Vì sao người dùng Internet cần cẩn thận với ‘tấn công từ điển’?

Dictionary Attack – Tấn công từ điển là gì?

Mật khẩu vốn được coi là “chìa khóa” để bảo vệ dữ liệu cá nhân trên không gian mạng. Thế nhưng, với sự trợ giúp của các công cụ tự động, hacker có thể bẻ khóa mật khẩu nhanh hơn bạn tưởng.

Một trong những kỹ thuật phổ biến nhất được gọi là Dictionary Attack – hay “tấn công từ điển”. Nghe qua tưởng như vô hại, nhưng thực chất đây là phương thức tấn công mạng tinh vi, khiến hàng triệu tài khoản có nguy cơ bị chiếm đoạt.

Theo Kaspersky, Dictionary Attack là hình thức kẻ tấn công dùng danh sách sẵn có gồm hàng nghìn, thậm chí hàng triệu mật khẩu phổ biến hoặc được rò rỉ từ trước, rồi thử lần lượt để tìm ra mật khẩu đúng.

Khác với brute force attack (tấn công vét cạn), nơi hacker thử mọi khả năng có thể từ 0000 đến zzzz, tấn công từ điển tiết kiệm thời gian hơn vì tập trung vào các mật khẩu “hay dùng” như “123456”, “password”, “qwerty” hay ngày sinh. Điều này đồng nghĩa với việc, nếu bạn đặt mật khẩu quá đơn giản, cơ hội để hacker đoán trúng gần như chắc chắn.

Vì sao Dictionary Attack nguy hiểm?

Điều đáng sợ là Dictionary Attack không hề đòi hỏi hacker phải có kỹ năng siêu phàm. Theo Norton, trên không gian mạng tồn tại sẵn rất nhiều bộ “từ điển mật khẩu” khổng lồ được tổng hợp từ các vụ rò rỉ dữ liệu toàn cầu.

Chỉ cần vài cú click, bất kỳ kẻ xấu nào cũng có thể tải về và sử dụng công cụ tự động để thử nghiệm hàng loạt mật khẩu trong thời gian ngắn. Với các mật khẩu yếu, hacker có thể mở khóa tài khoản chỉ trong vài giây.

Không chỉ dừng ở việc đánh cắp tài khoản mạng xã hội hay email, Dictionary Attack còn là bước đệm cho các tấn công nghiêm trọng hơn. McAfee cảnh báo rằng khi đã chiếm quyền truy cập, hacker có thể lợi dụng tài khoản để lừa đảo người thân, đánh cắp thông tin tài chính, hoặc phát tán phần mềm độc hại.

Đáng nói, trong trường hợp nạn nhân dùng cùng một mật khẩu cho nhiều dịch vụ, rủi ro sẽ càng nhân lên gấp bội. Theo đó, hacker có thể kết hợp Dictionary Attack với credential stuffing – kỹ thuật dùng mật khẩu bị rò rỉ từ một trang web để thử đăng nhập vào các dịch vụ khác.

Với thói quen tái sử dụng mật khẩu, hàng loạt tài khoản khác nhau của người dùng có thể bị rơi vào tay kẻ xấu chỉ sau một vụ lộ dữ liệu.

Làm thế nào để tránh trở thành nạn nhân?

Các chuyên gia bảo mật đều đồng ý rằng mật khẩu mạnh là lớp phòng vệ đầu tiên chống lại Dictionary Attack. Theo Trend Micro, người dùng nên tạo mật khẩu dài, bao gồm cả chữ hoa, chữ thường, số và ký tự đặc biệt, tránh dùng từ phổ biến có trong từ điển. Ngoài ra, mỗi dịch vụ trực tuyến cần có một mật khẩu riêng biệt, thay vì dùng chung cho nhiều tài khoản.

Công ty phần mềm Bitdefender khuyến nghị người dùng nên tận dụng trình quản lý mật khẩu (password manager) để tạo và lưu mật khẩu ngẫu nhiên, vừa mạnh vừa khó đoán. Thêm vào đó, việc bật xác thực đa yếu tố (MFA) sẽ giúp tăng thêm lớp bảo mật: ngay cả khi mật khẩu bị đoán trúng, hacker vẫn cần mã xác nhận từ điện thoại hoặc ứng dụng để đăng nhập.