Khoảng 2,86 tỉ mật khẩu bị hack vì thói quen này của người dùng?

Mã độc tống tiền (ransomware) vẫn là mối đe dọa lớn, nhưng trong năm 2025, thứ khiến người dùng và doanh nghiệp phải lo lắng hơn lại nằm ở mật khẩu.

Theo báo cáo Tình hình tội phạm mạng năm 2026 của KELA, số nạn nhân ransomware tăng 45% so với năm trước, trong khi lượng thông tin đăng nhập bị xâm nhập được ghi nhận lên đến 2,86 tỉ.

Đáng chú ý, dữ liệu bị đánh cắp không chỉ có mật khẩu. Báo cáo còn nhắc đến cookie phiên, loại dữ liệu có thể giúp kẻ gian duy trì trạng thái đăng nhập và trong một số trường hợp vượt qua xác thực hai yếu tố. Điều này khiến những tài khoản tưởng như đã được bảo vệ kỹ vẫn có nguy cơ bị chiếm quyền nếu thiết bị của người dùng nhiễm mã độc.

Mã độc đánh cắp thông tin thường âm thầm thu thập mật khẩu, mã xác thực, cookie trình duyệt và các dữ liệu tài khoản quan trọng khác trên máy bị nhiễm. Khi những dữ liệu này rơi vào tay tội phạm mạng, chúng có thể được dùng để đăng nhập tài khoản, bán trên chợ đen hoặc phục vụ các cuộc tấn công tiếp theo.

Trong năm 2025, KELA ghi nhận khoảng 3,9 triệu máy tính trên toàn cầu bị nhiễm mã độc đánh cắp thông tin, làm lộ 347,5 triệu thông tin đăng nhập. Nếu tính cả các nguồn khác, gồm dữ liệu rò rỉ và nhật ký mã độc được rao bán trong các chợ đen, tổng số thông tin đăng nhập bị theo dõi lên đến 2,86 tỉ.

Nguy cơ này càng lớn khi công cụ tấn công ngày càng dễ mua, dễ dùng. Các nhóm tội phạm không nhất thiết phải tự viết mã độc, mà có thể thuê hoặc mua các bộ công cụ có sẵn theo mô hình dịch vụ. Cùng với đó, các chiêu lừa qua email, tin nhắn, quảng cáo độc hại, kết quả tìm kiếm giả mạo, tiện ích trình duyệt bị cài mã độc hoặc phần mềm lậu vẫn tiếp tục được dùng để dụ người dùng tự tải mã độc về máy.

Lời khuyên dành cho người dùng để tăng cường bảo mật

1. Không bấm vào liên kết lạ trong email, tin nhắn hoặc mạng xã hội, kể cả khi nội dung trông có vẻ quen thuộc.

2. Đối với các phần mềm, ứng dụng và tiện ích trình duyệt, chỉ nên tải từ những nguồn chính thức, đồng thời hệ điều hành cần được cập nhật thường xuyên để giảm nguy cơ bị khai thác.

3. Sử dụng trình quản lý mật khẩu để tạo mật khẩu riêng cho từng tài khoản, tránh tình trạng một mật khẩu bị lộ kéo theo nhiều tài khoản khác. Xác thực hai yếu tố vẫn cần được bật nếu dịch vụ hỗ trợ, nhưng không nên xem đây là biện pháp tuyệt đối, bởi mã độc hiện nay có thể nhắm đến cookie phiên để vượt qua lớp bảo vệ này.

Về lâu dài, mã khóa đăng nhập (hay passkey) vẫn là lựa chọn an toàn hơn mật khẩu trong nhiều trường hợp. Passkey không yêu cầu người dùng nhập mật khẩu theo cách truyền thống, khó bị lừa qua trang đăng nhập giả và khóa riêng tư không rời khỏi thiết bị.