Vụ Rò Rỉ Dữ Liệu GoDaddy 2021: Điều Gì Xảy Ra & Ý Nghĩa Đối Với Bạn

GoDaddy, một trong những web host lớn nhất, phát hiện vi phạm dữ liệu vào ngày 17/11/2021. Cộng đồng WordPress đang bàn sôi về hệ quả của vụ rò rỉ dữ liệu GoDaddy vì mục tiêu chính là khách hàng Managed WordPress của GoDaddy.

Vấn đề với tin tức này là luôn có nhiều tiếng ồn khi mọi người nhảy vào đoàn xe. Trong 10 năm, chúng tôi tại MalCare thấy mọi người có quan niệm sai lầm về bảo mật WordPress. Thường lời khuyên không hữu ích, thậm chí có hại cho web.

Khách hàng GoDaddy rõ ràng đang hoảng loạn và cần câu trả lời rõ ràng, thẳng thắn. Trong bài này, chúng tôi phân tích đơn giản nhất điều gì xảy ra và các bước tiếp theo bạn nên làm.

Vụ Rò Rỉ Dữ Liệu GoDaddy: Điều Gì Xảy Ra & Tại Sao Mọi Người Hoảng Loạn

GoDaddy gặp vi phạm dữ liệu nghiêm trọng, phát hiện ngày 17/11 và phát biểu ngày 22/11. Tóm tắt nhanh:

• Theo điều tra, dữ liệu bị xâm phạm hơn 2,5 tháng trước khi họ nhận ra.
• Thông tin đăng nhập SFTP và database của 1,2 triệu khách hàng Managed WordPress bị xâm phạm.
• Một số mật khẩu admin WordPress bị lộ. Đây là mật khẩu admin do hệ thống tự đặt khi web mới tạo.
• Khóa riêng SSL cũng bị xâm phạm đối với một số user. Khóa riêng SSL là phần quan trọng nhất của chứng chỉ SSL, xương sống bảo mật. Khóa riêng bị xâm phạm làm chứng chỉ SSL không an toàn và vô giá trị.
• Sau này phát hiện reseller cũng bị ảnh hưởng bởi vụ rò rỉ GoDaddy.

GoDaddy đã cố gắng giảm thiểu thiệt hại, và có thể đã liên hệ trực tiếp khách hàng bị ảnh hưởng. Tuy nhiên, lúc này, lời đảm bảo từ GoDaddy sẽ không được đón nhận tốt. Họ sẽ cố gắng kiểm soát thiệt hại và giữ chân khách hàng, những người tự nhiên muốn bồi thường hoặc rời GoDaddy hoàn toàn.

Vụ Rò Rỉ Dữ Liệu GoDaddy Ảnh Hưởng Như Thế Nào Đến Bạn & Bạn Nên Làm Gì

Nếu bạn là khách Managed WordPress, có chứng chỉ SSL do GoDaddy cấp, hoặc mua hosting qua reseller GoDaddy, bạn là người bị ảnh hưởng nặng nề nhất.

Nếu bạn là khách Managed WordPress, nên làm gì?

Khách Managed WordPress của GoDaddy rõ ràng bị tác động nặng nề nhất. Theo khai báo SEC của GoDaddy, hacker có quyền truy cập SFTP và database của mọi site trên nền tảng.

Mặc dù nhiều người bực bội vì thông tin SFTP được lưu plaintext (rất nguy hiểm), chúng tôi cho rằng thông tin đăng nhập database bị xâm phạm mới là nguyên nhân lo ngại lớn nhất.

Với thông tin database, có thể truy cập hoàn toàn bất kỳ site WordPress nào. Đây là lý do tấn công SQL injection nguy hiểm.

Hacker có thể copy, sửa đổi, thêm file và database bất kỳ lúc nào. Vì vậy, cách an toàn nhất là giả định xấu nhất — hacker đang có quyền truy cập web của bạn, và web có thể đã có mã độc.

Cách khôi phục trang web

Chưa phải mất hết, nếu web vẫn hoạt động, tình huống có thể giải quyết. Các bước khôi phục web từ hacker:

1. Quét web tìm mã độc

Ưu tiên đầu tiên: quét sâu (deep scan) web vì mã độc có thể ở khắp nơi: file core WordPress, thư mục plugin/theme, database. Qua thông tin đăng nhập bị xâm phạm, hacker truy cập file và database web lâu dài. Do đó, trình quét frontend không đủ.

2. Gỡ mã độc

Nếu web bị hack, dọn mã độc ngay lập tức. Có thể đã thấy triệu chứng nhưng chưa nhận ra do mã độc. Nếu Google chưa blacklist, bạn may mắn, chỉ cần tập trung dọn mã độc ngay. Dùng MalCare làm nhanh, hiệu quả, để web quay lại bình thường sớm nhất.

Không khuyến nghị gỡ mã độc thủ công. Hacker thường giấu backdoor khéo léo trong code, nên dù mã độc được phát hiện và gỡ, hacker vẫn truy cập lại qua backdoor. Cách tốt nhất gỡ mã độc là dùng plugin bảo mật.

3. Đổi tất cả mật khẩu

Dù tìm thấy mã độc hay không, bạn phải đổi tất cả mật khẩu: tài khoản admin, mật khẩu database, thông tin SFTP, tất tần tật. GoDaddy đã reset SFTP và database, nhưng nên làm lại, phòng khi web có mã độc.

Đây là biện pháp phòng ngừa hai lý do: một, nếu web bị hack, đây là phần checklist; hai, nếu bạn tự đặt mật khẩu SFTP, khả năng bạn dùng lại mật khẩu ở nơi khác và những tài khoản đó cũng bị xâm phạm. Đây mới là bước 1 trong checklist bảo mật sau hack, nhưng khởi đầu tốt. Nó ngăn thiệt hại không bị tồi tệ hơn.

4. Lấy chứng chỉ SSL khác

Trường hợp chứng chỉ SSL bị xâm phạm, GoDaddy đã liên hệ trực tiếp. Trong trường hợp này, tốt hơn lấy SSL hoàn toàn mới từ certificate authority khác. Dù GoDaddy đang reset chứng chỉ, để đẩy nhanh, tự xử lý tốt hơn.

Cửa hàng thương mại điện tử và trang thành viên

Nếu web là cửa hàng điện tử hoặc trang thành viên, có thêm lớp phức tạp. Trong trường hợp này, bạn lưu dữ liệu khách: email, mật khẩu đăng nhập ít nhất. Có thể lưu thêm thông tin cá nhân. Đường ray sáng duy nhất: bạn khả năng lớn không lưu chi tiết thẻ tín dụng.

5. Giao tiếp với người dùng web

Trong trường hợp này, bạn cần yêu cầu người dùng web reset mật khẩu của họ. Thực tế, hãy làm ngay và thông báo cho họ. Đây là tuyên bố trách nhiệm, vì bạn phải giả định dữ liệu user web cũng bị xâm phạm, do hacker truy cập database web. Trong một số trường hợp, bạn có thể bắt buộc pháp lý phải làm vậy.

Cũng cảnh báo user cảnh giác lừa đảo phishing. Lừa đảo này cố gắng lấy thêm thông tin từ user bằng cách mạo danh doanh nghiệp/thương hiệu họ tin tưởng. Quy tắc tốt: không click link nào gửi qua email.

Nếu web host trên GoDaddy nhưng KHÔNG phải khách Managed WordPress?

Theo khai báo SEC, GoDaddy nói chỉ khách Managed WordPress và tài khoản reseller bị liên quan. Do đó, bạn không cần lo, nhưng tốt hơn đổi tất cả mật khẩu cho chắc.

Nếu dùng ManageWP, có bị ảnh hưởng không?

Tính đến lúc viết bài, GoDaddy chưa chỉ ra user ManageWP bị ảnh hưởng. Tuy nhiên, có thể thay đổi khi điều tra tiến triển. Vì an toàn, khuyến nghị reset tất cả mật khẩu.

Câu hỏi lớn hơn: nếu bạn dùng ManageWP và là khách GoDaddy, có an toàn không khi để tất cả trứng trong một giỏ? Nếu vụ rò rỉ GoDaddy lớn hơn và hacker xóa web, như việc Web Hosting Canada tháng 8/2021, bạn sẽ trong tình huống xấu về backup. Vì lý do này, an toàn hơn có nhà cung cấp backup khác. Không bao giờ là thói tốt để backup trên cùng server với web.

Góc Nhìn Bảo Mật Không Hysteria

GoDaddy là mục tiêu chính cho hacker chỉ vì quy mô và độ phổ biến. Dù không hệ thống nào an toàn 100%, GoDaddy nên có biện pháp mạnh bảo vệ khách hàng, nhất là với quy mô và nguồn lực của họ. Điểm chỉ trích chính không phải hệ thống bị xâm phạm, mà là mất hơn 2 tháng mới phát hiện. Họ nên có quy trình phát hiện sớm hơn nhiều. Đó là khía cạnh đáng sợ.

GoDaddy Sai Ở Đâu & Tại Sao?

Cảm xúc chung về GoDaddy hiện cực tiêu cực, nhiều ý kiến gay gắt. Một phần không công bằng, vì bảo mật WordPress không dễ hiểu. Để rõ ràng: tất cả vi phạm bảo mật đều xấu NHƯNG mức độ khác nhau.

Hai vấn đề nổi lên từ điều tra nhà nghiên cứu bảo mật:

• GoDaddy lưu mật khẩu plaintext
  • Chỉ suy đoán, nhưng thường thấy hầu hết web host lưu mật khẩu SFTP plaintext. Yếu tố tiện lợi, vì thông tin SFTP thường tự động tạo, không do user đặt. Để người dùng dùng được, lưu plaintext.
• Mất hơn 2 tháng phát hiện vi phạm
  • Như nói trước, đây là vấn đề thực sự. Mã độc gây thiệt hại tiến triển theo thời gian. Hacker truy cập database và file web >2 tháng. Sự lơ là không thể tưởng tượng.

GoDaddy Đang Làm Gì Khắc Phục?

GoDaddy đã reset mật khẩu SFTP và database cho khách hàng, nên mọi site nên quét mã độc và đổi mọi mật khẩu khác. Bên cạnh đó, GoDaddy đang cấp lại chứng chỉ SSL cho tài khoản bị xâm phạm. Nếu bạn có SSL do GoDaddy cấp, đừng chờ họ xử lý. Hãy cấp chứng chỉ mới từ certificate authority riêng ngay lập tức.

GoDaddy An Toàn Không? Nên Chuyển Host Khỏi GoDaddy?

Vụ rò rỉ GoDaddy nghiêm trọng, không nghi ngờ, và nên bị phát hiện sớm hơn nhiều. Tuy nhiên, bạn nên quyết định dựa trên nhiều yếu tố, không chỉ cái này.

Thông tin SFTP và database hầu như luôn tự động tạo khi setup web, hiếm khi do user đặt.

Điều này có nghĩa hai điều liên quan:

1. Mật khẩu khó nhớ, user hay quên/mất
2. Khả năng mật khẩu này được dùng lại nơi khác gần như bằng 0.

Lý tưởng, mọi mật khẩu lưu trữ nên được hash, nhưng một số trường hợp trở nên không thực tế. Vì mật khẩu tự động tạo hiếm khi dùng nơi khác, chúng ngăn chặn nguy hiểm thực sự của thông tin đăng nhập bị xâm phạm: mật khẩu dùng lại trên tài khoản khác. Nghĩa là, hacker không dùng mật khẩu này truy cập tài khoản khác, thiệt hại bị bao kín.

Thông tin SFTP cần cho nhiều nhiệm vụ admin: backup, dọn dẹp khẩn cấp, restore web, v.v. — trừ khi dùng plugin gánh việc đó. Do đó, GoDaddy và host phổ biến khác làm cho truy cập SFTP dễ dàng cho khách.

Tương tự database credentials, host ưu tiên làm cho khách dễ dàng. Thực tế, file wp-config của bạn cũng lưu database credentials plaintext.

Vậy kết luận: mọi việc chửi bới GoDaddy tập trung vào vấn đề sai. Mật khẩu plaintext không phải vấn đề; mà là thiếu quy trình phát hiện vi phạm dữ liệu. Web host hiếm khi là nguyên nhân web bị hack, nên đây là ngoại lệ. Là huyền thoại rằng web host là điểm vào mã độc cho web.

Về mối đe dọa phishing?

Nếu email bị xâm phạm, cảnh giác lừa đảo phishing. Nếu bạn có cửa hàng điện tử hoặc trang thành viên host GoDaddy, cảnh báo user web phải cảnh giác phishing, không click link email.

Phishing là tấn công kỹ thuật xã hội, lừa người đưa dữ liệu cho hacker. Hacker dùng thương hiệu uy tín để lấy thông tin. Lừa đảo thường hai bước: email link giả, cộng với trang web giả mạo có form thu thập dữ liệu.

Tôi Nên Làm Gì Để Bảo Vệ Web?

Có vài việc bạn làm ngay để bảo vệ web, bất kể host nào. Host tốt quan trọng về bảo mật, nhưng đến một giới hạn. Phần lớn trách nhiệm nằm với bạn, chủ web.

Việc bạn làm ngay:

• Cài plugin bảo mật có quét hàng ngày. Plugin bảo mật không bảo vệ bạn khỏi vi phạm do mật khẩu xâm phạm, nhưng vì bạn có quét hàng ngày, nếu web có mã độc, bạn sẽ biết trong <24 giờ thay vì 2 tháng. Điều này then chốt cho phát hiện mã độc và giảm thiểu thiệt hại.
• Luôn chọn backup offsite và full backup. Nếu bất kỳ điều gì xảy ra với server web và backup cũng lưu đó? Đó là lúc web chết.
• Dùng mật khẩu mạnh và duy nhất. Mật khẩu bị xâm phạm là cửa mở miễn phí vào tài khoản, và nếu bạn dùng chung mật khẩu cho nhiều tài khoản, bạn gần như trải thảm đỏ cho tất cả. Nếu có một bài học từ hỗn loạn này, là hãy có mật khẩu khác nhau cho từng tài khoản. Cách đó, dù có vi phạm, thiệt hại bị bao kín và bạn không loay hoay bảo vệ cái khác. Đặt mật khẩu mạnh, duy nhất khá khó, khuyến nghị dùng password manager.

WordPress Có An Toàn Không?

Mỗi khi có vi phạm bảo mật trong hệ sinh thái WordPress, câu hỏi cũ này lại xuất hiện. Mọi người có quyền ý kiến, nhưng thực tế WordPress an toàn như một hệ thống có thể. Nó thành mục tiêu hacker vì độ phổ biến rộng rãi, và thực tế, chính vì lý do đó, nó đã giải quyết nhiều vấn đề bảo mật vẫn còn tồn tại ở CMS khác.

Là chủ web, bạn cần làm nhiệm vụ kiểm tra đảm bảo core, plugin, theme đều cập nhật.