Tháng 9 vừa qua, Yahoo đã bị vụ rò rỉ dữ liệu cực lớn, với 500 triệu tài khoản người dùng. Đó là tháng đầy gian khó của Yahoo. Dù vậy, con số tài khoản bị rò rỉ ấy có lẽ còn chưa chưa mấy chính xác. Hôm thứ 4 vừa qua, Yahoo cho biết tin tặc có khả năng đang nắm giữ đến một tỷ tài khoản người dùng của hãng từ tháng 8 năm 2013. Một tỷ. Đây là vụ rò rỉ dữ liệu người dùng lớn nhất từ trước đến nay, mà chưa có vụ nào đạt số tài khoản gần với con số 1 tỉ này.

Vụ việc

Điều quan trọng nhất mà chúng ta biết được đến nay là Yahoo nói "sự cố này có thể khác so với sự cố mà chúng tôi tiết lộ ngày 22 tháng 9 năm 2016." Sự cố Yahoo tiết lộ hồi tháng 9 vừa qua là về vụ việc xảy ra cuối năm 2014, còn sự cố lần này diễn ra năm trước đó, năm 2013. Yahoo đã làm việc với cơ quan chức năng và một công ty bảo mật bên thứ ba để xác minh và dò lại dấu vết, nhưng đến nay, Yahoo vẫn chưa cho biết ai là thủ phạm.

Yahoo nói rằng các dữ liệu bị rò rỉ bao gồm tên, địa chỉ email, số điện thoại, ngày sinh nhật, mật khẩu đã hash và câu hỏi/câu trả lời bảo mật được mã hóa và không được mã hóa. Nhưng Yahoo nói rằng dữ liệu rò rỉ không bao gồm mật khẩu không mã hoá, số thẻ tín dụng hoặc thông tin tài khoản ngân hàng. Cụ thể, công ty nói rằng dữ liệu tài chính được lưu trữ trong một hệ thống riêng biệt nên dữ liệu này không bị ảnh hưởng.

Một tiết lộ khác mà Yahoo công bố cũng liên quan đến vụ rò rỉ dữ liệu diễn ra trong năm 2015 và năm 2016, vụ này tin tặc sử dụng cookie chiếm dụng (là thông tin mà theo dõi người dùng lướt web) để qua mặt các lớp bảo mật và truy cập tài khoản người dùng mà không cần nhập mật khẩu. Yahoo cho rằng họ tin vụ rò rỉ dữ liệu hồi năm 2014 có thể do tin tặc được chính phủ nào đó tài trợ.

Ai bị ảnh hưởng

Có thể dữ liệu bị rò rỉ bị trùng lắp giữa hai lần bị lộ, nhưng ngay cả trong trường hợp nào đi nữa, tổng lại có khoảng 1 tỉ tài khoản Yahoo có liên quan. Và trường hợp tệ nhất là có đến 1,5 tỉ tài khoản. Mùa thu năm 2013, Yahoo đã công bố hàng tháng họ có khoảng 800 triệu người dùng tích cực, mặc dù chúng ta chưa rõ Yahoo có bao nhiêu tài khoản không tích cực (nghĩa là có tài khoản nhưng không đăng nhập thường xuyên). Cách nào đi nữa thì nếu bạn có dùng Yahoo trong năm 2013 hoặc 2014, Yahoo đều reset lại mật khẩu và câu hỏi bảo mật đối với bất kỳ tài khoản nào họ nghi ngờ bị rò rỉ. Nhưng không may là bạn không thể lấy lại được những dữ liệu cá nhân nếu lỡ bị mất tài khoản.

Nghiêm trọng đến mức nào?

Điều này thực sự rất nghiêm trọng. Bạn thử nghĩ có khoảng 3 tỉ người dùng Internet hiện nay, trong đó có đến 1 tỉ người bị ảnh hưởng, và phải mất đến vài ba năm sau Yahoo mới phát hiện ra ngần ấy tài khoản đã bị lộ. Nhìn rộng ra, có thể có nhiều vụ tấn công mạng khác với quy mô lớn trong vài năm vừa qua, nhưng các tổ chức và doanh nghiệp vẫn còn chưa đầu tư nguồn lực về bảo mật một cách nghiêm túc, hoặc họ cho rằng bảo mật là chưa cần thiết và chưa được ưu tiên trong ngân sách, hoặc họ nghĩ tin tặc sẽ không dòm ngó đến doanh nghiệp mình. Yahoo có lẽ là một trong số này.

Trong khi mật khẩu được mã hoá bằng kỹ thuật MD5, mà phương pháp này được giới bảo mật thông báo là có vài lỗ hổng, nghĩa là mật khẩu người dùng không an toàn. Yahoo nói rằng họ đang thông báo cho người dùng có tài khoản bị rò rỉ nhanh chóng thay đổi mật khẩu. Hãng cũng tránh để những câu hỏi bảo mật không được mã hoá, và khuyến khích người dùng không nên dùng những câu hỏi bảo mật cũ.

Không chỉ người dùng Yahoo bị ảnh hưởng, mà vụ rò rỉ này cũng tác động đến thương vụ Verizon dự định mua lại mảng kinh doanh trực tuyến của Yahoo. Tờ NY Post vừa báo cáo cho rằng Verizon đã yêu cầu giảm giá 1 tỉ USD trong thương vụ 4,8 tỉ USD ngay sau vụ công bố rò rỉ hồi tháng 9 vừa qua của Yahoo. Còn hiện thời, Verizon vẫn chưa có phản ứng gì với vụ công bố thứ 2 này.