Nhân viên WHO bị chê vì đặt mật khẩu quá tệ

Nhiều nhân viên của Tổ chức Y tế Thế giới đặt mật khẩu đơn giản là password hoặc changme – tên bài hát của Justin Bieber.

Địa chỉ email và mật khẩu, được cho là của gần 25.000 nhân viên các tổ chức y tế nổi tiếng thế giới, như Tổ chức Y tế Thế giới (WHO), Trung tâm kiểm soát và phòng ngừa dịch bệnh Mỹ (CDC), Viện Y tế quốc gia Mỹ (NIH)…, bị phát tán qua một số kênh như Pastebin, 4chan, Twitter và Telegram tuần này.

Nhóm bảo mật SITE Inteligence Group thống kê, có hàng nghìn tài khoản thuộc về các chuyên gia của WHO. Ngày 23/4, WHO xác nhận vụ rò rỉ dữ liệu nhưng cho rằng mức độ ảnh hưởng của sự cố không lớn vì nhiều tài khoản đã cũ, chỉ 457 địa chỉ email đang hoạt động. Ngoài ra, cũng chưa có tài khoản nào bị xâm nhập. “Toàn bộ mật khẩu của 457 tài khoản này đã được thay đổi”, WHO nói.

Tuy nhiên, Robert Potter, chuyên gia an ninh mạng của Australia, xác nhận với Washington Post rằng ông có thể giành được quyền truy cập vào hệ thống máy tính của WHO dựa trên những địa chỉ email và mật khẩu phát tán trên mạng.

“Cách họ đặt mật khẩu rất kinh khủng”, Potter nói. “Ví dụ, có 49 người chọn password làm mật khẩu, một số khác lại dùng chính tên của mình hoặc cụm từ changeme để bảo mật tài khoản”. Change me cũng là tên một bài hát của ca sĩ Justin Bieber.

Nhiều người bị lộ tài khoản vì đặt mật khẩu dễ đoán. Ảnh: CNet.

Potter cho biết dữ liệu có thể bị hacker thu thập từ vụ tấn công mạng năm 2016 và sau đó bán trên dark web. Theo CNet, vụ phát tán tài khoản của các tổ chức y tế gây chú ý bởi diễn ra giữa lúc thế giới đang cùng nhau chống lại Covid-19.

SplashData, công ty cung cấp các công cụ quản lý mật khẩu, thống kê hàng triệu mật khẩu bị rò rỉ trên mạng mỗi năm và nhận thấy thói quen bảo mật của người dùng không hề thay đổi. “123456″ và “password” luôn là hai mật khẩu phổ biến nhất trong nhiều năm. Ngoài ra, người dùng cũng thường xuyên chọn tên bài hát, tên phim và tên của chính mình khi thiết lập tài khoản.

“Hacker luôn dùng các từ khóa gây sốt trong cộng đồng để thử xâm nhập vào tài khoản online, bởi chúng biết mọi người thường chọn password dễ nhớ”, Morgan Slain, CEO của SplashData, nhận xét.

Châu An