Thấy gì qua vụ dữ liệu 700 triệu tài khoản LinkedIn bị rao bán?

Tin tặc đang rao bán thông tin cá nhân của 700 triệu tài khoản LinkedIn trên “chợ đen” trên mạng. Với việc LinkedIn công bố mình có khoảng 756 triệu người dùng, thì 700 triệu tài khoản bị lộ tương đương với 93% số người của mạng xã hội này, có nghĩa là gần như… lộ hết.

Người bán đưa ra trước dữ liệu của 1 triệu tài khoản để làm mẫu, cho khách hàng tiềm năng “dùng thử”. Các thông tin bị lộ được thấy có họ tên, email, số điện thoại, địa chỉ nhà, dữ liệu định vị, tên người dùng, kinh nghiệm cá nhân và chuyên ngành, giới tính, tên tài khoản trên mạng xã hội khác. Chủ yếu là các thông tin cá nhân tương đối “công khai”, không có những thông tin nhạy cảm như các thông tin tài chính hay mật khẩu.

Các diễn đàn bảo mật kiểm tra và đánh giá đây là thông tin thật. LinkedIn cũng nhanh chóng xác nhận đó là thông tin thật. Tuy nhiên, trong một phản hồi chính thức, LinkedIn ngầm phủ nhận mình bị hack.

Họ nói: Chúng tôi vẫn đang điều tra vụ việc, nhưng theo những phát hiện ban đầu của chúng tôi thì đây là dữ liệu thu thập được cả từ LinkedIn lẫn từ nhiều nguồn khác nhau tổng hợp lại.

Dù lí do là gì thì đây cũng không phải là lần đầu tiên LinkedIn bị lộ dữ liệu. Mới tháng 4 vừa rồi, họ bị lộ 500 triệu tài khoản. Xa hơn chút nữa, năm 2012, họ lộ 117 triệu tài khoản. Có lẽ chính vì vậy nên khi trang công nghệ Tomsguide phân tích tập dữ liệu “hàng mẫu” tin tặc đưa ra, người ta thấy được một số điều thú vị.

Trước hết là chính người dùng hiện nay có vẻ đủ hiểu biết để không được tin tưởng độ bảo mật của LinkedIn cho lắm. Mặc dù là mạng xã hội nhân sự, tuyển dụng, nhưng đa phần mọi người chỉ khai những thông tin rất tối thiểu, chỉ đủ để tạo được tài khoản. Còn lại hầu hết là thông tin chung chung, không cụ thể. Ví dụ địa chỉ nhà thì chỉ dừng lại ở tên đường. Rất ít người khai địa chỉ email công việc và càng ít người khai số điện thoại vào LinkedIn.

Nhưng có một vấn đề khá nghiêm trọng cần lưu ý. Tuy không khai địa chỉ chính xác vào LinkedIn, nhưng vị trí địa lý thực tế của người dùng lại bị ghi nhận và lộ hết. Chỉ cần lấy số liệu vị trí bị lộ dán vào Google Map, người ta có thể nhìn thấy cả cửa ra vào kèm biển số nhà của người dùng.

Điều này có nghĩa là ứng dụng LinkedIn trên điện thoại vẫn âm thầm thu thập thông tin định vị (GPS) của người dùng và gửi về máy chủ của LinkedIn. Người dùng có lẽ không vui lắm về chuyện này.

Ngoài lề một chút, đây có thể là một cơ hội cho Apple quảng cáo tính năng chặn theo dõi người dùng của iPhone.

Quay lại, vụ việc vẫn đang được điều tra. Nhưng cho dù là lỗi của LinkedIn hay không thì dữ liệu của mọi người cũng đã bị lộ. Một cách nhẹ nhàng nhất thì chỗ dữ liệu này sẽ là một mỏ vàng cho các nhà quảng cáo, bán hàng. Khi họ nắm được họ tên, tuổi tác, nghề nghiệp, thậm chí cả nơi sống thì bạn cứ xác định sẽ được họ làm phiền cả ngày. Nguy hiểm hơn, một ai đó có thể đến trước cửa nhà, đọc vanh vách tên tuổi, nơi làm việc, ngày sinh và thực hiện các hành vi lừa đảo Social Engineering (một hình thức lừa đảo đóng giả một người quen biết bằng cách trưng ra các thông tin cá nhân riêng tư).

Trong khi chờ đợi các mạng xã hội có trách nhiệm hơn với thông tin cá nhân (mà không biết đến bao giờ), người dùng cũng nên tự bảo vệ mình trước. Đầu tiên là chặn các ứng dụng tự động truy cập GPS trên điện thoại. Sau đó là xóa bớt thông tin cá nhân trên các mạng xã hội, chỉ để lại thông tin tối thiểu để duy trì tài khoản. Hoặc là trước mắt, có thể dùng tạm… iPhone.