Những lỗi mật khẩu phổ biến và cách khắc phục

Sau nhiều thập kỷ tuyên truyền, mật khẩu phổ biến nhất năm 2025 vẫn dễ đoán. Phân tích dữ liệu rò rỉ của NordPass cho thấy "123456" đứng đầu năm thứ năm liên tiếp với hơn 4,5 triệu tài khoản. "password", "qwerty123" và "111111" lấp đầy nhóm đầu; cả bốn bị bẻ khóa trong chưa đầy một giây.

Đáng lo hơn là quy mô dùng lại. Nghiên cứu SpyCloud 2024 cho thấy 64% người có thông tin trong một vụ rò rỉ đã dùng lại mật khẩu ở ít nhất một tài khoản khác. Trong nhóm xuất hiện ở nhiều vụ, 72% vẫn dùng mật khẩu giống hoặc gần giống sau nhiều năm, kể cả sau khi được thông báo.

Thiệt hại tài chính lớn: báo cáo IBM 2024 ghi nhận chi phí trung bình 4,88 triệu USD mỗi vụ, với thông tin đăng nhập bị xâm phạm là vector ban đầu phổ biến nhất (16%). Gian lận chiếm tài khoản khiến người tiêu dùng mất 12,5 tỷ USD năm 2023, theo Javelin Strategy.

Nhiều người và tổ chức vẫn chấp nhận mật khẩu 8 ký tự; năm 2026 mức đó nguy hiểm. Dàn GPU 8× NVIDIA RTX 4090 thử hết mọi mật khẩu 8 ký tự từ bộ 95 ký tự ASCII trong khoảng 7 giờ với hash bcrypt work factor 5. Với MD5 hoặc SHA-1, chỉ còn vài giây.

Mật khẩu 12 ký tự cũng có thể chưa đủ tùy thuật toán băm. Hash yếu vẫn được bảo vệ ở 12 ký tự, nhưng khuôn mẫu từ + số + ký hiệu làm không gian tìm kiếm co mạnh.

Cách sửa: dùng trình quản lý mật khẩu tạo mật khẩu ngẫu nhiên 16+ ký tự cho mọi tài khoản. Với mật khẩu phải nhớ, dùng cụm 5+ từ ngẫu nhiên (khoảng 65 bit entropy). Độ dài là vũ khí mạnh nhất: mỗi ký tự làm thời gian bẻ khóa tăng theo cấp số nhân.

Dùng lại mật khẩu là thói quen nguy hiểm nhất vì biến một vụ rò rỉ thành chuỗi tài khoản bị xâm phạm. Khi mật khẩu lộ, kẻ tấn công tự động thử nó trên hàng trăm dịch vụ phổ biến — email, ngân hàng, mạng xã hội, lưu trữ đám mây, mua sắm. Kỹ thuật nhồi thông tin đăng nhập này hoàn toàn tự động và bắt đầu trong vài giờ.

Quy mô rất lớn: Akamai báo cáo hơn 193 tỷ cuộc tấn công năm 2020. Dù tỷ lệ thành công dưới 1%, đó vẫn là hàng trăm triệu vụ chiếm tài khoản. Mật khẩu "không quan trọng" ở diễn đàn có thể mở tài khoản ngân hàng nếu dùng chung.

Cách sửa duy nhất đáng tin: mật khẩu riêng cho từng tài khoản. Trình quản lý mật khẩu tạo và lưu mật khẩu ngẫu nhiên riêng, tự động điền, còn bạn chỉ nhớ một mật khẩu chính mạnh. Gói miễn phí của Bitwarden cho mật khẩu và thiết bị không giới hạn.

Người bị buộc tạo mật khẩu "phức tạp" thường theo khuôn mẫu: viết hoa chữ đầu, thêm số ở cuối, gắn ký hiệu. "Password1!" thỏa mọi yêu cầu nhưng nằm trong nhóm đầu mọi công cụ thử. Carnegie Mellon phát hiện 89% viết hoa ký tự đầu khi bị yêu cầu, và 78% gắn số ở cuối.

Thay thế leet (@ cho a, 3 cho e, 0 cho o, $ cho s) gần như không tăng bảo mật: mọi công cụ bẻ khóa đều có các phép biến đổi này. "P@$$w0rd" khó bẻ ngang "Password".

Khuôn mẫu bàn phím (qwerty, zxcvbn, 1qaz2wsx, qazwsx) trông ngẫu nhiên nhưng bị kiểm tra sớm. Mẫu hình chữ L, Z hay dấu cộng cũng có trong từ điển tấn công.

Cách sửa: đừng tạo mật khẩu từ khuôn mẫu con người. Hãy để trình tạo ngẫu nhiên bằng mật mã làm việc đó. Nếu cần mật khẩu dễ nhớ, dùng cụm Diceware 5+ từ thật ngẫu nhiên. Sáng tạo của con người dễ đoán; ngẫu nhiên thì không.

Tên người yêu, con, thú cưng, ngày sinh, kỷ niệm, số điện thoại, địa chỉ và đội thể thao là nguyên liệu của phần lớn mật khẩu tự tạo. Kẻ tấn công chỉ cần 30 phút xem mạng xã hội để dựng từ điển nhắm mục tiêu.

Kiểu tấn công từ điển "kỹ thuật xã hội" này rất hiệu quả với mục tiêu giá trị cao. Tấn công tự động cũng có sẵn tên, ngày tháng và đội phổ biến. "Messi2026!" hay "Jessica0903" bị bẻ dễ dàng.

Thông tin tưởng như khó tìm cũng rủi ro: tên thời con gái của mẹ, con phố tuổi thơ, chiếc xe đầu tiên — đều là đáp án câu hỏi bảo mật, có thể lộ qua hồ sơ công khai, trang gia phả hay mạng xã hội. Đừng dùng thứ người quen có thể tra ra.

Dán giấy nhớ lên màn hình, lưu tệp văn bản không mã hóa, tự gửi email hoặc dùng trình quản lý của trình duyệt mà không đặt mật khẩu thiết bị — đều rủi ro cao.

Nghiên cứu Ponemon 2024 cho thấy 59% nhân viên thừa nhận viết mật khẩu ra giấy, 42% chia sẻ qua email hoặc tin nhắn. Trong doanh nghiệp, những thói quen này có thể dẫn tới truy cập trái phép và vi phạm tuân thủ.

Cách sửa: dùng trình quản lý mật khẩu có mã hóa đầu cuối. Cá nhân có Bitwarden (miễn phí, mã nguồn mở) hoặc 1Password (2,99 USD/tháng), tự động điền trên mọi thiết bị. Nhóm có kho chia sẻ, kiểm soát truy cập và nhật ký. Nếu phải viết ra giấy, cất trong két khóa — không dán lên màn hình.

Lỗi phổ biến nhất không phải lỗi mật khẩu: đó là không bật xác thực đa yếu tố. Microsoft báo cáo năm 2023 rằng 99,9% tài khoản bị xâm phạm không bật MFA. Chỉ việc này bảo vệ hơn mọi cải thiện mật khẩu.

Nhiều người bỏ qua MFA vì thấy bất tiện, nhưng triển khai hiện đại đã khắc phục: sinh trắc học tức thì, khóa phần cứng một lần chạm, TOTP vài giây. Năm giây mỗi lần đăng nhập không đáng kể so với hàng giờ khắc phục khi bị chiếm tài khoản.

Cách sửa: bật MFA mọi nơi có thể, bắt đầu từ email, ngân hàng, lưu trữ đám mây. Dùng TOTP (Google Authenticator, Authy) hoặc khóa phần cứng (YubiKey) thay vì SMS. Tạo và lưu mã dự phòng an toàn.

Dùng danh sách này để kiểm tra và cải thiện bảo mật mật khẩu ngay hôm nay. Mỗi bước tạo khác biệt đo được; bắt đầu từ việc tác động lớn nhất. Toàn bộ mất khoảng hai giờ và giảm mạnh nguy cơ bị chiếm tài khoản.