Cứ vài tháng lại có tiêu đề kiểu "hàng tỷ mật khẩu bị rò rỉ". Chúng gây hoang mang, nhưng cũng dễ khiến bạn rối: mật khẩu của mình có nằm trong đó không, có nên đổi hết không, và nếu đã dùng mật khẩu "phức tạp" thì những chuyện này có ảnh hưởng gì không?

Tin tốt là lời khuyên từ những người soạn ra quy tắc đã trở nên đơn giản hơn chứ không khó hơn. Bài viết này chuyển hướng dẫn chính thức mới nhất của Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) và Trung tâm An ninh mạng Quốc gia Anh (NCSC) thành vài thói quen mà ai cũng làm được.

Vì sao các vụ rò rỉ ngày càng lớn

Những tiêu đề về rò rỉ quy mô lớn thường không nói về một công ty bị tấn công. Nhiều vụ thực chất là các bộ tổng hợp: thông tin đăng nhập được gom suốt nhiều năm từ các vụ xâm phạm trước đó và từ mã độc trên máy tính của người dùng, rồi gộp lại và chia sẻ. Cách đưa tin về các bộ dữ liệu này rất khác nhau, và con số trên tiêu đề thường đếm số bản ghi chứ không phải số người, nên khó biết bao nhiêu trong đó là mới hoặc còn dùng được.

Điều quan trọng với bạn đơn giản hơn nhiều. Dịch vụ miễn phí Have I Been Pwned, cho phép bạn kiểm tra địa chỉ email của mình có nằm trong các vụ rò rỉ đã biết hay không, liệt kê hơn 17,8 tỷ tài khoản bị lộ từ hơn 1.000 trang web khi chúng tôi kiểm tra ngày 21/10/2026. Với những con số như vậy, cách nghĩ an toàn là coi như ít nhất một mật khẩu cũ của bạn đã bị lộ ở đâu đó.

Mối nguy thật sự không nằm ở bản thân vụ rò rỉ mà ở việc dùng lại mật khẩu. Nếu cùng một mật khẩu bảo vệ email, tài khoản ngân hàng và một diễn đàn cũ, thì khi diễn đàn bị lộ, kẻ gian có luôn chìa khoá vào mọi thứ còn lại. Chúng tự động thử các cặp email và mật khẩu bị lộ trên rất nhiều trang.

Hướng dẫn chính thức hiện nay nói gì

Tháng 7/2025, NIST công bố bản chính thức của bộ hướng dẫn về danh tính số SP 800-63B-4. Tài liệu này viết cho các tổ chức vận hành hệ thống đăng nhập, nhưng cho bạn biết khá nhiều về điều gì thực sự bảo vệ một tài khoản:

  • Độ dài quan trọng hơn độ phức tạp. Mật khẩu dùng riêng lẻ nên dài ít nhất 15 ký tự. Dịch vụ nên chấp nhận ít nhất 64 ký tự để cụm mật khẩu dài vẫn dùng được.
  • Không bắt trộn ký tự. Dịch vụ không được áp quy tắc kiểu "một chữ hoa, một chữ số, một ký hiệu". Những quy tắc này thường sinh ra mật khẩu dễ đoán như "Summer2026!".
  • Không bắt đổi định kỳ. Dịch vụ không được buộc bạn đổi mật khẩu theo lịch, nhưng phải buộc đổi khi có bằng chứng mật khẩu đã bị lộ.
  • Danh sách chặn. Dịch vụ phải đối chiếu mật khẩu mới với danh sách các mật khẩu phổ biến, dễ đoán hoặc đã bị lộ.
  • Khuyến khích trình quản lý mật khẩu. Dịch vụ phải cho phép trình quản lý mật khẩu và tính năng tự điền, và nên cho phép dán mật khẩu.
  • Không gợi ý mật khẩu hay câu hỏi bảo mật khi bạn đặt mật khẩu.

NCSC nói điều tương tự bằng lời dễ hiểu hơn: ghép ba từ ngẫu nhiên để tạo mật khẩu đủ dài và đủ mạnh, chẳng hạn ba từ không liên quan đến nhau nhưng bạn hình dung được trong cùng một cảnh. NCSC cũng khuyến khích dùng trình quản lý mật khẩu.

Năm thói quen thực sự có ích

1. Mỗi tài khoản một mật khẩu

Đây là thói quen quan trọng hơn cả. Mật khẩu riêng biệt khiến một vụ rò rỉ ở trang này chỉ còn là vấn đề của riêng trang đó.

2. Đặt mật khẩu dài

Dùng ba từ ngẫu nhiên trở lên, hoặc một chuỗi ngẫu nhiên dài từ công cụ tạo mật khẩu. Công cụ Tạo mật khẩu của chúng tôi tạo mật khẩu ngẫu nhiên ngay trong trình duyệt bằng bộ sinh số ngẫu nhiên mật mã, và trang này không bao giờ gửi mật khẩu qua mạng. Độ dài quan trọng hơn việc thêm ký hiệu.

3. Để trình quản lý mật khẩu nhớ giúp

Không ai nhớ nổi hàng chục mật khẩu khác nhau. Trình quản lý mật khẩu lưu chúng, tự điền giúp bạn và có thể tạo mật khẩu mới. Hãy bảo vệ chính trình quản lý bằng một cụm mật khẩu dài mà bạn không dùng ở đâu khác, và bật xác minh hai bước cho nó nếu có.

4. Bảo vệ email kỹ nhất

NCSC khuyên đặt cho email một mật khẩu mạnh và riêng biệt, vì ai kiểm soát email của bạn thì có thể đặt lại mật khẩu của hầu hết tài khoản khác. Hãy coi email là chìa khoá chủ của bạn.

5. Bật xác minh hai bước

Xác minh hai bước (2SV, còn gọi là xác thực hai yếu tố) yêu cầu thêm một bằng chứng thứ hai, chẳng hạn mã từ một app hoặc lời nhắc xác nhận trên điện thoại. Theo NCSC, cách này ngăn kẻ gian vào được tài khoản email của bạn ngay cả khi chúng biết mật khẩu. Hãy bật cho email trước, rồi đến tài khoản ngân hàng, mạng xã hội và mua sắm.

Cách kiểm tra xem bạn có bị ảnh hưởng không

  • Kiểm tra địa chỉ email trên Have I Been Pwned. Trang này cho biết email của bạn nằm trong những vụ rò rỉ đã biết nào và loại dữ liệu nào bị lộ.
  • Dùng tính năng kiểm tra của trình quản lý mật khẩu. Nhiều trình quản lý cảnh báo mật khẩu bị dùng lại, yếu hoặc đã bị lộ.
  • Để ý các dấu hiệu: cảnh báo đăng nhập lạ, email đặt lại mật khẩu mà bạn không yêu cầu, hay bạn bè nói nhận được tin nhắn bạn không hề gửi.

Có tên trong danh sách rò rỉ không có nghĩa là ai đó đang ở trong tài khoản của bạn lúc này. Nó có nghĩa là bạn nên coi mật khẩu đó như đã công khai.

Nên làm gì sau một vụ rò rỉ

  1. Đổi mật khẩu bị lộ trên trang đó, và trên mọi trang khác mà bạn dùng mật khẩu giống hoặc gần giống.
  2. Bắt đầu từ email, rồi đến tài khoản tài chính, sau đó là mọi thứ còn lại.
  3. Bật xác minh hai bước luôn khi đang ở đó.
  4. Đăng xuất các phiên khác nếu dịch vụ hỗ trợ, và rà soát các phương thức khôi phục (email dự phòng, số điện thoại).
  5. Cẩn thận với các tin nhắn theo sau. Sau rò rỉ thường là email lừa đảo (phishing) nhắc tới vụ việc để tỏ ra đáng tin. Hãy tự vào thẳng trang web thay vì bấm vào đường link.

Bạn không cần đổi những mật khẩu vẫn ổn và riêng biệt chỉ vì vừa xuất hiện một tiêu đề lớn. Hướng dẫn của NIST nói rõ: đổi định kỳ không phải là mục tiêu; đổi khi có bằng chứng bị lộ mới là điều cần làm.

VPN giúp được gì, và không giúp được gì

VPN bảo vệ kết nối của bạn, chẳng hạn trên Wi-Fi công cộng, nơi nó giúp bên vận hành mạng không thấy bạn vào những trang nào. VPN không bảo vệ được mật khẩu đã bị lộ, và không thể ngăn ai đó dùng mật khẩu ấy để đăng nhập. Mật khẩu mạnh, riêng biệt cùng xác minh hai bước bảo vệ tài khoản của bạn; còn một VPN như VPNRice bảo vệ con đường dữ liệu của bạn đi qua. Về phía mạng, xem hướng dẫn dùng Wi-Fi công cộng an toàn.

Những điểm chính

  • Hãy coi như mật khẩu cũ đã bị lộ; dùng lại mật khẩu mới là rủi ro thật sự.
  • Dùng mật khẩu dài: ba từ ngẫu nhiên hoặc một chuỗi được tạo tự động từ 15 ký tự trở lên.
  • Lưu chúng trong trình quản lý mật khẩu.
  • Đặt cho email một mật khẩu mạnh, riêng biệt và bật xác minh hai bước.
  • Kiểm tra trên Have I Been Pwned, và đổi mật khẩu khi có bằng chứng rò rỉ, chứ không theo lịch định kỳ.