26 tỷ hồ sơ cá nhân bị lộ trong vụ rò rỉ lớn nhất trên Internet

26 tỷ hồ sơ cá nhân của người dùng Weibo, Twitter, LinkedIn, Zing… bị rò rỉ, làm dấy lên lo ngại về một làn sóng tội phạm.

Ngày 23/1, Forbes dẫn báo cáo từ công ty tư vấn bảo mật Security Discovery và Cyber News cho biết một kho dữ liệu lên đến 12 terabyte vừa được phát hiện và là vụ rò rỉ dữ liệu lớn nhất trong lịch sử được ghi nhận, gọi là MOAB. Adam Pilton, nhà tư vấn an ninh mạng CyberSmart, ước tính 12 terabyte tương đương với 15.600 tủ hồ sơ.

Nhóm nghiên cứu nói kho dữ liệu được tìm thấy trên một bản lưu trữ mở, có thể được biên soạn bởi một số tin tặc hoặc bên môi giới dữ liệu. “Kẻ xấu có thể tận dụng dữ liệu tổng hợp này cho một làn sóng tấn công. Như đánh cắp danh tính, lừa đảo tinh vi hoặc truy cập trái phép các tài khoản cá nhân.” Bob Dyachenko, chủ sở hữu Security Discovery, cảnh báo.

Theo Mashable, Tencent là công ty bị ảnh hưởng nặng nhất trong vụ này bởi có đến 1,5 tỷ trong tổng số 2,6 tỷ hồ sơ cá nhân thuộc các nền tảng của họ. Tiếp đến là mạng xã hội Weibo với 504 triệu hồ sơ, Myspace 360 triệu, X 281 triệu, LinkedIn 251 triệu, Zing 164 triệu hồ sơ người dùng. Trong 12 terabyte dữ liệu còn có Dropbox, Telegram… Và các thông tin liên quan đến tổ chức phi chính phủ của Mỹ, Brazil, Đức, Thổ Nhĩ Kỳ, Philippines.

Danh tính bên thu thập kho cơ sở dữ liệu chưa được tiết lộ. Theo các nhà phân tích, tin tốt là những dữ liệu này chủ yếu được tập hợp từ các sự cố cũ và có thể trùng lặp. Ví dụ, 164 triệu hồ sơ của Zing nhiều khả năng là từ vụ rò rỉ vào năm 2018. Khi đó, thông tin gồm tên truy cập, mật khẩu, email, số điện thoại… Của các tài khoản Zing ID bị phát tán trên một diễn đàn nước ngoài. Tuy nhiên, tin xấu là nó cũng có nhiều thông tin mới. Gồm cả thông tin xác thực lẫn dữ liệu nhạy cảm khác của người dùng. Không loại trừ khả năng đã có những bản sao khác về kho dữ liệu.

Người dùng cần làm gì khi có thông tin rò rỉ hồ sơ cá nhân?

Người dùng có thể dùng công cụ Have I Been Pwned hoặc tra thông tin trên Cyber News để xem dữ liệu của mình có nằm trong tập tin không. Cả hai công cụ này đều đang miễn phí.

Jake Moore, cố vấn an ninh mạng toàn cầu tại công ty bảo mật ESET, nói: “Chúng ta đừng bao giờ đánh giá thấp những gì tội phạm mạng có thể làm với lượng thông tin như vậy. Nạn nhân cần nhận thức được hệ quả của việc mất mật khẩu. Và cần cập nhật các bước bảo mật cần thiết để ứng phó”.

Một trong những việc đơn giản nhất, cần làm ngay là đổi mật khẩu, bật xác thức hai yếu tố. Cảnh giác với các email lừa đảo dù có phải nạn nhân của vụ rò rỉ dữ liệu hay không.

Trong khi đó, Josh Hickling, cố vấn tại hãng bảo mật Pentest People, cho rằng trong những ngày tới sẽ có nhiều người trở thành mục tiêu của các vụ lừa đảo qua email. Tin tặc sẽ dựa trên dữ liệu được công bố để thực hiện các vụ lừa đảo. Phổ biến nhất, chúng sẽ gieo rắc nỗi sợ rằng người dùng đã bị rò rỉ dữ liệu, nằm trong tầm ngắm của một cuộc tấn công, cần thay đổi thông tin đăng nhập ứng dụng, trang web nhưng lại dụ họ vào một trang mạo danh. Một mánh lới khác là dựa trên dữ liệu nhân chủng học để giả cảnh báo người dùng phạm pháp, cần cung cấp thông tin hoặc đóng tiền phạt.

Ở góc nhìn khác, Richard Bird, Giám đốc an ninh của Traceable AI, cho rằng một hồ sơ quy mô lớn như trên sẽ là hồi chuông cảnh báo với chính phủ và các công ty về việc cần có một luật bảo mật dữ liệu cấp quốc gia.

Trước đó, năm 2023, hãng bảo mật chuyên bảo vệ rủi ro kỹ thuật số DarkBeam cũng từng bị rò rỉ dữ liệu nghiêm trọng, với 3,8 tỷ hồ sơ email và mật khẩu của người dùng.

Nguồn: VNEXPRESS