Vì sao một mật khẩu yếu có thể làm mất cả "gia tài" online?
Người làm online sống nhờ tài khoản: email, fanpage, tài khoản sàn, ví điện tử, các công cụ AI trả phí. Kẻ xấu hiếm khi "hack" kiểu phim ảnh. Cách phổ biến nhất là lấy mật khẩu bị lộ từ một trang web nào đó rồi thử lại trên hàng loạt trang khác (gọi là credential stuffing). Nếu bạn dùng chung một mật khẩu cho nhiều nơi, chỉ cần một trang nhỏ bị lộ dữ liệu là email, fanpage và tài khoản thanh toán của bạn cùng gặp nguy.
Tin tốt: chỉ với hai thói quen là mật khẩu dài, riêng cho từng nơi và trình quản lý mật khẩu, bạn đã chặn được phần lớn rủi ro này.
Bước 1: Hiểu đúng thế nào là mật khẩu mạnh
Hướng dẫn hiện đại của các tổ chức bảo mật uy tín (như NIST của Mỹ) thống nhất vài nguyên tắc:
- Độ dài quan trọng hơn ký tự lạ. Một cụm 4–5 từ ngẫu nhiên nối với nhau dễ nhớ hơn và khó đoán hơn nhiều so với chuỗi ngắn kiểu "P@ssw0rd!".
- Mỗi trang một mật khẩu riêng. Đây là nguyên tắc quan trọng nhất.
- Không dùng thông tin cá nhân: ngày sinh, số điện thoại, tên con, tên shop.
- Không cần đổi định kỳ vô cớ. Chỉ đổi ngay khi có dấu hiệu bị lộ hoặc trang đó thông báo sự cố.
Ví dụ một cụm mật khẩu: tu-lanh-ca-voi-but-chi-mua-dong, gồm 4 từ không liên quan nhau, nối bằng dấu gạch. Đừng dùng lại chính ví dụ này hay bất kỳ ví dụ nào trên mạng; hãy để trình quản lý mật khẩu tạo ngẫu nhiên giúp bạn.
Lưu ý: Đừng nhờ chatbot AI "nghĩ hộ" mật khẩu và không dán mật khẩu vào bất kỳ cuộc trò chuyện AI nào. Mật khẩu tốt phải được tạo ngẫu nhiên và chỉ mình bạn biết.
Bước 2: Chọn một trình quản lý mật khẩu
Không ai nhớ nổi hàng chục mật khẩu dài khác nhau, đó là việc của trình quản lý mật khẩu. Nó tạo mật khẩu ngẫu nhiên, lưu ở dạng mã hóa, tự điền khi đăng nhập và đồng bộ giữa điện thoại với máy tính. Một số lựa chọn phổ biến:
- Có sẵn trong hệ sinh thái: Trình quản lý mật khẩu của Google (trong Chrome và Android), ứng dụng Mật khẩu / iCloud Keychain của Apple. Miễn phí, dễ bắt đầu.
- Ứng dụng độc lập: Bitwarden (có bản miễn phí, mã nguồn mở), 1Password, Proton Pass. Phù hợp khi bạn dùng lẫn lộn Windows, Mac, Android và iPhone.
Chọn một cái và dùng nhất quán. Cái tên không quan trọng bằng việc bạn thực sự dùng nó mỗi ngày.
Bước 3: Thiết lập đúng cách trong 15 phút
- Tạo mật khẩu chính (master password) thật dài theo kiểu cụm từ ở Bước 1. Đây là mật khẩu duy nhất bạn cần nhớ và không được dùng ở bất kỳ đâu khác.
- Bật xác thực 2 bước cho chính tài khoản trình quản lý mật khẩu (xem bài 2).
- Cất bộ khôi phục khẩn cấp (mã khôi phục hoặc bộ khẩn cấp, tùy ứng dụng) trên giấy, ở nơi an toàn trong nhà.
- Cài tiện ích trình duyệt và ứng dụng điện thoại, bật tự điền.
Bước 4: Dọn dẹp mật khẩu cũ theo thứ tự ưu tiên
Đừng cố đổi tất cả trong một tối. Làm lần lượt:
- Email chính: ai chiếm được email là có thể đặt lại mật khẩu mọi tài khoản khác.
- Tài khoản tiền: ví điện tử, tài khoản sàn, cổng thanh toán.
- Tài khoản làm việc: fanpage, tài khoản quảng cáo, công cụ AI chính chủ.
- Còn lại: đổi dần khi bạn đăng nhập lần tới.
Trình quản lý mật khẩu của Google và Apple có mục kiểm tra mật khẩu yếu, bị trùng hoặc đã bị lộ; trang Have I Been Pwned cũng cho bạn kiểm tra email của mình từng nằm trong vụ lộ dữ liệu nào. Hãy đổi những mật khẩu bị đánh dấu trước.
Mẹo: Với tài khoản dùng chung mua tại Trạm, không tự đổi mật khẩu, email hay 2FA, vì việc đó làm người dùng khác mất quyền truy cập và bạn mất quyền bảo hành. Chỉ cần lưu thông tin đăng nhập thành một mục riêng trong trình quản lý, ghi chú kèm mã đơn để tiện tra cứu và bảo hành khi cần.
Bài tập thực hành
- Cài một trình quản lý mật khẩu trên điện thoại và máy tính, tạo mật khẩu chính dạng cụm từ.
- Chạy tính năng kiểm tra mật khẩu và ghi lại số mật khẩu yếu hoặc bị trùng.
- Đổi mật khẩu email chính sang một mật khẩu ngẫu nhiên do trình quản lý tạo.
- Kiểm tra email của bạn trên Have I Been Pwned và ghi lại những trang cần đổi mật khẩu.