Hơn 184 triệu tài khoản bị rò rỉ thông tin đăng nhập, dữ liệu của bạn có chắc được an toàn ?

[Linh Pham]

Một kho dữ liệu khổng lồ chứa thông tin đăng nhập của hàng trăm triệu tài khoản Apple, Google, Meta và thậm chí cả các cơ quan chính phủ vừa bị phát hiện rò rỉ trên mạng.

Phát hiện đáng báo động về kho dữ liệu khổng lồ​

Vào đầu tháng 5 năm 2025, chuyên gia bảo mật Jeremiah Fowler đã phát hiện một cơ sở dữ liệu Elastic không được bảo vệ, chứa hơn 184 triệu bản ghi với dung lượng khoảng 47 GB. Kho dữ liệu này lưu trữ thông tin đăng nhập của người dùng trên các nền tảng trực tuyến phổ biến như Apple, Facebook, Google, Instagram, và thậm chí cả các tài khoản liên quan đến chính phủ nhiều quốc gia. Phát hiện này đã gióng lên hồi chuông cảnh báo về sự mong manh của quyền riêng tư cá nhân trong thời đại số, đồng thời đặt ra câu hỏi về những rủi ro khi tập trung một lượng lớn thông tin nhạy cảm vào một kho lưu trữ duy nhất.

Điều khiến chuyên gia Fowler đặc biệt lo ngại là cơ sở dữ liệu này không cung cấp bất kỳ manh mối nào về chủ sở hữu. Thông thường, các cơ sở dữ liệu bị lộ có thể được truy vết thông qua nội dung như thông tin công ty, khách hàng hoặc nhân viên. Tuy nhiên, kho dữ liệu này lại hoàn toàn “bí ẩn”, làm dấy lên nghi ngờ rằng nó có thể là sản phẩm của một vụ thu thập bất hợp pháp nhằm mục đích trục lợi. “Đây là một trong những phát hiện kỳ lạ và đáng lo ngại nhất trong sự nghiệp của tôi,” Fowler chia sẻ với báo giới.

Thông tin đăng nhập: “Tấm vé vàng” trong tay tin tặc​

Cơ sở dữ liệu bị lộ chứa các bản ghi chi tiết bao gồm loại tài khoản, URL của trang web hoặc dịch vụ, tên đăng nhập và mật khẩu. Đáng chú ý, tất cả thông tin này được lưu trữ ở dạng văn bản thuần túy, không hề được mã hóa, tạo điều kiện lý tưởng cho tin tặc khai thác. Khi phân tích một mẫu 10.000 bản ghi, Fowler phát hiện hàng trăm tài khoản từ các nền tảng phổ biến như Facebook (479 tài khoản), Google (475 tài khoản), Instagram (240 tài khoản), Roblox (227 tài khoản), Discord (209 tài khoản), cùng hơn 100 tài khoản liên quan đến Microsoft, Netflix và PayPal. Các nền tảng khác như Amazon, Apple, Nintendo, Snapchat, Spotify, Twitter, WordPress và Yahoo cũng xuất hiện trong mẫu dữ liệu.

Ảnh chụp màn hình từ cơ sở dữ liệu hiển thị danh sách các tài khoản có khả năng bị xâm phạm với tên miền ".gov" từ Australia, Iran, Ấn Độ, Romania và Brazil (Nguồn: Jeremiah Fowler)​

Đặc biệt, trong mẫu này, có tới 220 địa chỉ email sử dụng tên miền “.gov”, liên quan đến ít nhất 29 quốc gia, bao gồm Mỹ, Australia, Canada, Trung Quốc, Ấn Độ, Israel, New Zealand và Anh. Tìm kiếm từ khóa cho thấy 187 kết quả liên quan đến “ngân hàng” và 57 kết quả liên quan đến “ví”. Sự hiện diện của các tài khoản chính phủ trong kho dữ liệu này làm dấy lên lo ngại về nguy cơ an ninh quốc gia, bởi những thông tin này, nếu rơi vào tay kẻ xấu, có thể dẫn đến hậu quả nghiêm trọng.

Nguồn gốc dữ liệu: Sản phẩm của tội phạm mạng?​

Chuyên gia Fowler nghi ngờ rằng kho dữ liệu này là kết quả của phần mềm gián điệp (stealer malware), một công cụ mà tin tặc thường sử dụng để đánh cắp thông tin đăng nhập từ trình duyệt, cookie hoặc thiết bị của người dùng. “Tôi không thể nghĩ ra bất kỳ cách hợp pháp nào để thu thập một khối lượng dữ liệu khổng lồ và đa dạng như vậy,” ông nhấn mạnh. Quy mô và tính chất của kho dữ liệu cho thấy nó có thể là “kho báu” được tin tặc tổng hợp để phục vụ các hoạt động bất hợp pháp như lừa đảo, chiếm đoạt tài khoản hoặc tấn công mạng quy mô lớn.

Ngay sau khi phát hiện, Fowler đã thông báo cho World Host Group, nhà cung cấp dịch vụ lưu trữ sở hữu máy chủ chứa cơ sở dữ liệu này. Chỉ vài giờ sau, quyền truy cập vào kho dữ liệu đã bị chặn. Trao đổi với tạp chí WIRED, CEO Seb de Lemos của World Host Group cho biết máy chủ này thuộc dạng “không được quản lý”, do khách hàng toàn quyền kiểm soát. Ông tiết lộ rằng có thể một người dùng gian lận đã đăng ký và tải lên nội dung bất hợp pháp. Hiện tại, đội ngũ pháp lý của công ty đang phối hợp với cơ quan chức năng để điều tra vụ việc.

Hậu quả và những bài học bảo mật​

Mặc dù quyền truy cập vào cơ sở dữ liệu đã bị chặn, nhưng vẫn chưa thể xác định liệu có cá nhân hay tổ chức nào khác đã tiếp cận và sao chép dữ liệu trước khi nó được bảo vệ. Vụ rò rỉ này không phải là trường hợp đầu tiên, nhưng quy mô và mức độ nhạy cảm của nó vượt xa nhiều sự cố trước đây, đặc biệt khi liên quan đến các tài khoản chính phủ. Sự cố này một lần nữa nhấn mạnh rủi ro của việc tập trung dữ liệu nhạy cảm vào một hệ thống duy nhất mà không có biện pháp bảo mật đủ mạnh.

Trong bối cảnh người dùng ngày càng phụ thuộc vào các dịch vụ trực tuyến, từ mạng xã hội đến ngân hàng số, các chuyên gia bảo mật cảnh báo rằng chỉ một sai sót nhỏ trong cấu hình hệ thống cũng có thể dẫn đến thảm họa. Jeremiah Fowler nhấn mạnh rằng việc lưu trữ thông tin ở dạng không mã hóa là một lỗ hổng nghiêm trọng, khiến dữ liệu trở thành “tấm vé vàng” cho tin tặc. Hơn nữa, sự hiện diện của các tài khoản “.gov” trong kho dữ liệu đặt ra câu hỏi về an ninh quốc gia, khi những tài khoản này có thể bị khai thác để truy cập vào các hệ thống nhạy cảm.

Lời kêu gọi hành động để bảo vệ quyền riêng tư​

Để giảm thiểu nguy cơ lộ lọt dữ liệu, các chuyên gia khuyến nghị người dùng áp dụng các biện pháp bảo mật cơ bản nhưng hiệu quả. Sử dụng xác thực hai yếu tố (2FA) là bước quan trọng để bảo vệ tài khoản, ngay cả khi thông tin đăng nhập bị đánh cắp. Người dùng cũng nên đổi mật khẩu định kỳ, tránh sử dụng cùng một mật khẩu cho nhiều dịch vụ, và hạn chế lưu trữ thông tin đăng nhập trên trình duyệt. Đối với các tổ chức và doanh nghiệp, việc kiểm tra thường xuyên các máy chủ, mã hóa dữ liệu và triển khai các giao thức bảo mật nghiêm ngặt là điều bắt buộc.

Về phía cơ quan chức năng, vụ rò rỉ này đòi hỏi một cuộc điều tra kỹ lưỡng để xác định nguồn gốc dữ liệu và ngăn chặn hậu quả lâu dài. Các tổ chức quốc tế cũng cần phối hợp để truy vết các hoạt động tội phạm mạng liên quan đến phần mềm gián điệp, vốn đang ngày càng tinh vi. Sự cố Builder.ai và vụ rò rỉ dữ liệu này là lời nhắc nhở rằng, trong kỷ nguyên số, quyền riêng tư không chỉ là một đặc quyền mà còn là một cuộc chiến không ngừng nghỉ để bảo vệ thông tin cá nhân và an ninh tập thể.