Trong bối cảnh kết nối trực tuyến ngày càng phổ biến, việc áp dụng các thực hành bảo mật kỹ thuật số hiệu quả chưa bao giờ trở nên cấp thiết hơn. Nhiều người trong chúng ta có lẽ đang sử dụng trình quản lý mật khẩu chuyên dụng để theo dõi các mật khẩu độc đáo, riêng biệt cho từng tài khoản – một thói quen tuyệt vời và là yếu tố cốt lõi của an ninh mạng. Lớp bảo mật này có thể được tăng cường thêm bằng xác thực hai yếu tố (2FA) hoặc thậm chí là khóa TOTP vật lý để tạo thêm một “lớp vỏ” bảo vệ. Tuy nhiên, điều gì sẽ xảy ra với những thiết bị mà bạn không thể dễ dàng thay đổi mật khẩu mặc định của chúng?
Một thực tế đáng buồn là rất nhiều thiết bị điện tử đi kèm với các mật khẩu mặc định cực kỳ tệ hại và thường không bao giờ được thay đổi. Thậm chí, đôi khi chúng không thể thay đổi được vì đã được mã hóa cứng vào phần mềm cơ sở (firmware) của thiết bị, đòi hỏi bản cập nhật từ nhà sản xuất. Rất nhiều tài nguyên trực tuyến dành cho các nhà nghiên cứu bảo mật có cơ sở dữ liệu khổng lồ về những mật khẩu mặc định này, cho thấy mức độ nghiêm trọng của vấn đề.
Những thiết bị vi phạm tệ hại nhất lại chính là những sản phẩm được quảng cáo là an toàn hoặc được thiết kế để bảo vệ ngôi nhà của bạn, chẳng hạn như camera kết nối internet, tường lửa phần cứng, bộ định tuyến (router) hoặc hệ thống báo động. Các thiết bị này thường có một mật khẩu mặc định được đặt sẵn để dễ dàng cài đặt, nhưng nó không phải lúc nào cũng được thay đổi sau khi quá trình cài đặt hoàn tất. Nếu bạn đang sở hữu bất kỳ thiết bị nào trong số này, hãy kiểm tra để đảm bảo rằng các mật khẩu mặc định đã được thay đổi. Đối với những thiết bị không thể tự thay đổi, hãy liên hệ với nhà sản xuất.
Khóa bảo mật Yubikey vật lý – giải pháp xác thực hai yếu tố hiệu quả
7 Thiết Bị Công Nghệ Phổ Biến Với Mật Khẩu Mặc Định Kém An Toàn
Router Wi-Fi: Cổng Kết Nối Internet Với Rủi Ro Bảo Mật Cao
Router thường được xuất xưởng với các mật khẩu mặc định, có thể là cho trang quản trị, thông tin đăng nhập Wi-Fi hoặc để kết nối với nhà cung cấp dịch vụ internet (ISP). Mặc dù bất kỳ router nào cũng có thể có những mật khẩu mặc định kinh khủng, chẳng hạn như admin/password, cho phép người dùng có quyền quản trị để thay đổi bất cứ điều gì họ muốn, nhưng các router do các nhà cung cấp dịch vụ internet (ISP) cung cấp đặc biệt nổi tiếng về vấn đề này.
Một mặt, điều này giúp kỹ thuật viên cài đặt có thể thiết lập mọi thứ hoạt động bình thường và bạn có thể kết nối nhanh chóng với Wi-Fi của router mới, vì thông tin đăng nhập thường được in trên nhãn dán ở đâu đó trên thiết bị. Tuy nhiên, bạn cần phải thay đổi những chi tiết đăng nhập đó ngay sau khi kỹ thuật viên rời đi. Có bao nhiêu người trong chúng ta thực sự làm điều đó? Không nhiều, theo IBM, 86% mật khẩu mặc định của router chưa bao giờ được thay đổi.
Hãy nhớ rằng, đây là thiết bị được sử dụng như một cổng vào internet cho mọi thiết bị khác trong nhà bạn, và quan trọng hơn, là thiết bị hoạt động như một bức tường lửa bảo vệ mọi thiết bị trong mạng gia đình khỏi những kẻ tấn công từ bên ngoài. Vì vậy, hãy đảm bảo bạn thay đổi mật khẩu của router ngay lập tức.
Giao diện ứng dụng Netgear Orbi trên điện thoại Zenfone 8 để quản lý cài đặt router
Modem Cáp (Cable Modems): Lặp Lại Vấn Đề Bảo Mật Từ Thiết Bị Kết Nối Internet
Một số gia đình có thể sử dụng nhiều thiết bị để xử lý mạng gia đình và kết nối internet, và modem cáp thường là một phần trong gói dịch vụ. Tuy nhiên, chúng gần như luôn đi kèm với những mật khẩu mặc định ngớ ngẩn nhất, như admin/password. Tệ hơn nữa, nhiều ISP sẽ không cho phép bạn thay đổi chúng vì họ sử dụng những thông tin đăng nhập đó để đẩy các bản cập nhật firmware và thực hiện các tác vụ quản trị khác.
Nếu bạn đang sử dụng một modem cáp mà không thể thay đổi mật khẩu quản trị, bạn nên cân nhắc trả lại cho ISP và tự sắm cho mình một modem cáp tốc độ cao mà bạn có toàn quyền kiểm soát, cho phép bạn thay đổi những mật khẩu mặc định “ngớ ngẩn” đó.
Cổng kết nối Internet Xfinity XFi và giao diện ứng dụng điều khiển – ví dụ về modem cáp ISP cung cấp
Hệ thống Wi-Fi Mesh Netgear Orbi CBK753 tích hợp modem và router tốc độ cao
Raspberry Pi: Bảo Vệ Các Máy Tính Bo Mạch Đơn Khỏi Nguy Cơ Tấn Công
Cho đến gần đây, Raspberry Pi từng có bộ mật khẩu mặc định tệ hại nhất (ngoài cặp admin/password, dĩ nhiên). Với tên người dùng pi và mật khẩu raspberry, bạn có thể đăng nhập vào bất kỳ bản cài đặt Raspbian (và sau này là Raspberry Pi OS) mới nào. Điều này đúng cho dù bạn đăng nhập từ giao diện đồ họa (GUI) hay truy cập từ xa vào máy tính bo mạch đơn (SBC) bằng SSH. Với các loại tác vụ mà người dùng Raspberry Pi thường cài đặt, đây là một vấn đề lớn.
May mắn thay, đây không còn là vấn đề nữa. Kể từ Raspberry Pi OS dựa trên Bullseye hoặc các phiên bản sau, quá trình cài đặt sẽ yêu cầu bạn tạo tên đăng nhập và mật khẩu riêng. Điều này có thể là do Raspberry Pi Foundation có trụ sở tại Vương quốc Anh, nơi gần đây đã thông qua luật cấm các nhà sản xuất thiết bị sử dụng mật khẩu mặc định kém an toàn. Rõ ràng, việc sử dụng tên thiết bị làm mật khẩu là một hành vi kém an toàn, vì vậy nó đã bị loại bỏ để tăng cường an toàn cho người dùng.
Hình ảnh bo mạch Raspberry Pi và ESP32 – thiết bị máy tính nhúng phổ biến
Thiết Bị IoT (Internet of Things): Nhà Thông Minh Của Bạn Có Đang Thiếu An Toàn?
Hàng năm, nhiều công ty bảo mật công bố các báo cáo về những mật khẩu tệ nhất trong năm. Năm 2024, “123456” vẫn là mật khẩu phổ biến nhất đang được sử dụng. Ngoài việc khiến tôi mất niềm tin vào ý thức bảo mật mỗi khi đọc thông tin này, tôi cũng không chắc liệu nguyên nhân luôn là do lỗi người dùng hay không. Theo NordPass, đó là lỗi người dùng, khi hơn một triệu người đang sử dụng mật khẩu này trong môi trường doanh nghiệp, nhưng đó là một câu chuyện khác.
“123456” cũng là một trong những mật khẩu mặc định phổ biến nhất trên các thiết bị IoT, bao gồm camera kết nối internet, chuông cửa thông minh, đèn thông minh, công tắc thông minh và các thiết bị tương tự. Không phải ngẫu nhiên mà chúng có tiếng xấu về bảo mật. Đôi khi, những mật khẩu khủng khiếp này còn được mã hóa cứng trong firmware của thiết bị, khiến bạn không thể làm gì để thay đổi. Điều bạn có thể làm là tìm kiếm các thiết bị từ các thương hiệu đáng tin cậy, vì chúng ít có khả năng sử dụng các thực hành bảo mật đã lỗi thời. Đồng thời, hãy thay đổi bất kỳ thông tin đăng nhập mặc định nào ngay khi bạn kết nối chúng vào mạng của mình.
Chuông cửa thông minh Ring Video Doorbell Pro 2 – một thiết bị IoT phổ biến trong nhà thông minh
Ô tô có Wi-Fi Hotspot: Đừng Để Tiện Lợi Đánh Đổi An Ninh
Tính năng Wi-Fi hotspot trên ô tô là một trường hợp điển hình về sự tiện lợi lấn át bảo mật. Ai mà không muốn có một văn phòng di động trong chiếc hộp kim loại nặng hàng tấn đang lao đi trên đường cao tốc cơ chứ? Giả sử bạn có một chiếc ô tô với Wi-Fi (vì ngày nay mọi thứ đều cần Wi-Fi), bạn đã thay đổi mật khẩu mặc định chưa? Bạn có biết kẻ trộm có thể dễ dàng lấy được thông tin đăng nhập của bạn đến mức nào không?
Nếu xe của bạn có OnStar, tất cả những gì chúng cần làm là nhấn nút Lệnh thoại OnStar và nói “Wi-Fi settings”, và trợ lý giọng nói hữu ích của bạn sẽ đọc ra các chi tiết. Điều này thậm chí còn dễ dàng hơn cả hệ thống WPS (Wi-Fi Protected Setup) một nút, vốn cũng nên được tắt đi. Mật khẩu Wi-Fi mặc định thường nằm ở những vị trí dễ tìm, như trong sách hướng dẫn sử dụng xe, trên nhãn dán trong hộp đựng đồ hoặc thậm chí trên chính thiết bị Wi-Fi hotspot nếu nó hiển thị. Hệ thống thông tin giải trí cũng sẽ hiển thị mật khẩu Wi-Fi, nhưng xe phải đang chạy để làm điều đó, khiến việc tìm mật khẩu đã thay đổi từ mặc định trở nên dễ dàng.
Màn hình cài đặt Điểm truy cập cá nhân (Personal Hotspot) trên iPhone – minh họa tính năng Wi-Fi hotspot
Tính năng Điểm truy cập cá nhân của iPhone đang được sử dụng trên MacBook – ví dụ về kết nối Wi-Fi di động
Hệ Thống Báo Động Gia Đình: Mã Khẩn Cấp Mặc Định Nguy Hiểm
Bạn có biết một trong những tính năng của hệ thống báo động gia đình bao gồm một mã mặc định có thể vô hiệu hóa chuông báo không? Tôi chắc chắn không biết điều đó cho đến khi tìm hiểu kỹ hơn. Nhưng tôi biết thêm một mật khẩu mặc định nữa cần được thay đổi ngay khi tôi lắp đặt một hệ thống báo động mới. Nhờ KrebsonSecurity, chúng ta biết rằng ADT có một mã khẩn cấp (duress code) trên bàn phím của họ. Đây là một tính năng tiện lợi giúp vô hiệu hóa chuông báo nhưng cũng gửi một tín hiệu báo động im lặng đến ADT để họ có thể cử người đến giúp đỡ.
Nhưng chúng ta cũng phát hiện ra rằng bàn phím thường được thiết lập với 2-5-8-0 làm mã mặc định. Vâng, một đường thẳng duy nhất, chạy thẳng xuống giữa bàn phím, là mật mã mặc định tốt nhất mà họ có thể nghĩ ra. Tôi đoán điều đó cũng có lý một phần, vì bạn sẽ muốn một thứ gì đó dễ nhớ trong trường hợp khẩn cấp, nhưng đó phải là một cài đặt mà người dùng có thể thay đổi, không phải là mặc định. Việc mã này phổ biến rộng rãi giữa các hệ thống báo động có nghĩa là kẻ trộm có thể vô hiệu hóa chuông báo đủ lâu để đột nhập và rời đi trước khi cảnh sát đến.
Bàn phím điều khiển hệ thống báo động Ring được lắp đặt trong nhà
Thiết Bị Y Tế: Nguy Cơ Từ Mật Khẩu Cố Định Đến Dữ Liệu Bệnh Nhân
Bạn có thể nghĩ rằng các thiết bị hình ảnh y tế trị giá hàng triệu đô la sẽ được bảo mật tốt hơn so với một mật khẩu mặc định, nhưng hãy suy nghĩ lại. TechCrunch cho biết hàng chục máy chụp hình ảnh do General Electric sản xuất có “mật khẩu mặc định được mã hóa cứng không thể thay đổi”. Những thiết bị này được kết nối mạng trong bệnh viện, vì vậy bạn có thể thấy vấn đề nghiêm trọng ở đây liên quan đến quyền riêng tư của bệnh nhân. Không chỉ các thiết bị hình ảnh; thông tin đăng nhập được mã hóa cứng cũng bảo mật máy tạo nhịp tim và các thiết bị bệnh nhân khác. Điều này giúp các bác sĩ điều trị cho bạn làm việc dễ dàng hơn, nhưng lại mở ra nguy cơ tiềm ẩn về các cuộc tấn công vào sức khỏe của bạn.
Máy chụp cắt lớp vi tính (CT scanner) trong bệnh viện – một thiết bị y tế quan trọng
Đồng hồ thông minh Samsung Galaxy Watch 7 và nhẫn thông minh Galaxy Ring – thiết bị theo dõi sức khỏe cá nhân
Mật Khẩu Mặc Định: Vấn Đề Lớn Cần Thay Đổi, Nhưng Tương Lai Có Đang Tích Cực Hơn?
Các thiết bị sử dụng mật khẩu mặc định là dấu hiệu của các thực hành bảo mật cẩu thả từ phía nhà sản xuất. Thực tế là chúng thường được sử dụng trên các thiết bị do các công ty bảo mật thiết kế, như router Cisco, camera kết nối internet, router Wi-Fi hoặc hệ thống báo động gia đình, là một thất bại nghiêm trọng đối với cộng đồng an ninh mạng. Một số mật khẩu mặc định này thậm chí còn được mã hóa cứng, khiến người dùng cuối không thể loại bỏ chúng, và hacker có thể dễ dàng chiếm quyền kiểm soát thiết bị.
Tuy nhiên, không phải tất cả đều là tin xấu. California đã ban hành luật cấm mật khẩu mặc định yếu trên các thiết bị kết nối, tương tự như Vương quốc Anh. Cả hai đều ưu tiên việc yêu cầu người dùng chọn mật khẩu trong quá trình thiết lập. Có lẽ một ngày nào đó, mật khẩu mặc định sẽ hoàn toàn biến mất, và khi đó, vấn đề chỉ còn là việc ghi nhớ mật khẩu của chính bạn sau khi hoàn tất quá trình cài đặt.
Kết Luận
Việc phớt lờ mật khẩu mặc định trên các thiết bị công nghệ của bạn không chỉ là một sự bất cẩn mà còn là một lỗ hổng bảo mật nghiêm trọng, mở cửa cho những rủi ro không đáng có đối với dữ liệu cá nhân và sự riêng tư của bạn. Từ router Wi-Fi đến các thiết bị IoT, hệ thống báo động và thậm chí cả thiết bị y tế, nguy cơ tiềm ẩn là rất lớn.
Chúng tôi khuyến nghị mạnh mẽ bạn hãy chủ động kiểm tra và thay đổi tất cả mật khẩu mặc định trên các thiết bị trong nhà và văn phòng của mình. Hãy tạo thói quen sử dụng mật khẩu mạnh, độc đáo và cân nhắc áp dụng các giải pháp bảo mật bổ sung như xác thực hai yếu tố. Bằng cách thực hiện những bước đơn giản này, bạn đang góp phần bảo vệ chính mình và cộng đồng khỏi các mối đe dọa an ninh mạng ngày càng phức tạp. Đừng để sự tiện lợi ban đầu trở thành cánh cửa cho những nguy hiểm khôn lường về sau.