Nhà mạng Mỹ tự tin tuyên bố bảo mật cực tốt, không thể bị hack, 2 ngày sau bị hack mất 2 triệu tài khoản khách hàng

Đây là loạt thư và trả lời thư khách hàng thân thiết mà T-Mobile đã thực hiện trên Twitter:

"Cảm ơn vì đã trả lời Andrea ạ! Lưu trữ mật khẩu dưới dạng text trong cơ sở dữ liệu quả là cách thực hiện kém hay. Làm sao để đội ngũ phát triển sửa được cái đó nhỉ?".

"Chào chị @c_pellegrino, thực sự tôi không hiểu làm vậy thì có vấn đề gì. Khách hàng có rất nhiều mật khẩu trên rất nhiều ứng dụng, cho rất nhiều tài khoản e-mail và còn nhiều hơn nữa. Chúng tôi bảo mật dữ liệu rất cẩn thận, vì vậy không cần lo lắng đâu.

^Käthe".

"Ơ thế nếu cơ sở hạ tầng của chị bị hacker đục thủng rồi mật khẩu mọi khách hàng bị tung ra ngoài dưới dạng text đơn thuần thì sao?".

"@Korni22 Ơ thế nếu bảo mật của chúng tôi tốt tới mức tuyệt vời thì sao?

^Käthe".

Vào ngày 24 tháng Tám, T-Mobile công bố mình vừa bị hack, hơn 2 triệu thông tin cá nhân khách hàng đã rơi vào tay hacker. Trong tuyên bố hôm thứ Năm, họ nói rằng "một vài" thông tin khách hàng như tên, địa chỉ email, số tài khoản và một vài thông tin thanh toán khác đã bị đánh cắp. Tin tốt: hacker không có được số thẻ tín dụng, số an sinh xã hội. Một trong những phát ngôn viên của T-Mobile nói với phóng viên Motherboard rằng vụ hack này ảnh hưởng tới "khoảng" hoặc "ít hơn" 3% trong tổng số 77 triệu khách hàng đang sử dụng dịch vụ của họ.

T-Mobile cũng nói thêm rằng "hacker không lấy được mật khẩu nào". Dường như họ chỉ nói thế cho người dùng yên tâm, bởi lẽ sau khi Motherboard đăng tải thông tin về vụ hack, phát ngôn viên của T-Mobile liên lạc lại, nói rằng trong số dữ liệu bị đánh cắp có "mật khẩu đã được mã hóa". Phóng viên Motherboard hỏi lại tại sao không nói vậy ngay từ đầu, thì T-Mobile bảo rằng "có chút tổn hại về mật khẩu nào đâu, vì chúng đã được mã hóa hết rồi".

Họ chỉ nói vậy, từ chối đưa ra thông tin thêm về cách thức mã hóa và những thuật toán được sử dụng. Có thể hiểu từ chối đưa ra những thông tin trên là để đảm bảo an ninh, nhưng có vẻ đây lại là một hành động trấn an dư luận khác. Lý do như sau:

Nhà nghiên cứu bảo mật Nicholas Ceraolo đã có được chút dữ liệu đã bị hack (từ một mối làm ăn quen biết). Hai nhà nghiên cứu bảo mật khác xem xét nó, kết luận lại rằng đây là thuật toán mã hóa nổi tiếng yếu đuối có tên mà MD5, có thể bị hack bằng phương thức brute force – thử loại liên tục cho tới khi tìm ra.

Jeremi M. Gosney, một chuyên gia mật khẩu nổi tiếng và CEO của công ty phá mật khẩu Terahash nói rằng tuy đoạn mã không rõ ràng lắm, nhưng từ nó có thể lần ngược dấu về cơ sở dữ liệu lớn hơn. Khách hàng T-Mobile nên cẩn trọng, hãy cho rằng mật khẩu của mình đã có thể rơi vào tay kẻ xấu, vì thế hãy lập tức thay mật khẩu đi. Gosney đưa ra lời khuyên trong một đoạn chat với Motherboard.

CEO của T-Mobile cũng có đôi lời về việc này trên Twitter, rằng: "hãy luôn cẩn thận bằng cách thay đổi mật khẩu của mình thường xuyên". Sau vụ việc hack dữ liệu, khách hàng T-Mobile chắc chắn sẽ dè chừng hơn trong tương lai và bản thân nhà mạng cũng đã học được những bài học đau đớn, và phải tự xem xét lại mình.