Mật khẩu “123456” bị hacker lợi dụng trong vụ rò rỉ dữ liệu 8,8 triệu người tại Đan Mạch

Mật khẩu đơn giản như “123456” từ lâu đã nằm trong danh sách những mật khẩu phổ biến nhất thế giới, bất chấp những cảnh báo về an toàn thông tin. Đáng chú ý, đây không chỉ là vấn đề của người dùng cá nhân thiếu kiến thức công nghệ, mà còn có thể xuất hiện trong các tổ chức được cấp quyền truy cập vào hệ thống chứa dữ liệu nhạy cảm.

Theo tờ Politiken của Đan Mạch, một hacker tuyên bố đã lợi dụng tài khoản của một công ty công nghệ để truy cập hệ thống đăng ký dân sự trung ương CPR. Người này cho biết ít nhất ba tài khoản của công ty, trong đó có tài khoản quản trị viên, sử dụng chung mật khẩu “123456”.

Mật khẩu yếu mở đường cho vụ rò rỉ dữ liệu 8,8 triệu người

CPR là hệ thống đăng ký dân sự trung tâm của Đan Mạch, lưu trữ thông tin định danh của người dân. Cơ quan quản lý hệ thống xác nhận một vụ rò rỉ dữ liệu đã xảy ra trong tháng 9, làm lộ thông tin của khoảng 8,8 triệu người, bao gồm cả người còn sống và người đã qua đời.

Dữ liệu bị ảnh hưởng được cho là bao gồm họ tên, địa chỉ và số định danh cá nhân. Theo cơ quan chức năng, tin tặc đã truy cập thông qua một công ty tư nhân có quyền kết nối hợp pháp với hệ thống CPR, thay vì trực tiếp vượt qua toàn bộ lớp bảo vệ của cơ quan chính phủ.

Công ty Pays ApS sau đó xác nhận quyền truy cập được cấp cho mình đã bị lợi dụng. Doanh nghiệp này từng sử dụng kết nối với CPR để cung cấp các dịch vụ như xác minh thông tin khách hàng doanh nghiệp. Trang web của Pays ApS hiện đã bị gỡ xuống.

Theo The Register, hacker tuyên bố không có ý định bán dữ liệu bị đánh cắp hoặc công khai chúng trên mạng. Tuy nhiên, tuyên bố này chưa đủ để bảo đảm dữ liệu không bị sử dụng sai mục đích hoặc tiếp tục phát tán.

Hacker thực hiện 14 triệu lượt tìm kiếm tự động

Theo các tài liệu mà đài TV2 thu thập được, kẻ tấn công đã thực hiện khoảng 14 triệu lượt tìm kiếm tự động trên hệ thống CPR trong giai đoạn từ ngày 10 đến ngày 20/9.

Vụ việc được phát hiện sau khi một nhân viên thuộc Bộ Nghiên cứu, Giáo dục và Số hóa của Đan Mạch nhận thấy hóa đơn cho thấy Pays ApS thực hiện số lượt tìm kiếm cao bất thường. Chi tiết này cho thấy hoạt động truy cập đáng ngờ có thể đã diễn ra trên quy mô lớn trước khi được chú ý.

Dù vậy, cần phân biệt giữa lời kể của hacker, thông tin từ các tài liệu báo chí thu thập được và những nội dung đã được cơ quan chức năng xác nhận. Hiện các thông tin được công bố chưa đủ để kết luận rằng chỉ riêng mật khẩu yếu là nguyên nhân duy nhất dẫn đến toàn bộ vụ việc.

“123456” vẫn là một trong những mật khẩu nguy hiểm nhất

Mật khẩu “123456” thường xuyên đứng đầu các bảng xếp hạng mật khẩu phổ biến. Theo số liệu được bài viết dẫn lại, khoảng 7,6 triệu tài khoản đã sử dụng mật khẩu này trong năm trước, nhiều hơn gấp đôi số tài khoản dùng mật khẩu phổ biến thứ hai là “12345678”. Vị trí thứ ba thuộc về “123456789”.

Việc sử dụng những chuỗi ký tự dễ đoán khiến tài khoản dễ trở thành mục tiêu của các cuộc tấn công dò mật khẩu tự động. Rủi ro càng nghiêm trọng khi tài khoản có quyền quản trị hoặc được phép truy cập vào cơ sở dữ liệu lớn.

Đây cũng không phải trường hợp đầu tiên mật khẩu yếu xuất hiện trong một hệ thống xử lý dữ liệu nhạy cảm. Năm ngoái, các nhà nghiên cứu phát hiện họ có thể đăng nhập vào tài khoản quản trị thử nghiệm của nền tảng tuyển dụng McHire của McDonald's bằng cách sử dụng “123456” làm cả tên người dùng lẫn mật khẩu. Kết hợp với một lỗ hổng kiểm soát truy cập khác, họ có thể tiếp cận thông tin cá nhân của ứng viên. Nhà cung cấp Paradox.ai đã khắc phục sự cố sau khi được thông báo.

Những vụ việc như vậy cho thấy bảo mật không thể chỉ dựa vào việc xây dựng hệ thống phức tạp hay giới hạn quyền truy cập trên lý thuyết. Các tổ chức cần áp dụng mật khẩu mạnh, xác thực đa yếu tố, phân quyền tối thiểu và giám sát những hoạt động truy cập bất thường, đặc biệt đối với tài khoản quản trị và các tài khoản kết nối với hệ thống dữ liệu quan trọng.