Dumpster Diving (Lội rác) / Trashing là kỹ thuật tấn công kỹ thuật xã hội (Social Engineering) trong an ninh mạng, nơi kẻ tấn công tìm kiếm thông tin nhạy cảm trong rác thải vật lý hoặc số của mục tiêu.
Cơ sở: "Rác của người này là tài sản của người kia" (One man's trash is another man's treasure).
Thông tin hacker có thể thu thập
- Thông tin cá nhân: Email, số điện thoại, địa chỉ, CMND/CCCD.
- Thông tin xác thực: Mật khẩu ghi trên giấy, sticky note, file text không mã hóa.
- Tài chính/Y tế: Số thẻ tín dụng, hồ sơ bệnh án, bản in ngân hàng.
- Thông tin doanh nghiệp: Sơ đồ mạng, danh sách nhân viên, mã nguồn cũ, hợp đồng.
Nơi thường tìm thấy
- Thùng rác vật lý (văn phòng, nhà riêng).
- Ổ cứng/USB bị bỏ bán/liquidated không xóa dữ liệu an toàn.
- Máy in, máy photocopy (bộ nhớ lưu tạm job in).
- Rác số: File tạm, log cũ, backup không mã hóa trên server công khai, GitHub public repo chứa secret.
Biện pháp phòng chống
- Hủy diệt vật lý: Xay xước (shred) tài liệu giấy. Đập nát/độ từ (degauss) ổ cứng cũ.
- Xóa dữ liệu an toàn: Sử dụng phần mềm ghi đè nhiều lần (DoD 5220.22-M, NIST 800-88) trước khi thanh lý thiết bị.
- Chính sách Sạch bàn (Clean Desk Policy): Không để tài liệu nhạy cảm trên bàn khi vắng mặt. Khóa màn hình.
- Mã hóa: Mã hóa ổ cứng (BitLocker, LUKS), mã hóa file backup.
- Giáo dục nhân viên: Nhận biết rủi roDumpster Diving, không ghi mật khẩu giấy.
- Firewall & Giám sát: Chặn truy xuất file rác/thùng rác mạng trái phép.
Lưu ý pháp lý
Trong nhiều quốc gia, lục soát thùng rác đặt ở nơi công cộng (cçada) có thể hợp pháp, nhưng xâm nhập tư nhân để lấy rác là trái pháp luật. Doanh nghiệp nên tuân thủ quy định xử lý dữ liệu (GDPR, Luật An ninh mạng VN) để tránh rủi ro pháp lý do rò rỉ dữ liệu qua rác thải.