Khi một nền tảng bị tấn công, kẻ tấn công không dừng lại ở đó. Chúng lấy các tên người dùng bị rò rỉ và thử chúng trên các dịch vụ khác. Nếu bạn dùng chung một tên hiệu, vụ rò rỉ đó sẽ trở thành bản đồ về toàn bộ cuộc sống số của bạn.
Cách dùng chung tên người dùng làm trầm trọng thêm vụ rò rỉ
Kẻ tấn công sử dụng kỹ thuật nhồi thông tin đăng nhập (credential stuffing): chúng lấy một cặp tên người dùng/mật khẩu từ một vụ rò rỉ và thử chúng trên các nền tảng khác. Việc dùng chung tên người dùng khiến điều này trở nên dễ dàng. Ngay cả khi mật khẩu khác nhau, riêng tên người dùng cũng có thể tiết lộ các tài khoản được liên kết, dữ liệu hồ sơ và email khôi phục.
Việc tra cứu tên người dùng tiết lộ điều gì
Một công cụ tra cứu tên người dùng sẽ quét các nguồn công khai để tìm tên hiệu của bạn. Nó cho thấy tên người dùng đó tồn tại ở đâu, nền tảng nào đang hoạt động và đôi khi là các đoạn trích hồ sơ. Điều này giúp bạn thấy được bề mặt phơi nhiễm của mình mà không cần đăng nhập vào từng trang web.
Cơ chế và bẫy của nền tảng
- Lỗi 404 mềm (Soft-404s): Một số trang web trả về trạng thái 200 OK ngay cả đối với người dùng không tồn tại, hiển thị một trang chung chung. Điều này có thể gây ra dương tính giả trong các lần tra cứu.
- Biến thể của tên hiệu: Kẻ tấn công thử các biến thể phổ biến: thêm dấu gạch dưới, số hoặc dấu chấm. Một công cụ tra cứu chỉ kiểm tra khớp chính xác sẽ bỏ sót những cái này.
- Đặc thù của nền tảng: Các nền tảng dành cho nhà phát triển như GitHub thường để lộ tên thật và email trong lịch sử commit. Các mạng lưới game như Steam có thể hiển thị biệt danh và danh sách bạn bè.
| Danh mục | Ví dụ về nền tảng | Việc dùng chung làm lộ điều gì |
|---|---|---|
| Mạng xã hội | Twitter/X, Instagram, Reddit | Tên thật, vị trí, mối quan hệ xã hội |
| Nền tảng dành cho nhà phát triển | GitHub, GitLab, Stack Overflow | Email, mã nguồn, nhà tuyển dụng |
| Mạng lưới game | Steam, Chess.com | Biệt danh, lịch sử chơi game |
| Chuyên nghiệp | LinkedIn, About.me, Gravatar | Lịch sử công việc, thông tin liên hệ |
Cách kiểm tra mức độ phơi nhiễm của bạn
TraceSeek kiểm tra một tên người dùng trên 3.000+ nền tảng trong 20-30 giây. Lần quét đầu tiên là miễn phí, không cần tài khoản. Nó bao gồm mạng xã hội, nền tảng dành cho nhà phát triển, trang web truyền thông & sáng tạo, mạng lưới game, cộng đồng chuyên nghiệp, diễn đàn và ứng dụng hẹn hò. Sử dụng nó để tìm xem tên hiệu của bạn xuất hiện ở đâu, sau đó quyết định tài khoản nào cần bảo mật hoặc xóa.
Giới hạn trung thực
Một công cụ tra cứu chỉ tìm thấy dữ liệu công khai. Nó không thể trực tiếp nhìn thấy các cơ sở dữ liệu bị rò rỉ, hồ sơ riêng tư hoặc tài khoản dưới các tên người dùng khác. Đó là điểm khởi đầu, không phải một cuộc kiểm toán đầy đủ. Để kiểm tra cụ thể các vụ rò rỉ, hãy sử dụng các dịch vụ như Have I Been Pwned cùng với các công cụ tra cứu tên người dùng.
Việc cần làm tiếp theo
- Chạy một lần tra cứu tên người dùng để lập bản đồ các tài khoản công khai của bạn.
- Sử dụng tên người dùng duy nhất cho mỗi nền tảng khi có thể.
- Bật xác thực hai yếu tố trên các tài khoản quan trọng.
- Theo dõi các lần xuất hiện mới sau các vụ rò rỉ.