Nếu bạn đang nghiên cứu nguy hiểm của vi phạm dữ liệu (data breach), bạn có thể đã gặp trang web tên Have I Been Pwned (hay HIBP). Thiết kế của trang web đơn giản. Đổi lấy địa chỉ email, số điện thoại, tên người dùng, thậm chí mật khẩu, Have I Been Pwned sẽ cho bạn biết xem chúng có bao giờ được công khai trực tuyến hay không.
Rõ ràng nếu bạn lo lắng về người đánh cắp dữ liệu, ý tưởng đưa chi tiết đó cho một trang web lạ có vẻ không phải lựa chọn tốt.
Vậy Have I Been Pwned chính xác là gì và quan trọng hơn, bạn có thể tin dùng nó?
Have I Been Pwned (HIBP) Là Gì?
Have I Been Pwned là trang web phổ biến mà tính đến 2019 có hơn 2 triệu người đăng ký theo dõi (subscriber).
Thông minh khi cảnh giác về ai bạn đưa chi tiết cho, nhưng trang web này được thiết kế giúp bạn tránh vấn đề, không gây ra chúng.
Have I Been Pwned được tạo năm 2013 bởi nhà nghiên cứu bảo mật tên Troy Hunt. Theo Hunt, ông tạo trang web để đáp lại vi phạm dữ liệu tại Adobe Systems ảnh hưởng đến 32 triệu người.
Ông khẳng định tại thời điểm tấn công, hacker dễ dàng tải xuống hàng loạt chi tiết tài khoản bị đánh cắp. Nhưng người bình thường rất khó biết chi tiết của họ có bị bao gồm không.
Khi trang web ra mắt, nó chỉ có hồ sơ của 5 vi phạm bảo mật. Have I Been Pwned giờ có hàng trăm vi phạm trên hồ sơ và người bình thường có thể biết mình có bị bao gồm trong vài giây.
Nếu bạn vẫn lo ngại ý định của Have I Been Pwned, cũng đáng lưu ý kế hoạch gần đây công bố sẽ làm cho toàn bộ hệ thống mã nguồn mở (open source).
Tại Sao Nó Tên Là Have I Been Pwned?
Nếu cái tên không tự động truyền cảm hứng tin tưởng, đó là vì nó bắt nguồn từ thuật ngữ hacker dùng.
Trong hacking, thuật ngữ "pwn" có nghĩa là xâm phạm, hoặc kiểm soát, máy tính hoặc ứng dụng khác.
Logo cũng bao gồm văn bản ';-- và đây là tham chiếu đến SQL Injection – phương pháp phổ biến bắt đầu vi phạm dữ liệu.
Have I Been Pwned Lấy Thông Tin Từ Đâu?
Khi chi tiết tài khoản bị đánh cắp hàng loạt, chúng thường được công khai trực tuyến để bất kỳ ai tải xuống.
Nhờ uy tín của trang web, cũng có nhiều lần nguồn ẩn danh liên hệ Hunt để đóng góp.
Vì vậy, cập nhật trang web chỉ là việc thêm các gói dữ liệu (data dumps) khi chúng xảy ra.
Tính năng ấn tượng nhất của trang web có lẽ là Dump Monitor (Giám sát dữ liệu đổ). Đây là bot Twitter theo dõi các paste trên Pastebin để tìm gói dữ liệu tiềm ẩn. Khi tìm thấy, tất cả chi tiết tài khoản được thêm vào thời gian thực (real time).
Hầu hết gói dữ liệu không được nói ngay lập tức. Vì vậy nếu chi tiết của bạn từng bị đánh cắp, chúng có thể được thêm vào cơ sở dữ liệu trước khi bạn nghe tin chúng bị đánh cắp.
Trang web có thể nhanh hơn trong tương lai vì gần đây họ tuyên bố đang làm việc với FBI. Theo thỏa thuận đề xuất, kỳ vọng FBI sẽ cung cấp mật khẩu bị xâm phạm trực tiếp vào cơ sở dữ liệu khi tìm thấy.
FBI rõ ràng chịu trách nhiệm điều tra mọi loại tội phạm nên họ có khả năng truy cập mật khẩu không ai khác có.
Công Ty Có Sẽ Thông Báo Nếu Chi Tiết Của Tôi Bị Đánh Cắp?
Nếu công ty gặp vi phạm dữ liệu, cách xử lý đúng là liên hệ mọi người có thể bị ảnh hưởng. Thật không may, điều này không luôn xảy ra.
Đôi khi không thực tế liên hệ mọi người. Ví dụ, người có thể đăng ký dịch vụ rồi đổi địa chỉ email. Lúc khác, vi phạm dữ liệu không được công khai vì nó làm công ty xấu hổ.
Năm 2015, Hunt được liên hệ bởi nguồn ẩn danh đưa cho ông gói dữ liệu rõ ràng đến từ công ty hosting web 000WebHost. Hunt làm việc với phóng viên Forbes để xác minh dữ liệu. Sau khi làm vậy, họ cố gắng liên hệ công ty nhưng không được phản hồi.
000WebHost cuối cùng thừa nhận vi phạm nhưng điều đó không xảy ra cho đến sau khi phóng viên Forbes đăng bài về chủ đề đó.
Điều Gì Xảy Ra Nếu Chi Tiết Của Bạn Bị Vướng Vào Vi Phạm Dữ Liệu
Nếu chi tiết tài khoản của bạn được công khai trực tuyến, có một số điều có thể xảy ra, không cái nào tốt.
Nếu email của bạn bị vi phạm, hacker có thể dùng nó truy cập bất kỳ dịch vụ nào email của bạn kết nối. Chúng cũng có thể liên hệ người khác, giả vờ là bạn. Nếu bất kỳ tài khoản nào có thông tin cá nhân, nó có thể bị bán hoặc dùng cho đánh cắp danh tính (identity theft). Nếu tài khoản ngân hàng trực tuyến bị truy cập, tiền của bạn có thể bị đánh cắp.
Cách Sử Dụng Have I Been Pwned
Have I Been Pwned rất dễ dùng. Chỉ cần nhập chi tiết của bạn và nó sẽ cho biết có khớp (match) hay không. Đây là vài điều cần nhớ khi dùng dịch vụ.
Nếu chi tiết của bạn không tìm thấy, điều này không tự động nghĩa là chúng chưa bao giờ bị đánh cắp. Chỉ có nghĩa là Have I Been Pwned chưa bao giờ gặp chúng.
Have I Been Pwned không trả kết quả từ vi phạm xảy ra trên trang web nhạy cảm ví dụ: bất kỳ thứ gì người lớn (adult). Nếu bạn muốn truy cập toàn bộ cơ sở dữ liệu, bạn phải xác minh địa chỉ email.
Nếu bạn đăng ký Have I Been Pwned, bạn có thể chọn nhận email nếu chi tiết của bạn bao giờ được công khai trong tương lai. Điều này rất được khuyến khích.
Làm Gì Nếu Chi Tiết Của Bạn Đã Rò Rỉ
Nếu chi tiết của bạn được tìm thấy, có một số bước bạn nên thực hiện.
- Nếu mật khẩu của bạn được tìm thấy, bạn nên truy cập bất kỳ trang web nào dùng nó và thay đổi ngay lập tức.
- Nếu bất kỳ tài khoản bị ảnh hưởng nào quan trọng với bạn, bạn nên tìm bằng chứng chúng đã bị truy cập.
- Nếu địa chỉ email bị ảnh hưởng, bạn cũng nên đổi mật khẩu của bất kỳ dịch vụ nào liên kết với nó.
- Bạn nên tránh dùng mật khẩu này ở bất kỳ đâu trong tương lai.
Bảo Vệ Tài Khoản Của Bạn Ngay Hôm Nay
Vi phạm dữ liệu là sự việc thường xuyên và có thể xảy ra trên bất kỳ trang web nào, bất kể quy mô. Nếu bạn nghĩ bạn có thể bị ảnh hưởng, Have I Been Pwned là nguồn tốt nhất, và có lẽ duy nhất, để tìm hiểu.
Bất kể chi tiết của bạn đã bị đánh cắp hay chưa, cách ưu tiên bảo vệ chống vi phạm dữ liệu là không bao giờ dùng cùng mật khẩu cho nhiều tài khoản. Cách đó, nếu chi tiết của bạn bao giờ bị đánh cắp, chỉ một tài khoản sẽ bị ảnh hưởng.