Vụ rò rỉ mật khẩu lớn chưa từng thấy lộ diện: con số còn nhiều hơn cả dân số toàn cầu

Giới chuyên gia bảo mật mạng đang xôn xao về vụ rò rỉ mật khẩu được cho là lớn nhất từ trước đến nay.

Ngày 4/7, một tân binh trên diễn đàn hacker nổi tiếng đã đăng tải một tệp chứa gần 10 tỷ mật khẩu bị đánh cắp dưới dạng văn bản thuần túy. Các nhà nghiên cứu tại Cybernews là những người đầu tiên phát hiện ra bài đăng này.

"Giáng sinh đến sớm rồi," một người dùng có biệt danh "ObamaCare" hào hứng chia sẻ. "Tôi xin giới thiệu danh sách mật khẩu rockyou2024 mới với hơn 9,9 tỷ mật khẩu!"

RockYou2024 - Kho báu của giới hacker

Bộ sưu tập mật khẩu khổng lồ mang tên RockYou2024 này là công cụ vô giá cho các cuộc tấn công vét cạn.

Tấn công vét cạn là phương pháp phổ biến mà hacker sử dụng để đoán mật khẩu người dùng bằng cách thử đi thử lại. Họ thường dùng các script tự động để thử hàng loạt mật khẩu trong thời gian ngắn. Với cơ sở dữ liệu mật khẩu bị rò rỉ khổng lồ này, hacker có nguồn mật khẩu gần như vô tận để thử nghiệm.

"Về bản chất, vụ rò rỉ RockYou2024 là tổng hợp các mật khẩu thực tế được sử dụng bởi người dùng trên toàn cầu," các nhà nghiên cứu tại Cybernews nhận định. "Việc tiết lộ số lượng mật khẩu lớn như vậy cho các đối tượng xấu làm tăng đáng kể nguy cơ tấn công nhồi thông tin đăng nhập."

Theo các chuyên gia Cybernews, danh sách này có thể là vụ rò rỉ mật khẩu lớn nhất từ trước đến nay, vượt qua kỷ lục trước đó là RockYou2021 với khoảng 8,4 tỷ mật khẩu.

Thực tế, người dùng "ObamaCare" tuyên bố đã sử dụng danh sách cũ và cập nhật nó với dữ liệu rò rỉ mới trong 3 năm qua. Kết quả là thêm 1,5 tỷ mật khẩu mới đã được bổ sung vào bộ sưu tập trước đó để tạo ra RockYou2024.

"Tôi đã cập nhật rockyou21 với dữ liệu mới thu thập từ các cơ sở dữ liệu bị rò rỉ gần đây trên nhiều diễn đàn trong năm nay và năm ngoái," hacker này chia sẻ, đồng thời cho biết họ cũng đã thêm vào các mật khẩu bị xâm phạm gần đây mà chính họ thu thập được.

Danh sách mật khẩu bị rò rỉ RockYou2024 mới xuất hiện, nên tại thời điểm viết bài này, chưa rõ liệu có dữ liệu cá nhân nào bị xâm phạm trực tiếp do sự cố này hay không.

Bất kỳ ai đã đăng ký bất kỳ dịch vụ trực tuyến nào đều nên giả định rằng mật khẩu của họ đang nằm trong danh sách này. Các chuyên gia bảo mật khuyến nghị người dùng nên cập nhật mật khẩu và kích hoạt xác thực đa yếu tố ở mọi nơi có thể.