Câu trả lời ngắn: sở hữu một manh mối công khai không phải bằng chứng xâm nhập riêng tư
Nếu một người quen qua hẹn hò — hoặc một tài khoản tự nhận là họ — gửi cho bạn bức ảnh công khai thông thường, tên người dùng hoặc liên kết hồ sơ của chính bạn và nói rằng điều này chứng minh họ có thiết bị, tin nhắn hay lịch sử duyệt web của bạn, điều đầu tiên cần tách bạch là những gì bạn thực sự thấy và những gì họ tuyên bố.
Một mục công khai và một cáo buộc xâm nhập riêng tư là hai đối tượng bằng chứng khác nhau. Bức ảnh hay tên tài khoản có thể chỉ đơn giản được tìm thấy công khai. Điều đó không xác lập cáo buộc xâm nhập. Nhưng nó cũng không chứng nhận thiết bị của bạn sạch sẽ hay loại trừ một vấn đề bảo mật khác. Lập trường trung thực là: sự xuất hiện công khai đã được giải thích; cáo buộc xâm nhập riêng tư chưa được chứng minh và vẫn chưa xác định.
Đây không phải tình huống giống như việc phát tán ảnh riêng tư đã được xác nhận, báo cáo với nền tảng, mua dịch vụ cứu hộ trả phí hay chẩn đoán mật khẩu bị xâm phạm. Mỗi trường hợp có lối xử lý riêng. Đừng tuyên bố toàn bộ lời đe dọa là giả — chỉ cần giữ các cáo buộc tách biệt.
NCSC của Vương quốc Anh mô tả một mô thức đe dọa lừa đảo tuyên bố biết về video quay webcam hoặc các trang web đã truy cập. Nguồn
Mô thức được ghi nhận đó là một mô thức đe dọa lừa đảo, không phải chẩn đoán thiết bị cụ thể của bạn. Đó cũng không phải lý do để gửi cho người gửi thêm một bức ảnh, mật khẩu hay bất kỳ thứ gì khác như một “bài kiểm tra xác minh”. Cũng đừng yêu cầu họ cung cấp thêm bằng chứng; mục tiêu là ngừng tiếp tay cho cuộc trao đổi.
Bước đầu tiên: dừng trao đổi, bảo vệ quyền truy cập, tìm hỗ trợ
Trước khi tìm kiếm, trả tiền hay nhận diện bất cứ điều gì, hãy thực hiện bước an toàn tối thiểu.
Đối với đe dọa phát tán ảnh riêng tư, FTC khuyên bỏ qua/chặn và ngừng liên lạc với kẻ tống tiền, không trả tiền hoặc cung cấp quyền truy cập thiết bị/tài khoản tài chính, và nói với một người tin cậy. Nguồn
Trên thực tế, điều đó có nghĩa là:
- Ngừng trả lời. Chặn tài khoản trên nền tảng hẹn hò và, nếu có liên quan, trên kênh nhắn tin đã dùng.
- Không trả bất kỳ khoản tiền nào, và không cho người gửi quyền truy cập thiết bị, tài khoản, chia sẻ màn hình, công cụ điều khiển từ xa hay tài khoản tài chính của bạn.
- Kể cho một người tin cậy biết chuyện gì đã xảy ra, để bạn không phải xử lý một mình.
- Giữ lại các tin nhắn và mục công khai được gửi cho bạn ở một nơi riêng tư do bạn kiểm soát, phòng khi sau này cần cho báo cáo chính thức. Không chuyển tiếp ảnh riêng tư cho bất kỳ ai.
Một ghi chú riêng ngắn gọn lúc này là đủ. Nó tách những gì được cho thấy khỏi những gì được tuyên bố:
| Những gì bạn quan sát | Điều đó xác lập và không xác lập gì |
|---|---|
| Một bức ảnh công khai, tên người dùng hoặc liên kết hồ sơ mà bạn đã biết là của mình | Nó có thể được tìm thấy công khai. Nó không cho thấy người gửi lấy được nó bằng cách nào hay đã truy cập bất cứ thứ gì riêng tư. |
| Một mật khẩu mà người gửi trích dẫn | Đó có thể là thông tin đăng nhập cũ từ một vụ rò rỉ dữ liệu. Nó không chứng minh xâm nhập thiết bị. |
| Một tuyên bố về quyền truy cập tin nhắn, lịch sử duyệt web hoặc thiết bị của bạn | Chưa được chứng minh. Hãy ghi lại như một cáo buộc, không phải phát hiện. |
| Một cảnh báo bảo mật tài khoản thật từ một nền tảng | Một sự kiện bảo mật riêng biệt. Xử lý qua kênh chính thức của nền tảng đó. |
| Tài liệu riêng tư thực sự đang bị đe dọa hoặc bị chia sẻ | Một tình huống khác, cần chuyên gia. Không dùng công cụ tìm kiếm phổ thông để tải lên. |
| Một lời đe dọa bạn không đọc được hoặc không đánh giá được | Giữ nó ở trạng thái chưa xác định và tìm hỗ trợ thay vì đoán. |
NCSC cho biết một mật khẩu xuất hiện trong mô thức đó có thể đến từ một vụ rò rỉ dữ liệu cá nhân cũ và khuyên đổi mật khẩu đó cùng mọi mật khẩu được dùng lại. Nguồn
Nếu một mật khẩu bị trích dẫn, hãy đổi nó qua phần cài đặt chính thức của chính dịch vụ đó và đổi luôn mọi mật khẩu được dùng lại ở đó. Không dán mật khẩu bị trích dẫn vào ô tìm kiếm, cửa sổ chat hay trang của bên thứ ba để “thử”.
Phân nhánh theo những gì bạn thực sự có
Ảnh hoặc tên tài khoản công khai thông thường mà bạn đã biết
Nếu người gửi cho thấy thứ bạn đã biết là công khai — ảnh hồ sơ, tên tài khoản, liên kết đến hồ sơ công khai — lời giải thích khả dĩ nhất là sự xuất hiện công khai. Đó là tất cả những gì nó chứng minh. Nó không xác lập cách người gửi có được nó, và không chứng minh họ có quyền truy cập riêng tư.
Bạn có thể mở trực tiếp URL công khai chính xác để xem những gì hiển thị. Bạn không cần bất kỳ công cụ nào cho việc đó.
Thông tin đăng nhập bị lộ hoặc cảnh báo tài khoản thật
Nếu một mật khẩu bị trích dẫn, hoặc một nền tảng gửi cho bạn cảnh báo bảo mật thật, hãy coi đó là một sự kiện bảo mật riêng. Dùng kênh bảo mật tài khoản chính thức của nền tảng: đổi mật khẩu tại đó, xem lại các phiên đang hoạt động nếu nền tảng có cung cấp, và bật các biện pháp bảo vệ mà nền tảng cung cấp. Không yêu cầu người gửi xác nhận bất cứ điều gì, và không gửi cho họ mật khẩu mới hay ảnh mới để thử.
Tài liệu riêng tư thực sự
Nếu ảnh riêng tư thực sự đang bị đe dọa hoặc bị phát tán, đó là tình huống cần chuyên gia, không phải một tác vụ tìm kiếm phổ thông. Không tải tài liệu riêng tư lên công cụ tìm kiếm phổ thông. Xem hướng dẫn riêng về hỗ trợ chuyên gia cho các mối đe dọa phát tán ảnh riêng tư để biết câu hỏi về điều kiện đủ, và tuân theo các kênh báo cáo chính thức của quốc gia bạn.
Người bán dịch vụ “cứu hộ” trả phí
Nếu ai đó đề nghị gỡ tài liệu hoặc khắc phục vấn đề với một khoản phí, đó là một quyết định khác. Hãy kiểm tra những gì người bán thực sự hứa trước khi trả tiền, dùng hướng dẫn về kiểm tra lời hứa của dịch vụ hỗ trợ sextortion trước khi trả tiền. Trả tiền cho kẻ tống tiền không giống như mua một dịch vụ, và hướng dẫn của FTC ở trên áp dụng cho kẻ tống tiền.
Lời đe dọa không đọc được hoặc không đánh giá được
Nếu tin nhắn bị lộn xộn, bằng ngôn ngữ bạn không đọc được, hoặc không rõ ràng theo cách khác, hãy giữ nó ở trạng thái chưa xác định. Tìm hỗ trợ từ một người tin cậy hoặc một dịch vụ chính thức. Đừng lấp khoảng trống bằng cách đoán hoặc tìm kiếm người gửi.
Vì sao chi tiết công khai dễ bị tái sử dụng
Tài liệu hồ sơ công khai được thiết kế để mọi người nhìn thấy. Đó là lý do nó có thể quay lại với bạn trong một lời đe dọa mà không cần bất kỳ quyền truy cập riêng tư nào.
FBI cảnh báo rằng các chi tiết được công khai trên mạng xã hội và trang hẹn hò có thể bị dùng để hiểu và nhắm mục tiêu vào người khác. Nguồn
Đó là lý do để xem lại những gì bạn chia sẻ công khai, không phải lý do để kết luận người gửi đã hack bạn. Một sự xuất hiện công khai cũng không xác lập cách người gửi lời đe dọa có được tài liệu.
Nếu sau này bạn muốn xem lại dấu vết công khai của chính mình
Các bước an toàn ở trên không đòi hỏi phải tìm kiếm. Việc xem lại công khai là tùy chọn và đến sau, nếu có.
Nếu bạn chọn xem lại, hãy giới hạn ở những manh mối bạn đã biết là của mình: tên người dùng công khai chính xác bạn dùng, hoặc một manh mối ảnh hay văn bản công khai riêng biệt, không nhạy cảm mà bạn có quyền xem lại. Không tải lên tệp riêng tư, tin nhắn riêng tư, ảnh riêng tư, thông tin liên hệ của người khác hay khuôn mặt của người lạ.
TraceSeek, ứng dụng được TruthsSeek đề cập, có thể hiển thị các ứng viên tên người dùng công khai và các manh mối nguồn ảnh hoặc văn bản được ủy quyền. Ứng dụng không thể kiểm tra mật khẩu, kiểm tra thiết bị, xác nhận rò rỉ, nhận diện ai đã gửi lời đe dọa, ngăn chặn lời đe dọa, gỡ phương tiện hay thay thế báo cáo chính thức. Trang web không chạy tìm kiếm hay nhận tải lên; ứng dụng mới làm việc đó.
Đối với một lần quét tên người dùng tiêu chuẩn, các tuyên bố sản phẩm được ghi nhận là: bao phủ 3.000+ nền tảng, thời gian quét 20–30 giây, lần quét đầu miễn phí và không cần đăng nhập. Những tuyên bố này chỉ áp dụng cho lần quét tên người dùng tiêu chuẩn. Chúng không được mở rộng cho các tính năng ảnh-văn bản hay truy xuất sâu.
Khi xem lại kết quả:
- Giữ riêng từng URL ứng viên. Một kết quả trùng tên tài khoản có thể thuộc về người khác.
- Một sự xuất hiện công khai không xác lập cách người gửi có được tài liệu, và một kết quả trùng tên tài khoản không phải bằng chứng về quyền sở hữu.
- Nếu bạn đã biết URL công khai chính xác, hãy mở trực tiếp. Bạn không cần ứng dụng cho việc đó.
Bạn có thể đọc thêm về ứng dụng và các đầu vào được ghi nhận trên trang ứng dụng TraceSeek.
Những điều không nên làm
- Không yêu cầu người gửi cung cấp thêm bằng chứng, và không gửi thêm ảnh hay mật khẩu như một bài kiểm tra xác minh.
- Không dùng cơ sở dữ liệu rò rỉ, tải tài liệu riêng tư lên công cụ tìm kiếm phổ thông, hay cố nhận diện khuôn mặt người lạ.
- Không cố nhận diện người gửi, tiến hành điều tra hình sự hay suy đoán hoạt động riêng tư từ một kết quả trùng hồ sơ.
- Không coi một hồ sơ đã bị chỉnh sửa hoặc trống là bằng chứng dữ liệu đã bị xóa.
- Không kỳ vọng bất kỳ công cụ nào đảm bảo gỡ phương tiện hay chứng nhận thiết bị của bạn sạch sẽ.
Thứ tự thực hiện thực tế
- Ngừng trả lời, chặn tài khoản và kể cho một người tin cậy.
- Không trả tiền, và không cấp quyền truy cập thiết bị hay tài khoản tài chính.
- Viết một ghi chú riêng ngắn tách mục công khai được cho thấy khỏi cáo buộc xâm nhập riêng tư.
- Nếu một mật khẩu bị trích dẫn, hãy đổi nó và mọi mật khẩu được dùng lại qua dịch vụ chính thức.
- Nếu xuất hiện cảnh báo tài khoản thật, hãy theo kênh bảo mật chính thức của nền tảng đó.
- Nếu thực sự có tài liệu riêng tư liên quan, hãy dùng hướng dẫn chuyên gia và báo cáo chính thức, không dùng tìm kiếm phổ thông.
- Chỉ sau đó, và chỉ khi hữu ích, hãy xem lại các manh mối công khai thông thường của chính bạn bằng ứng dụng, giữ riêng từng kết quả.
Lời đe dọa không được chứng minh bởi một bức ảnh công khai. Cách phản ứng đúng là dừng trao đổi, bảo vệ quyền truy cập và tìm hỗ trợ — sau đó xử lý mọi sự kiện bảo mật riêng biệt qua kênh chính thức của nó.