì dửng dưng “tưởng mật khẩu nó công bố trong file excel rồi mà”, một số đã từng mở file excel thì ngạc nhiên “tưởng nó hash rồi cơ mà” (hash - hàm băm mã hóa 1 chiều, gần như không có khả năng giải mã).

Thực sự vấn đề nghiêm trọng hơn những gì mọi người vẫn tưởng. Các mật khẩu này được đặt một cách vô cùng bất cẩn, có thể do chính người dùng đặt, cũng có thể nhân viên khi nhập dữ liệu đã đặt hộ khách hàng.

Chúng tôi đã thử làm một bảng thống kê, và không ngoài dự đoán khi mật khẩu 123456 được sử dụng phổ biến nhất - chiếm tới 6,22%, tiếp đến là những mật khẩu “dễ đoán như ăn kẹo” abc123, vietnam, iloveyou,…

Bảng thống kê hành vi đặt mật khẩu các tài khoản Golden Lotus.

Điều đáng nói ở đây là có bao nhiêu hệ thống tại Việt Nam đang lưu trữ mật khẩu khách hàng “hớ hênh” như vậy? Nên biết rằng, hầu như tất cả các hệ thống đơn giản nhất hiện nay cũng sử dụng hàm băm (hash) mã hóa 1 chiều để lưu trữ mật khẩu chỉ phục vụ cho mục đích kiểm tra đúng sai. Bởi sau khi mật khẩu đã được mã hóa (băm) thì cho dù bị lộ cũng không ai có thể dò ra được chính xác mật khẩu gốc là gì.

Ngay sau vụ việc thông tin thành viên chương trình Bông Sen Vàng bị lộ lọt, các cơ quan chức năng đã có văn bản cảnh báo gửi đi các nơi, Vietnam Airlines cũng có thông báo đề nghị khách hàng đổi mật khẩu Golden Lotus của mình trên hệ thống sau khi được khắc phục.

Tuy nhiên có một việc chưa được đề cập đến đó là hậu quả của việc giải mã được mật khẩu, khi đó mật khẩu kèm theo tên, địa chỉ của khách hàng bị lộ, và không có gì đảm bảo thói quen của người dùng sẽ sử dụng chung 1 mật khẩu cho nhiều dịch vụ trực tuyến của mình, đó là: email, tài khoản ngân hàng, tài khoản thanh toán…

Một ví dụ đơn giản, chúng tôi có khoảng 20 người bạn chung có tên trong danh sách, vì là bạn nên chúng tôi biết địa chỉ gmail của họ. Thử dò bằng mật khẩu đã được giải mã, nếu may mắn, chúng tôi có thể dò được 1-2 người do thói quen sử dụng chung mật khẩu.

Từ gmail, chúng tôi có thể chiếm được rất nhiều tài khoản khác đã từng sử dụng email này để đăng ký dịch vụ từ tài khoản ngân hàng, chứng khoán, ví điện tử,…

V.Cường
# an toàn thông tin chương trình Bông Sen Vàng đánh cắp thông tin hacker tấn công lộ thông tin thành viên mất an toàn thông tin
Facebook Twitter Link gốc
Các tin khác
Hải Phòng rực rỡ cờ hoa hướng tới kỷ niệm 70 năm ngày giải phóng

Nhân dịp kỷ niệm 50 năm Ngày giải phóng miền Nam, thống nhất đất nước (30/4/1975-30/4/2025) và hướng tới kỷ niệm 70 năm Ngày giải phóng Hải Phòng (13/5/1955-13/5/2025), những ngày trên khắp các nẻo đường của TP Hải Phòng, niềm kiêu hãnh dân tộc và tình yêu quê hương của người dân và du khách được thể hiện rạng rỡ trong sắc màu cờ đỏ, lan tỏa cả cộng đồng.

Tai nạn giao thông trên cả nước tiếp tục giảm

Ngày 2/5, thông tin từ Ủy ban an toàn giao thông (ATGT) Quốc gia cho biết, toàn quốc xảy ra 52 vụ tai nạn giao thông đường bộ, làm chết 22 người, bị thương 44 người (đường sắt, đường thủy không xảy ra tai nạn). So với ngày thứ 3 của kỳ nghỉ lễ năm trước, số vụ tai nạn giảm 15 vụ, giảm 14 người chết, tăng 6 người bị thương.

10 ngư dân được cứu sống trên biển Côn Đảo

Ngày 2/5, Bộ Chỉ huy Bộ đội Biên phòng (BĐBP) tỉnh Bà Rịa-Vũng Tàu cho biết, đơn vị vừa kịp thời tiếp nhận 10 ngư dân trên tàu cá BV 97879 TS do ông Trương Quang Khánh (SN 1983, thường trú huyện Hoài Nhơn, tỉnh Bình Định) làm thuyền trưởng, bị nạn trên biển sau khi va chạm với tàu hàng BBC MERCURY, quốc tịch Liberia.

Lời cảm ơn của Ban Chỉ đạo Trung ương kỷ niệm các ngày lễ lớn và Đảng bộ, chính quyền TP Hồ Chí Minh

Lễ kỷ niệm 50 năm Ngày Giải phóng miền Nam, thống nhất đất nước (30/4/1975 - 30/4/2025) đã được tổ chức trọng thể và thành công tốt đẹp tại TP Hồ Chí Minh - một lần nữa khẳng định ý nghĩa và tầm vóc lịch sử to lớn của Đại thắng mùa Xuân 1975 trong lịch sử dựng nước và giữ nước của dân tộc Việt Nam.

Bắt giữ ba đối tượng vận chuyển 50 bánh hồng phiến

Theo thông tin từ Công an tỉnh Điện Biên, ngày 30/4, lực lượng chức năng phòng chống ma túy tỉnh Điện Biên vừa triệt phá thành công một đường dây vận chuyển trái phép chất ma túy với quy mô lớn, xuyên quốc gia, bắt giữ ba đối tượng cùng 50 bánh hồng phiến.

Huyện cho phép giải quyết thủ tục đối với 90 thửa đất trong diện đang điều tra, xác minh?

Ngày 9/4 vừa qua, Cơ quan CSĐT Công an TP Hồ Chí Minh đã có văn bản gửi UBND huyện Hóc Môn, Văn phòng đăng ký đất đai TP Hồ Chí Minh và Chi nhánh Văn phòng đăng ký đất đai huyện Hóc Môn đề nghị tạm dừng cập nhật biến động đối với 1.386 thửa đất, tổng diện tích lên đến 160 ha được cho chuyển mục đích sử dụng đất trái quy định… 

Bài 1: Doanh nghiệp kêu vướng, ngân hàng kêu khó

Với doanh nghiệp nói chung và đặc biệt là khối doanh nghiệp nhỏ và vừa, vốn tín dụng đóng vai trò rất quan trọng trong sự phát triển. Tuy nhiên, bên cạnh lãi suất, tài sản bảo đảm là cản trở lớn nhất khiến cho doanh nghiệp không thể tiếp cận vốn ngân hàng: doanh nghiệp thiếu tài sản, ngân hàng sợ rủi ro. Tình trạng này không mới, nhưng nó vẫn tồn tại dai dẳng, cần những giải pháp đột phá để giải quyết mâu thuẫn này.

Bài 1: Từ một vụ án, bóc gỡ đường dây ma tuý lớn

Theo Công an tỉnh Phú Thọ, đây là một trong các vụ án ma túy có số lượng bị can bị khởi tố trong cùng 1 vụ án lớn nhất cả nước từ trước đến nay, với 73 bị can. Tính từ khi vụ án được khởi tố và chuyên án được xác lập trong thời gian khoảng 10 tháng, khối lượng công việc các thành viên phải thực hiện rất lớn. Quá trình đấu tranh, mở rộng vụ án, đồng thời phải đối mặt với rất nhiều khó khăn do thông tin về đối tượng cần điều tra, mở rộng truy bắt ít, rất khó xác định được nhân thân… 

©2004. Bản quyền thuộc về Báo Công An Nhân Dân.
®Không sao chép dưới mọi hình thức khi chưa có sự đồng ý bằng văn bản của Báo Công An Nhân Dân.