Cẩn thận AI có thể bẻ mọi mật khẩu

Những con số nêu trên vừa được các nhà nghiên cứu của hãng bảo mật Kaspersky công bố, trong bối cảnh AI phát triển và bị lợi dụng cho mục đích xấu.

AI dễ dàng dò mật khẩu

Là nhân viên một shop chuyên bán hàng qua mạng, chị Mỹ Tiên (TP.HCM) thường giao dịch qua Facebook. Mới đây, tài khoản Facebook của chị bất ngờ bị thoát và không thể đăng nhập. Thấy chuyện chẳng lành, chị Tiên vào tài khoản Gmail (liên kết với tài khoản Facebook) thì phát hiện mật khẩu dịch vụ Facebook đã bị thay đổi.

Ngay sau đó, tài khoản Gmail của chị cũng không thể đăng nhập. Dự đoán có kẻ đã hack, chị Tiên lập tức nhờ thông báo cho bạn bè và người thân thì nhận được tin hai người thân đã chuyển khoản tổng cộng 30 triệu đồng vì tưởng chị Tiên đang cần gấp tiền để giao dịch. 

“Bình thường tôi và người nhà hay nhắn mượn tiền qua lại nên chẳng mấy ai để ý. Tôi không hiểu sao kẻ xấu có được mật khẩu cả hai tài khoản của mình dù chúng khác nhau và tôi không đăng nhập đường link lạ”, chị Tiên cho biết.

Theo tìm hiểu của Tuổi Trẻ, rất nhiều người dùng cũng bỗng dưng bị cướp mất tài khoản Facebook, Gmail… dù họ khẳng định không tiết lộ mật khẩu cho ai, cũng không truy cập các link lạ, điện thoại cũng không có dấu hiệu bị nhiễm mã độc.

Theo các chuyên gia an ninh mạng, cách đặt mật khẩu đơn giản, dễ nhớ của đông đảo người dùng Việt khiến họ dễ bị hack bởi các công cụ chuyên dò đoán mật khẩu. 

Theo ông Vũ Ngọc Sơn, giám đốc công nghệ Công ty an ninh mạng NCS, người dùng Việt thường có nhiều tài khoản, từ tài khoản email, thương mại điện tử, mạng xã hội… Việc sử dụng chung mật khẩu cho các tài khoản cũng phổ biến. 

Bên cạnh đó, việc ngày càng có nhiều thông tin cá nhân của người dùng bị lộ lọt như tên, tuổi, ngày tháng năm sinh… là những thông tin rất dễ xuất hiện trong mật khẩu. “Vì vậy, bất kỳ ai nếu tham gia trên Internet thường xuyên đều có nguy cơ bị dò mật khẩu”, ông Sơn nhận định.

Về kỹ thuật dò mật khẩu của tội phạm mạng, ông Sơn cho biết trước đây thường được thử bằng cách sử dụng từ điển (tập hợp các mật khẩu thông dụng, phổ biến đã được thu thập như 123456, admin… hoặc ghép ngày tháng năm sinh, tên, tuổi)…

“Cùng sự phát triển của AI, bộ từ điển và bộ quy luật được mở rộng nhanh chóng nhờ AI tạo ra. Việc AI có thể dò ra mật khẩu của người dùng không phải là một vấn đề quá ngạc nhiên”, ông Sơn nói.

AI tìm ra mọi mật khẩu?

Ông Đặng Hữu Sơn (phó chủ tịch Liên minh phát triển nguồn nhân lực số Việt Nam, CEO Công ty Lovin Bot AI) cho biết với sự phát triển đột phá lĩnh vực AI, việc phá mật khẩu hiệu quả hơn bởi nó có khả năng học và dự đoán dựa trên dữ liệu khổng lồ về mật khẩu rò rỉ trước đây.

Chẳng hạn, tội phạm mạng sử dụng các nền tảng AI mã nguồn mở được tùy chỉnh có thể sử dụng kết hợp các kỹ thuật như “bruteforce” (tấn công bằng cách thử từng khả năng có thể), “dictionary attacks” (sử dụng danh sách các từ có sẵn) và các kỹ thuật phức tạp hơn như dùng mật khẩu đã rò rỉ ở một nơi để thử đăng nhập ở nơi khác…

“Mật khẩu càng phức tạp, càng dài và sử dụng sự kết hợp của chữ thường, chữ hoa, số và ký tự đặc biệt thì khả năng chống lại các cuộc tấn công của AI càng cao. Tuy nhiên, với sự phát triển không ngừng của công nghệ, ngay cả những mật khẩu mạnh nhất cũng có nguy cơ bị phá vỡ, đặc biệt nếu chúng không được thay đổi thường xuyên”, ông Sơn đánh giá.

Ông Vũ Ngọc Sơn cho rằng không chỉ Facebook mà nhiều dịch vụ khác đều có nguy cơ bị dò mật khẩu thông qua sự trợ giúp của AI: “Số lượng người bị dò mật khẩu Facebook đông hơn dịch vụ khác là do dịch vụ này phổ biến, trong khi không nhiều người đặt xác thực hai yếu tố. Các dịch vụ của ngân hàng, chứng khoán luôn yêu cầu xác thực hai lớp, nên số người bị chiếm đoạt tài khoản ít hơn”.

Cần áp dụng nhiều hình thức bảo vệ song song

Trao đổi với Tuổi Trẻ, nhiều chuyên gia công nghệ nhận định mật khẩu dạng văn bản hiện nay đã không còn an toàn dù cố gắng đặt mật khẩu dài đến đâu.

Ông Vũ Ngọc Sơn cho rằng để an toàn thì việc đầu tiên là cần thay đổi thói quen. 

Thay vì đặt các mật khẩu dễ nhớ, cần phải chuyển sang dùng các mật khẩu có tính ngẫu nhiên cao, đủ số lượng ký tự (từ 8 trở lên), có cả ký tự số và ký tự đặc biệt, không sử dụng các thông tin cá nhân hay người thân. 

Đồng thời luôn áp dụng xác thực hai yếu tố, trong đó mật khẩu là một yếu tố và mã OTP được gửi về điện thoại hoặc email là yếu tố thứ hai”.

Chuyên gia bảo mật Philip Hung Cao cũng nhấn mạnh: “Đã đến lúc phải tích cực áp dụng các năng lực bảo vệ tài khoản mạnh hơn mật khẩu, như xác thực mạnh không mật khẩu (passwordless) kết hợp với xác thực sinh trắc học”.