Giả sử đó là một buổi tối trong tuần, và bạn nhận được thư từ một trang bán vé mà ba năm rồi bạn chưa dùng. Tiêu đề ghi: “Quan trọng: dữ liệu của bạn có thể đã bị lộ”. Bạn gần như không nhớ mình có tài khoản đó, cũng không biết đã đặt mật khẩu nào, còn trong thư có một nút lớn ghi “Bảo vệ tài khoản của tôi”. Một giờ tiếp theo quan trọng hơn phần còn lại của tuần, và việc đầu tiên cần làm trong giờ đó là đừng bấm vào nút ấy.
Tóm tắt: hãy xác minh thông báo bằng cách tự vào trang của công ty, tìm hiểu loại dữ liệu nào đã bị lấy, bảo vệ hộp thư chính trước mọi thứ khác, rồi đổi mật khẩu bị lộ ở mọi nơi bạn từng dùng và bật xác thực hai yếu tố hoặc passkey. Rò rỉ dữ liệu email nghĩa là một công ty đang giữ địa chỉ của bạn đã mất quyền kiểm soát nó, thường là cùng với những thông tin khác. Bạn không thể hoàn tác vụ rò rỉ. Nhưng bạn có thể giữ cho nó chỉ là một phiền toái, không để nó phát triển thành một tài khoản bị chiếm.
Giờ đầu tiên, theo đúng thứ tự
Thứ tự dưới đây xuất phát từ một ý: hộp thư của bạn có thể đặt lại gần như mọi mật khẩu khác, nên nó cần được bảo vệ trước cả tài khoản thực sự bị rò rỉ. Thời gian chỉ mang tính ước chừng. Nếu mật khẩu không nằm trong số dữ liệu bị lộ, bạn có thể bỏ qua bước 4 và 5 và xong trong mười lăm phút.
- Đừng dùng bất cứ thứ gì trong thư (2 phút đầu). Không bấm liên kết, không mở tệp đính kèm, không gọi số điện thoại trong thông báo. Thông báo rò rỉ giả là chiêu quen thuộc kèm theo các vụ rò rỉ thật, và một thông báo thật cũng không mất gì nếu bạn bỏ qua nút của nó.
- Tự xác minh (5 phút tiếp theo). Gõ địa chỉ của công ty vào trình duyệt hoặc dùng dấu trang cũ, rồi tìm thông báo bảo mật hoặc biểu ngữ trên trang. Tìm tên công ty kèm từ “rò rỉ dữ liệu” và xem báo chí uy tín hoặc chính công ty có đưa tin không.
- Đọc xem đã mất những gì (5 phút tiếp theo). Thông báo, tuyên bố của công ty hoặc một dịch vụ tra cứu sẽ liệt kê các loại dữ liệu. Mật khẩu, dữ liệu thẻ và giấy tờ tùy thân dẫn tới những việc khác nhau, và bảng ở phần sau sẽ vạch rõ điều đó.
- Bảo vệ hộp thư chính (15 phút tiếp theo). Đặt cho nó một mật khẩu dài chưa dùng ở đâu khác, đăng xuất các phiên khác, bật xác thực hai yếu tố hoặc passkey, và kiểm tra quy tắc chuyển tiếp cùng thông tin khôi phục. Các bước cho Gmail, Outlook và iCloud nằm ở phần về hộp thư bên dưới.
- Xử lý mật khẩu bị lộ (20 phút tiếp theo). Đổi nó trên trang bị rò rỉ, qua trang đăng nhập của chính trang đó. Sau đó hãy nghĩ xem bạn còn dùng nó, hoặc một mật khẩu gần giống, ở đâu khác, và đổi cả những nơi ấy, bắt đầu từ ngân hàng, nhà mạng di động, kho lưu trữ đám mây và các cửa hàng đang lưu thẻ của bạn.
- Ghi lại những gì bạn đã làm (5 phút cuối). Ghi tên công ty, ngày, loại dữ liệu liên quan và những mật khẩu bạn đã đổi. Nếu ba tháng sau có chuyện lạ xảy ra, ghi chú này sẽ cho bạn biết hai việc có liên quan hay không.
Nếu hết thời gian hoặc hết sức, hãy dừng sau bước 4. Một hộp thư được bảo vệ giữ cho bạn còn nhiều lựa chọn, vì kẻ tấn công không đọc được thư của bạn sẽ khó đặt lại bất cứ thứ gì khác hơn nhiều.
Thông báo đó có thật không?
Các công ty có gửi những thông báo này, và ở nhiều nơi họ bắt buộc phải gửi. Theo Điều 34 của GDPR thuộc Liên minh châu Âu, một tổ chức phải báo cho những người bị ảnh hưởng mà không chậm trễ quá mức khi vụ rò rỉ có khả năng gây rủi ro cao cho họ, và mỗi bang của Hoa Kỳ lại có luật thông báo rò rỉ riêng với những điều kiện kích hoạt riêng. Quy định mỗi nơi một khác, vì vậy bạn có thể nhận tin từ công ty này trong vài ngày, từ công ty kia vài tháng sau, hoặc không bao giờ. Bài tổng quan của chúng tôi về luật về quyền riêng tư email đi sâu hơn vào khía cạnh pháp lý.
Kẻ lừa đảo biết người ta đang mong đợi những thông báo này. Dưới đây là một ví dụ tự soạn về loại thông báo giả cần để ý:
Ví dụ về thông báo giả (tự soạn, chỉ để minh họa):
Tiêu đề: KHẨN CẤP sự cố bảo mật trên tài khoản của bạn
Kính gửi quý khách, mật khẩu của bạn đã bị lộ trong một sự cố gần đây. Tài khoản của bạn sẽ bị đóng trong vòng 12 giờ nếu bạn không xác nhận mật khẩu hiện tại và số thẻ bằng nút bảo mật bên dưới.
Có ba điểm để nhận ra thư này. Nó đặt thời hạn tính bằng giờ, nó đòi mật khẩu hiện tại của bạn, và nó muốn số thẻ, thứ mà không quy trình đặt lại hợp lệ nào cần đến. Một thông báo thật giải thích chuyện gì đã xảy ra và bảo bạn đổi mật khẩu trên trang của công ty. Hướng dẫn nhận biết email lừa đảo của chúng tôi điểm qua nhiều dấu hiệu hơn, nhưng những so sánh dưới đây đã bao quát phần riêng của thông báo rò rỉ.
| Điều cần xem | Thông báo thật thường | Thông báo giả thường |
|---|---|---|
| Hướng dẫn | Gợi ý bạn đổi mật khẩu trên trang của công ty, hoặc cho biết mật khẩu đã bị buộc đặt lại | Dẫn bạn qua một nút tới trang đăng nhập |
| Chi tiết | Nêu tên sự cố, khoảng thời gian và các loại dữ liệu | Mơ hồ về những gì đã xảy ra |
| Yêu cầu | Không đòi thông tin nhạy cảm qua email | Đòi mật khẩu, số thẻ hoặc mã gửi tới điện thoại của bạn |
| Tệp đính kèm | Hiếm khi có | Có một “báo cáo” dưới dạng tệp ZIP, tài liệu chứa macro hoặc tệp như report.pdf.exe |
| Dấu vết công khai | Khớp với một tuyên bố trên trang của công ty | Hoàn toàn không có dấu vết công khai nào |
| Ưu đãi | Có thể mời dùng dịch vụ giám sát danh tính của một nhà cung cấp có tên tuổi, kèm mã dùng trên trang của nhà cung cấp đó | Đòi phí, hoặc xin thông tin ngân hàng để “trả tiền bồi thường” cho bạn |
Một thư cũng có thể qua hết mọi kiểm tra kỹ thuật mà vẫn không đáng tin. Trong Gmail, menu ba chấm có mục Hiển thị thư gốc, cho xem kết quả SPF, DKIM và DMARC. Dòng dmarc=fail trên một thư tự nhận là của một công ty lớn là lời cảnh báo mạnh. Còn kết quả đạt chỉ cho biết thư đến từ tên miền hiển thị, mà tên miền đó có thể là một tên miền giả mạo vừa đăng ký tuần trước.
Đôi khi thông báo đến từ một cái tên bạn không biết, vì sự cố xảy ra ở một nhà cung cấp: một bộ phận hỗ trợ, một nền tảng tiếp thị hoặc một đơn vị xử lý thanh toán làm việc cho công ty mà bạn biết. Khi đó, hãy tìm xác nhận từ công ty bạn biết. Nếu không thấy gì, bạn có thể viết cho đội hỗ trợ của họ qua trang liên hệ chính thức để hỏi.
Đọc danh sách dữ liệu: nó quyết định khối lượng việc của bạn
Địa chỉ email hầu như không bao giờ bị lộ một mình. Việc này tốn của bạn mười phút hay cả buổi chiều tùy vào thứ gì nằm cạnh nó trong bảng dữ liệu bị lấy. Giả sử trang bán vé trong ví dụ của chúng ta báo “tên, địa chỉ email và mật khẩu đã băm”. Như vậy bạn rơi vào hàng thứ ba bên dưới, kèm một phần việc của hàng thứ hai.
| Bị lộ cùng địa chỉ của bạn | Kẻ xấu có thể làm gì | Bạn nên làm gì |
|---|---|---|
| Không gì khác | Gửi thư rác và thư lừa đảo nhắm đích, nối các hồ sơ của bạn giữa nhiều vụ rò rỉ, thử xem mật khẩu có bị dùng lại ở nơi khác không | Cảnh giác với thư nhắc tới dịch vụ đó; cân nhắc chuyển tài khoản sang địa chỉ khác |
| Mật khẩu dạng văn bản thường | Đăng nhập ngay trên trang đó và thử cặp thông tin ấy ở các trang khác | Đổi nó ở mọi nơi từng dùng, ngay hôm nay |
| Mật khẩu đã băm | Thử bẻ khóa ngoại tuyến; mật khẩu yếu và phổ biến bị phá trước tiên | Coi như đó là mật khẩu dạng văn bản thường |
| Tên, số điện thoại, địa chỉ nhà | Viết tin nhắn thuyết phục, gọi điện lừa đảo, thử hoán đổi SIM | Thêm mã PIN hoặc khóa chuyển mạng ở nhà mạng; cẩn thận với cuộc gọi và tin nhắn bất ngờ |
| Ngày sinh, câu trả lời bảo mật | Lạm dụng quy trình khôi phục tài khoản, vượt qua các bước kiểm tra danh tính yếu | Thay câu trả lời bảo mật bằng chuỗi ngẫu nhiên lưu trong trình quản lý mật khẩu |
| Một phần dữ liệu thẻ | Tăng độ tin cậy cho các màn lừa đảo (“chúng tôi thấy thẻ của bạn đuôi 1234”) | Theo dõi sao kê; người gọi biết những chữ số đó chưa chứng minh được điều gì |
| Số thẻ đầy đủ | Thử mua hàng gian lận | Gọi ngân hàng phát hành theo số in trên thẻ và yêu cầu cấp thẻ mới |
| Số giấy tờ tùy thân do nhà nước cấp | Thử mạo danh để gian lận | Làm theo hướng dẫn của cơ quan chức năng nước bạn; xem phần về dữ liệu danh tính bên dưới |
| Địa chỉ IP, thông tin thiết bị | Đoán vị trí gần đúng của bạn, điều chỉnh màn lừa đảo cho hợp | Gần như không có gì để làm trực tiếp |
| Tin nhắn hoặc tệp riêng tư | Tống tiền hoặc làm bạn xấu hổ, làm lộ dữ liệu của người khác | Xác định trong đó có gì và ai khác bị ảnh hưởng; báo công an nếu bị tống tiền |
Xin nói thêm về chữ “đã băm”, vì các công ty hay dùng nó để trấn an. Băm là cách xáo trộn một chiều mật khẩu của bạn, và mức bảo vệ nó mang lại phụ thuộc vào phương pháp. Các thuật toán chậm, có muối như bcrypt hoặc Argon2 khiến việc đoán trở nên tốn kém, nên một mật khẩu dài và ngẫu nhiên lưu theo cách đó có thể không bao giờ bị khôi phục. Các hàm băm nhanh như MD5 hoặc SHA-1 không có muối có thể bị tấn công với tốc độ khổng lồ, và mật khẩu ngắn hoặc phổ biến thì bị phá nhanh với bất kỳ phương pháp nào. Thông báo hiếm khi cho đủ thông tin để bạn đánh giá, nên dù sao cũng hãy đổi mật khẩu.
Một địa chỉ bị lộ đơn độc có thể gây ra điều gì
“Chỉ địa chỉ email của bạn bị ảnh hưởng” nghe như tin tốt, và so với rò rỉ mật khẩu thì đúng là vậy. Địa chỉ không phải bí mật, và không ai đăng nhập được vào tài khoản của bạn chỉ bằng nó. Dù vậy, nó vẫn thay đổi vị thế của bạn theo vài cách đáng hiểu.
Một địa chỉ từ dịch vụ có thật được biết là của người hay đăng ký đủ thứ, nên nó giá trị với kẻ gửi thư rác hơn một địa chỉ đoán mò. Các danh sách bị gộp lại và bán đi bán lại, nên thư rác tăng lên có thể bắt đầu vài tháng sau sự cố và không có mối liên hệ rõ ràng nào với nó.
Vụ rò rỉ cũng cho tội phạm biết bạn có tài khoản ở đâu. Một thư chung chung kiểu “đơn hàng của bạn có vấn đề” thì dễ bỏ qua. Nhưng một thư nêu đúng cửa hàng bạn thật sự mua, gọi bạn bằng đúng cái tên trong cùng vụ rò rỉ, và đến đúng lúc cửa hàng đó đang lên báo thì khó nhận ra hơn nhiều. Đây là lý do thực tế chính để bạn tiếp tục cảnh giác vài tuần sau khi nhận thông báo.
Địa chỉ của bạn còn đóng vai trò khóa để ghép dữ liệu. Giả sử một vụ rò rỉ gắn nó với tên người dùng game, một vụ khác với số điện thoại và vụ thứ ba với thành phố nơi bạn ở. Ai nắm cả ba có thể xếp chúng lại theo địa chỉ chung và dựng nên một hồ sơ mà chưa từng có ai trao cho họ trọn vẹn. Việc dùng cùng một địa chỉ ở mọi nơi là thứ khiến điều đó khả thi, và cũng là phần bạn có thể thay đổi.
Và địa chỉ là một nửa của hầu hết các lần đăng nhập, dẫn tới kiểu tấn công khiến các vụ rò rỉ trở nên tốn kém.
Một vụ rò rỉ trở thành nhiều vụ như thế nào
Công ty bị rò rỉ thường không phải nơi thiệt hại xảy ra. Credential stuffing là việc thử tự động các cặp email và mật khẩu bị lộ trên những dịch vụ khác. Các cặp thông tin từ nhiều vụ rò rỉ được gom thành những “combo list” lớn, và các công cụ chạy chúng trên nhà cung cấp email, cửa hàng, dịch vụ phát video, nền tảng game và kho lưu trữ đám mây. Phần lớn lần thử thất bại. Nhưng đủ số lần thành công để có lời, vì một lần trúng có thể dùng để mua hàng bằng thẻ đã lưu, rút hết điểm tích lũy, gửi thư rác từ một tài khoản đáng tin, hoặc bắt đầu đặt lại mật khẩu cho các dịch vụ liên kết.
Tất cả đều dựa vào việc dùng lại mật khẩu. Ví dụ, một người dùng Harbour2019! trên trang bán vé, trên một cửa hàng và trên email. Vụ rò rỉ của trang bán vé làm lộ một mật khẩu và ba tài khoản. Nếu mỗi trang có một mật khẩu ngẫu nhiên riêng, cùng vụ rò rỉ đó chỉ làm lộ một tài khoản mà người ấy hầu như không dùng. Những thay đổi nhỏ không giúp được nhiều, vì công cụ của kẻ tấn công thử các biến thể hiển nhiên: đổi năm, thêm một chữ số, đổi dấu chấm than.
Password spraying là hình ảnh phản chiếu của cách trên. Thay vì thử một mật khẩu đã biết cho mỗi người, kẻ tấn công thử vài mật khẩu rất phổ biến trên một danh sách dài các địa chỉ hợp lệ. Mật khẩu của bạn không cần bị lộ thì cách này vẫn hiệu quả. Nó chỉ cần phổ biến, còn vụ rò rỉ cung cấp địa chỉ.
Một nguồn mật khẩu bị đánh cắp khác đáng nhắc tới vì nó thay đổi lời khuyên. Phần mềm độc hại gọi là infostealer sao chép mật khẩu đã lưu và cookie đăng nhập thẳng từ thiết bị bị nhiễm, và các bản ghi bị đánh cắp đó lưu hành giống như dữ liệu rò rỉ. Nếu một mật khẩu bạn chưa từng dùng lại lại xuất hiện là đã bị lộ, hoặc một tài khoản bị chiếm dù mật khẩu mạnh và không có vụ rò rỉ nào được biết, nguồn có thể là thiết bị của bạn. Hãy quét nó bằng phần mềm bảo mật uy tín và đổi mật khẩu từ một thiết bị sạch, vì đổi mật khẩu trên máy đã nhiễm có thể trao luôn mật khẩu mới cho kẻ xấu.
Kiểm tra mức độ bị lộ của chính bạn
Một thông báo chỉ nói về một công ty. Để thấy bức tranh rộng hơn, hãy dùng nhiều hơn một nguồn, vì không cơ sở dữ liệu nào bao quát mọi sự cố.
Have I Been Pwned (haveibeenpwned.com), do nhà nghiên cứu bảo mật Troy Hunt điều hành, là công cụ tra cứu nổi tiếng nhất. Nhập một địa chỉ và nó liệt kê các vụ rò rỉ đã biết có chứa địa chỉ đó, kèm ngày tháng và loại dữ liệu. Tính năng thông báo của nó sẽ gửi email khi địa chỉ của bạn xuất hiện trong một vụ rò rỉ mới được nạp, nên đáng thiết lập một lần rồi quên đi. Một số vụ rò rỉ được coi là nhạy cảm bị ẩn khỏi tìm kiếm công khai và chỉ hiện sau khi bạn chứng minh mình sở hữu địa chỉ. Mozilla Monitor có chức năng tra cứu và cảnh báo tương tự, dùng dữ liệu của Have I Been Pwned, và cần tài khoản Mozilla để nhận cảnh báo liên tục.
Kết quả trống không có nghĩa là bạn an toàn. Nhiều vụ rò rỉ không bao giờ bị phát hiện hoặc không bao giờ đến được các dịch vụ này. Danh sách dài cũng không có nghĩa là bạn đang gặp rắc rối, vì các mục cũ thường liên quan đến mật khẩu bạn đã đổi từ lâu. Hãy nhìn ngày tháng và loại dữ liệu, rồi xử lý những gì vẫn có thể đang được dùng.
Tra cứu email chỉ cần địa chỉ của bạn. Mật khẩu thì cần cẩn thận hơn. Trình quản lý mật khẩu của Google có Kiểm tra mật khẩu (Password Checkup), ứng dụng Mật khẩu trên thiết bị Apple có phần Bảo mật đánh dấu mật khẩu bị xâm phạm và bị dùng lại, và các trình quản lý bên thứ ba có báo cáo tương tự, như Watchtower trong 1Password và báo cáo mật khẩu bị lộ trong Bitwarden. Các công cụ này chạy trên danh sách bạn đã lưu, cũng là cách nhanh nhất để tìm nơi một mật khẩu bị dùng lại.
Tính năng Pwned Passwords cho thấy một lần kiểm tra có thể tránh làm lộ mật khẩu như thế nào. Thiết bị của bạn tính mã băm SHA-1 của mật khẩu và chỉ gửi năm ký tự đầu. Dịch vụ trả về mọi mã băm bị lộ bắt đầu bằng các ký tự đó, và thiết bị của bạn so sánh phần còn lại ngay trên máy. Dịch vụ không bao giờ nhận được mật khẩu, thậm chí không nhận được mã băm đầy đủ của nó, một phương pháp gọi là k-anonymity.
Đừng bao giờ gõ mật khẩu vào một trang web ngẫu nhiên tự nhận cho biết mật khẩu đó có bị hack hay chưa. Các công cụ tích hợp trong trình quản lý mật khẩu hoặc trình duyệt thì dùng được. Một trang kiểm tra mà bạn tìm tới từ một email hoặc quảng cáo có thể chỉ đang thu thập mật khẩu.
Bạn cũng có thể học được nhiều điều từ chính thư của mình. Hãy tìm trong hộp thư các từ “welcome”, “verify your email”, “confirm your account” và “your password has been changed”. Kết quả là một danh sách sơ bộ các dịch vụ đang giữ địa chỉ của bạn, trong đó có những cái bạn đã quên. Danh sách ấy sẽ hữu ích ở phần dọn dẹp bên dưới.
Kiểm tra hộp thư cho đàng hoàng
Đổi mật khẩu là chưa đủ nếu ai đó đã vào bên trong. Kẻ xâm nhập hộp thư thường cài sẵn thứ gì đó tồn tại lâu hơn lần đổi mật khẩu, nên hãy tìm bốn thứ: phiên đang mở, chuyển tiếp, bộ lọc và thông tin khôi phục. Tên menu thay đổi theo thời gian, nhưng các đường dẫn sau đây sẽ đưa bạn đến gần đúng chỗ.
Gmail và tài khoản Google
Trong Gmail trên web, bấm biểu tượng bánh răng, rồi chọn Xem tất cả chế độ cài đặt. Kiểm tra Chuyển tiếp và POP/IMAP xem có địa chỉ chuyển tiếp nào bạn không thêm không, và Bộ lọc và địa chỉ bị chặn xem có quy tắc nào xóa hoặc chuyển tiếp thư không. Ở góc dưới bên phải hộp thư đến, liên kết Chi tiết dưới dòng hoạt động tài khoản gần nhất cho thấy các lần truy cập gần đây. Trong Tài khoản Google, trang Bảo mật liệt kê thiết bị của bạn, hoạt động bảo mật gần đây, số điện thoại và email khôi phục, cùng các kết nối bên thứ ba. Hãy đăng xuất mọi thiết bị và gỡ mọi ứng dụng mà bạn không nhận ra.
Outlook.com và tài khoản Microsoft
Trong Outlook trên web, mở Cài đặt, rồi Thư. Kiểm tra Chuyển tiếp và Quy tắc. Ở tài khoản Microsoft của bạn, vào Bảo mật để xem lại hoạt động đăng nhập, và kiểm tra những phương thức xác minh và ứng dụng nào đang được kết nối.
Apple và iCloud Mail
Trên iPhone, mở Cài đặt, chạm vào tên của bạn, rồi chọn Đăng nhập và bảo mật để xem lại các số điện thoại tin cậy và tùy chọn khôi phục. Danh sách thiết bị ở phía dưới cho thấy mọi thứ đang đăng nhập vào Tài khoản Apple của bạn. Quy tắc thư và chuyển tiếp của iCloud Mail có thể kiểm tra từ phần cài đặt Mail trên iCloud.com.
Hộp thư bị can thiệp trông như thế nào
Một địa chỉ chuyển tiếp mà bạn không thêm là dấu hiệu rõ nhất, vì nó âm thầm gửi bản sao thư của bạn, kể cả thư đặt lại mật khẩu, cho người khác. Sát ngay sau là một bộ lọc đưa thư chứa các từ như “security”, “password” hoặc tên ngân hàng của bạn thẳng vào thùng rác hoặc kho lưu trữ. Thư đã gửi lạ, số điện thoại khôi phục không quen, hoặc một ứng dụng được kết nối mà bạn chưa bao giờ cho phép đều chỉ cùng một hướng.
Nếu bạn thấy bất kỳ điều nào trong số này, hãy coi hộp thư đã bị xâm phạm. Gỡ mục đó, đổi lại mật khẩu từ một thiết bị bạn tin cậy, đăng xuất mọi phiên, rồi xem lại chính các thư. Tìm những thư đặt lại mật khẩu mà bạn không yêu cầu, vì chúng cho thấy những tài khoản khác nào đã bị nhắm tới. Quy trình khôi phục tài khoản của nhà cung cấp là con đường đúng nếu bạn bị khóa ngoài, và bạn nên đến đó qua các trang trợ giúp chính thức của họ. Kết quả tìm kiếm cho “số điện thoại hỗ trợ email” là nơi kẻ lừa đảo săn mồi quen thuộc.
Chọn yếu tố xác thực thứ hai
Xác thực hai yếu tố chặn được phần lớn credential stuffing, vì mật khẩu bị lộ một mình không còn đưa ai vào được. Tuy nhiên các phương pháp khác nhau rất nhiều, và sau một vụ rò rỉ, nên đưa các tài khoản quan trọng lên cao hơn trong bảng này nếu có thể.
| Phương pháp | Độ bền | Điểm yếu |
|---|---|---|
| Mã qua tin nhắn SMS | Tốt hơn nhiều so với chỉ có mật khẩu | Hoán đổi SIM; mã có thể bị gõ vào một trang giả rồi chuyển tiếp đi |
| Mã gửi qua email | Yếu với những tài khoản quan trọng nhất của bạn | Vô dụng nếu chính hộp thư bị xâm phạm, và vô nghĩa với lần đăng nhập vào chính hộp thư đó |
| Ứng dụng xác thực (TOTP) | Tốt, và không phụ thuộc vào số điện thoại của bạn | Mã vẫn có thể bị lừa lấy trên một trang đăng nhập giả đủ thuyết phục; hãy giữ bản sao lưu cho lúc đổi điện thoại |
| Phê duyệt đẩy (push) | Tốt khi nó yêu cầu bạn khớp một con số | Không có việc khớp số, các lời nhắc lặp đi lặp lại có thể làm người ta mệt mỏi mà bấm Chấp thuận |
| Passkey hoặc khóa bảo mật phần cứng | Lựa chọn mạnh nhất cho hầu hết mọi người | Cần một chút thiết lập và một khóa thứ hai hoặc thiết bị đồng bộ để dự phòng; không phải nơi nào cũng hỗ trợ |
Passkey đáng được chú ý thêm trong bối cảnh này. Passkey là một thông tin xác thực dựa trên mật mã khóa công khai và gắn với tên miền của một trang web. Trang chỉ lưu nửa công khai, nên bảng người dùng bị đánh cắp không chứa thứ gì có thể dùng để đăng nhập thay bạn. Một trang lừa đảo giả mạo cũng không lấy được gì, vì thiết bị của bạn sẽ không đưa thông tin xác thực cho tên miền sai. Nếu nhà cung cấp email và ngân hàng của bạn hỗ trợ passkey, một thông báo rò rỉ là lúc hợp lý để thiết lập. Dù dùng phương pháp nào, hãy lưu mã khôi phục khi được cung cấp, trong trình quản lý mật khẩu hoặc trên giấy ở nơi an toàn trong nhà.
Khi dữ liệu thanh toán hoặc danh tính bị liên quan
Một vụ rò rỉ chỉ có email và mật khẩu không cần đến những việc này. Nếu danh sách có số thẻ đầy đủ, thông tin ngân hàng hoặc số giấy tờ tùy thân do nhà nước cấp, các bước tiếp theo phụ thuộc vào nơi bạn sống và vào những gì công ty cung cấp.
Với thẻ, hãy gọi ngân hàng phát hành theo số in trên thẻ và hỏi xem có nên đổi thẻ không. Kiểm tra các sao kê gần đây để tìm những khoản trừ thử nhỏ, thường xuất hiện trước các khoản lớn hơn. Nếu công ty tặng dịch vụ giám sát danh tính miễn phí, bạn có thể đăng ký qua trang chính thức của công ty, và cần biết rằng giám sát chỉ báo vấn đề sau khi nó đã bắt đầu.
Ở Hoa Kỳ, đóng băng tín dụng (credit freeze) là công cụ miễn phí mạnh nhất. Luật liên bang cho phép đóng băng và gỡ băng hồ sơ của bạn miễn phí tại từng văn phòng trong ba văn phòng tín dụng toàn quốc (Equifax, Experian và TransUnion), và việc đóng băng nhìn chung ngăn việc mở tín dụng mới đứng tên bạn cho đến khi bạn gỡ. Bạn cần liên hệ từng văn phòng riêng. Cảnh báo gian lận (fraud alert) là lựa chọn nhẹ hơn, yêu cầu bên cho vay xác minh danh tính của bạn, kéo dài một năm, và đặt ở một văn phòng thì sẽ được chuyển cho các văn phòng còn lại. Nếu danh tính của bạn đã bị lạm dụng, trang IdentityTheft.gov của FTC tạo ra một kế hoạch khắc phục và một báo cáo bạn có thể dùng với ngân hàng và các văn phòng tín dụng.
Ở nơi khác, các lựa chọn khác đi. Ở Vương quốc Anh, bạn có thể kiểm tra hồ sơ của mình với các cơ quan tham chiếu tín dụng và hỏi ngân hàng xem họ khuyên gì, còn dịch vụ đăng ký bảo vệ có phí được cung cấp bởi cơ quan phòng chống gian lận Cifas. Ở Liên minh châu Âu và nhiều quốc gia khác, hãy liên hệ ngân hàng của bạn và xem hướng dẫn của cơ quan bảo vệ người tiêu dùng hoặc bảo vệ dữ liệu quốc gia. Nếu bản quét hộ chiếu hoặc căn cước quốc gia bị lấy, cơ quan cấp giấy tờ có thể cho bạn biết việc đổi giấy mới có phù hợp không.
Số điện thoại bị lộ có cách xử lý riêng. Hãy xin nhà mạng một mã PIN tài khoản, mã PIN chuyển mạng hoặc khóa số, tùy tên gọi của họ. Những thứ này khiến gian lận hoán đổi SIM khó hơn, tức là kẻ tấn công thuyết phục nhà mạng chuyển số của bạn sang SIM của chúng rồi nhận mã tin nhắn của bạn. Mỗi nhà mạng cung cấp một khác, nên hãy hỏi trực tiếp.
Những tình huống khó xử
Rò rỉ ở một trang bạn chưa từng dùng
Có nhiều cách giải thích. Ai đó có thể đã gõ nhầm địa chỉ của bạn hoặc cố tình dùng nó, dữ liệu có thể đến từ một nhà cung cấp làm việc cho công ty được nêu tên, vụ rò rỉ có thể là danh sách thu thập hoặc gộp lại, hoặc đơn giản là bạn đã quên một tài khoản từ nhiều năm trước. Để biết, hãy dùng chức năng “quên mật khẩu” trên trang chính thức. Nếu có thư đặt lại gửi đến, nghĩa là có tài khoản, và bạn có thể bảo vệ hoặc đóng nó. Nếu bạn không tạo nó, hãy liên hệ công ty, vì dữ liệu của người khác có thể đang gắn với địa chỉ của bạn.
Mật khẩu cũ bạn không còn dùng
Đó là tin tốt, miễn là “không còn dùng” đúng ở mọi nơi. Các tài khoản bị quên thường giữ mật khẩu cũ, và bất kỳ mật khẩu mới nào xây theo cùng khuôn mẫu cũng cần được đổi. Nếu có trình quản lý mật khẩu, hãy tìm mật khẩu đó trong đó.
Email tống tiền trích dẫn mật khẩu của bạn
Chiêu lừa này khá phổ biến, và lần đầu gặp thì rất đáng sợ. Người gửi trích dẫn một mật khẩu cũ có thật của bạn làm bằng chứng, tuyên bố đã quay lại bạn qua webcam và đòi tiền mã hóa. Trong trường hợp thường gặp, mật khẩu đến từ một danh sách rò rỉ và không có bản ghi hình nào. Đừng trả tiền và đừng trả lời. Đổi mật khẩu đó ở mọi nơi bạn còn dùng, báo cáo thư và chặn người gửi. Nếu thư chứa tư liệu riêng tư thật hoặc một lời đe dọa bạn thấy nghiêm trọng, hãy giữ một bản sao và liên hệ công an.
Địa chỉ cơ quan của bạn nằm trong vụ rò rỉ
Hãy báo cho bộ phận CNTT hoặc bảo mật của bạn, dù chuyện có vẻ nhỏ. Họ có thể muốn kiểm tra việc dùng lại mật khẩu với hệ thống công ty, đặt lại thông tin đăng nhập hoặc theo dõi thư lừa đảo nhắm đích. Hãy xem chính sách của nơi làm việc trước khi đăng ký dịch vụ giám sát bằng địa chỉ cơ quan, và từ nay giữ các tài khoản cá nhân ở địa chỉ cá nhân.
Cha mẹ hoặc người thân nhận được thông báo
Hãy làm cùng thứ tự với họ, tập trung vào hộp thư chính và các mật khẩu bị dùng lại. Người lớn tuổi thường là mục tiêu của những cuộc gọi tiếp theo nhắc đến vụ rò rỉ, nên một quy tắc hữu ích để thống nhất là không công ty thật nào bảo họ đọc to một mã. Nếu người gọi nói khác, họ có thể cúp máy và gọi lại theo số trên thẻ ngân hàng hoặc sao kê.
Thư về thỏa thuận hoặc bồi thường
Sau các vụ rò rỉ lớn, bạn có thể nhận thư về vụ kiện tập thể hoặc chương trình bồi thường. Một số là thật, một số là hàng nhái được dựng để thu thập thông tin ngân hàng. Hãy kiểm tra thỏa thuận trên trang chính thức của tòa án, cơ quan quản lý hoặc công ty trước khi điền bất cứ thứ gì. Đừng trả phí để nhận bồi thường.
Trong những tuần tiếp theo
Khi phần khẩn cấp qua đi, một vụ rò rỉ là lý do tốt để sửa những gì khiến nó nguy hiểm. Không việc nào trong đây cần làm hết trong một lần ngồi.
Hãy bắt đầu với một trình quản lý mật khẩu, nếu bạn chưa dùng. Nó tạo mật khẩu ngẫu nhiên cho từng trang, và sẽ từ chối điền trên tên miền giả mạo, nên cũng cho bạn chút bảo vệ trước lừa đảo. Chọn một sản phẩm có tiếng, bảo vệ nó bằng một cụm mật khẩu dài và một yếu tố thứ hai, và chuyển những tài khoản quan trọng nhất trước. Phần còn lại có thể theo sau mỗi khi bạn đăng nhập. Hướng dẫn về danh tính số của NIST khuyên không nên ép đổi mật khẩu định kỳ chỉ vì thói quen, mà nên kiểm tra mật khẩu với các danh sách đã rò rỉ, nên bạn không cần đổi mọi thứ theo lịch. Hãy đổi những gì bị lộ, yếu hoặc bị dùng lại.
Sau đó hãy xem lại danh sách các tài khoản bị quên từ lần tìm trong hộp thư. Mỗi tài khoản bỏ không là dữ liệu đang chờ vụ sự cố tiếp theo. Đăng nhập, xóa bớt những gì có thể khỏi hồ sơ, xóa thẻ đã lưu và đóng tài khoản. Nếu không có nút xóa, hãy viết cho địa chỉ liên hệ về quyền riêng tư trong chính sách quyền riêng tư của trang. Theo GDPR và một số luật khác, kể cả luật của California, nhiều người có quyền yêu cầu xóa, dù công ty có thể giữ những hồ sơ mà họ buộc phải lưu, và các quyền này phụ thuộc vào nơi bạn sống.
Câu hỏi bảo mật là bước kế tiếp. “Họ của mẹ trước khi kết hôn” và “trường đầu tiên” thường tìm ra được từ dữ liệu rò rỉ hoặc mạng xã hội. Khi một trang buộc bạn dùng chúng, hãy đưa ra câu trả lời ngẫu nhiên và lưu trong trình quản lý mật khẩu như một mật khẩu.
Cuối cùng, hãy tiếp tục chú ý một thời gian. Dữ liệu bị lộ vẫn lưu hành nhiều năm, và thư lừa đảo nhắm đích thường đến rất lâu sau khi tin tức đã lắng. Hãy để bật cảnh báo rò rỉ, xem báo cáo của trình quản lý mật khẩu vài tháng một lần, và đừng vội tin bất kỳ thư nào nhắc đến dịch vụ bị rò rỉ.
Làm cho vụ rò rỉ sau nhỏ hơn
Bạn không kiểm soát được bảo mật của một công ty. Bạn kiểm soát được việc họ giữ bao nhiêu thông tin của bạn và một vụ rò rỉ từ bản ghi đó có thể lan xa đến đâu. Mục tiêu là mỗi thông báo sau này chỉ có nghĩa là một lần kiểm tra mật khẩu nhanh và không hơn.
Chia địa chỉ theo mức độ tin cậy
Thay đổi hữu ích nhất là thôi đưa một địa chỉ cho tất cả mọi người. Một cách thiết lập ba cấp đơn giản đủ cho hầu hết mọi người, và bài của chúng tôi về xây dựng chiến lược email cá nhân hướng dẫn từng bước.
| Cấp | Dùng cho | Loại địa chỉ | Một vụ rò rỉ gây thiệt hại gì |
|---|---|---|---|
| Chính | Ngân hàng, cơ quan nhà nước, y tế, công việc, trình quản lý mật khẩu, các tài khoản mạng xã hội chính | Địa chỉ dùng lâu dài với bảo vệ đăng nhập mạnh, hiếm khi chia sẻ | Nghiêm trọng, nhưng cấp này hiếm khi bị lộ vì ít công ty nắm giữ nó |
| Hằng ngày | Cửa hàng, gói đăng ký, dịch vụ bạn giữ nhiều năm | Hộp thư thứ hai, hoặc các bí danh chuyển tiếp về hộp thư của bạn | Được kiểm soát; bạn có thể tắt một bí danh hoặc lọc nó |
| Dùng một lần | Một lần tải xuống, một biểu mẫu bạn sẽ không dùng lại, kiểm thử trang đăng ký của chính bạn | Hộp thư tạm thời, nếu điều khoản của trang cho phép | Nhỏ; địa chỉ không gắn với tên bạn và hộp thư đã biến mất |
Địa chỉ cộng (plus addressing), như name+shop@example.com, nằm đâu đó ở giữa. Nó dùng được trên Gmail và Outlook.com và cho bạn biết ai đã làm lộ hoặc bán địa chỉ của bạn. Nó không giấu được gì, vì ai cũng có thể xóa phần thẻ và thấy địa chỉ gốc, và công cụ của kẻ tấn công làm đúng việc đó. Bí danh chuyển tiếp, như của iCloud+, Proton hay Firefox Relay, giấu địa chỉ thật đúng nghĩa, vì không có gì trong bí danh trỏ ngược về nó. Mua sắm đáng được cân nhắc riêng ở đây, vì cơ sở dữ liệu cửa hàng giữ địa chỉ email, số điện thoại và địa chỉ nhà cùng nhau. Hướng dẫn về quyền riêng tư email khi mua sắm của chúng tôi bàn về trường hợp đó, kể cả cách giữ biên lai.
Hộp thư tạm thời giúp ích ở đâu
Hộp thư tạm thời phù hợp với một hành động đơn lẻ trên trang mà bạn không có quan hệ lâu dài, vì quyền riêng tư, và khi điều khoản của trang cho phép. VookMail là một dịch vụ như vậy: địa chỉ có sẵn ngay khi trang tải xong, không cần đăng ký hay mật khẩu. Bạn có thể bấm Mới để gõ tên người dùng và chọn một trong hơn 30 tên miền, hoặc bấm nút Ngẫu nhiên màu vàng để có địa chỉ ngẫu nhiên. Thư, tệp đính kèm và địa chỉ bị xóa sau khoảng một ngày.
Vòng đời ngắn đó là thứ giới hạn một vụ rò rỉ trong tương lai. Nếu một trang bạn chỉ ghé một lần sau này làm lộ bảng người dùng, địa chỉ trong bảng đó dẫn tới một hộp thư không còn chứa gì và không có liên kết nào tới tên, điện thoại hay hộp thư chính của bạn. Mọi mật khẩu bạn tạo ở đó vẫn quan trọng, nên hãy đặt mật khẩu riêng. Thông tin bạn điền vào hồ sơ cũng bị lộ, là lý do tốt để chỉ điền những gì biểu mẫu bắt buộc.
Giới hạn cũng rõ ràng không kém. Ai biết hoặc đoán được một địa chỉ tạm thời đều có thể mở hộp thư đó, nên địa chỉ ngẫu nhiên là lựa chọn an toàn hơn và không nên để gì riêng tư ở đó. Bạn không thể chắc chắn nhận được thư đặt lại mật khẩu vài tuần sau, nên nó là công cụ sai cho bất kỳ tài khoản nào bạn có thể cần lại, và tuyệt đối không dùng cho ngân hàng, cơ quan nhà nước, y tế, công việc hoặc các tài khoản mạng xã hội chính. Một số trang từ chối tên miền dùng một lần. Đó là quyết định của họ, và cách đáp lại đúng là tôn trọng nó và đưa cho họ một địa chỉ hoặc bí danh lâu dài. Điều khoản và điều kiện của chúng tôi cũng cấm dùng dịch vụ cho gian lận, lạm dụng hoặc vượt qua lệnh cấm.
Ngay từ đầu hãy đưa ít hơn
Thiệt hại phụ thuộc vào những gì đã được lưu. Hãy để trống các trường không bắt buộc. Đừng lưu thẻ trên trang bạn ít dùng. Cẩn thận với các nút “Đăng nhập bằng” trên dịch vụ bạn chưa hoàn toàn tin, và xem quyền truy cập hồ sơ mà chúng yêu cầu. Từ chối đưa số điện thoại trừ khi trang thực sự cần nó cho bảo mật. Ngày sinh mà một trang chỉ muốn để tặng phiếu giảm giá sinh nhật là dữ liệu bạn hoàn toàn có thể giữ cho riêng mình, nếu biểu mẫu cho phép.
Hai nơi khác nhau giữ dữ liệu của bạn
Nên tách hai loại sự cố thường bị gộp chung. Khi một dịch vụ bị rò rỉ, kẻ tấn công có được những gì dịch vụ đó lưu: địa chỉ, hồ sơ và mọi thứ khác trong cơ sở dữ liệu của nó. Khi hộp thư của bạn bị xâm phạm, kẻ tấn công có một thứ khác, đó là mọi thư bạn đã giữ, gồm biên lai cũ, liên kết đặt lại mật khẩu, tài liệu quét và các cuộc trò chuyện riêng tư.
Trường hợp thứ hai thường tệ hơn, và đó là lý do bài này cứ đưa bạn quay lại hộp thư. Nó cũng gợi ý một thói quen khiêm tốn: bạn không cần mười năm thư ít giá trị nằm trong tài khoản chính. Xóa các thông báo giao hàng và bản tin cũ làm giảm những gì một vụ xâm phạm hộp thư có thể phơi bày, và lưu tài liệu quan trọng ở nơi an toàn, có bảo vệ riêng, tốn rất ít công.
Hộp thư tạm thời nằm ở đầu xa nhất của ý tưởng đó. Trên VookMail, bản ghi MX của mỗi tên miền trỏ tới một nhà cung cấp dịch vụ chuyển thư, nơi nhận thư qua SMTP và chuyển nó cho dịch vụ qua HTTPS. Vì thư và tệp đính kèm bị xóa sau khoảng một ngày, không có kho lưu trữ dài nào hình thành. Cách dịch vụ xử lý dữ liệu được giải thích trong chính sách quyền riêng tư và trên trang phương pháp.
Vụ rò rỉ xảy ra như thế nào, và vì sao điều đó quan trọng với bạn
Các công ty không phải lúc nào cũng giải thích nguyên nhân chi tiết, nhưng khi họ làm vậy, điều đó có thể cho bạn biết nên chờ đợi gì.
- Xâm phạm cơ sở dữ liệu, qua một lỗ hổng như SQL injection hoặc máy chủ chưa vá, thường nghĩa là bảng người dùng bị sao chép hàng loạt. Hãy chờ đợi địa chỉ và mã băm mật khẩu bị lộ, và cứ cho rằng dữ liệu sẽ bị mua bán.
- Lưu trữ cấu hình sai nghĩa là một cơ sở dữ liệu hoặc kho đám mây bị để mở ra internet. Có thể chẳng ai “hack” gì cả, và công ty có thể không biết ai đã tải về, nên câu trả lời trung thực cho “dữ liệu của tôi có bị lấy không?” có thể là “chúng tôi không thể biết”.
- Sự cố nhà cung cấp nghĩa là một nền tảng tiếp thị, bộ phận hỗ trợ hoặc công cụ phân tích bị xâm phạm. Điều này giải thích các thông báo từ những cái tên bạn không biết, và nó thường làm lộ dữ liệu liên hệ cùng phiếu hỗ trợ hơn là mật khẩu. Mọi thứ bạn viết trong một phiếu hỗ trợ có thể nằm trong đó, nên hãy nhớ lại bạn đã gửi gì cho họ.
- Thu thập dữ liệu (scraping) gom dữ liệu hồ sơ công khai hoặc bán công khai ở quy mô lớn qua một trang web hoặc API. Các công ty đôi khi lập luận đây không phải rò rỉ, nhưng địa chỉ của bạn vẫn kết thúc trong một bộ dữ liệu bị mua bán.
- Lạm dụng từ bên trong nghĩa là một nhân viên hoặc nhà thầu xuất dữ liệu mà họ không được phép. Việc này thường nhắm đích, nên các tin nhắn tiếp theo bất thường và mang tính cá nhân đáng bị nghi ngờ hơn.
Những sai lầm dễ mắc khi bị áp lực
Phổ biến nhất là chỉ đổi mật khẩu của trang bị rò rỉ rồi để nguyên mật khẩu đó trên email và các tài khoản cửa hàng. Gần ngay sau là một biến thể nhỏ của mật khẩu cũ. Chuyển từ Summer2024! sang Summer2025! hầu như không tốn thêm công sức nào của một công cụ bẻ khóa.
Người ta cũng hay dừng lại sau một thay đổi. Họ bỏ qua các quy tắc chuyển tiếp, vốn là cách để kẻ đã vào trước lúc đổi mật khẩu tiếp tục nhận thư sau đó. Dựa vào mã SMS khi đã có ứng dụng xác thực hoặc passkey để dùng cũng để hở một lỗ trên các tài khoản quan trọng, dù SMS vẫn tốt hơn không có gì khi nó là lựa chọn duy nhất.
Rồi còn sai lầm ngược lại: coi mọi thông báo là một tình huống khẩn cấp. Nếu chỉ địa chỉ của bạn bị lộ từ một tài khoản bạn có thể đóng ngay, bạn không cần thay địa chỉ email, và cũng không cần trả tiền cho một sản phẩm giám sát chỉ vì một quảng cáo đáng sợ xuất hiện. Hãy dành sức cho những trường hợp có mật khẩu, thẻ hoặc số định danh liên quan.
Những câu hỏi thường gặp sau khi nhận thông báo
Tôi có nên xóa tài khoản email của mình không?
Thường là không. Địa chỉ chính của bạn gắn với nhiều năm đặt lại mật khẩu và danh bạ, và bỏ nó tạo ra rủi ro riêng, vì một tài khoản bị quên có thể khó khôi phục. Hãy bảo vệ nó, và thôi đưa nó cho các trang ít đáng tin. Địa chỉ mới chỉ hợp lý nếu địa chỉ cũ đã bị lộ không cứu vãn được, và khi đó bạn nên chuyển dần các tài khoản và giữ địa chỉ cũ mở thêm một thời gian.
Công ty nói mật khẩu đã được mã hóa. Tôi vẫn cần đổi mật khẩu chứ?
Có. Nếu không biết phương pháp và liệu khóa có bị lấy theo không, bạn không thể đánh giá mức bảo vệ, và đổi mật khẩu mất ít thời gian hơn tìm hiểu. Hãy đổi cả ở những nơi khác bạn từng dùng nó.
Địa chỉ tạm thời có ngăn được rò rỉ không?
Không công cụ nào ngăn được việc một công ty bị rò rỉ. Địa chỉ tạm thời thay đổi những gì vụ rò rỉ tiết lộ về bạn. Nếu một diễn đàn bạn tham gia theo cách đó bị lộ bảng người dùng, địa chỉ bị lộ không có liên hệ nào với danh tính của bạn, miễn là bạn không nhập gì khác có thể nhận dạng.
Tôi nên kiểm tra thường xuyên đến mức nào?
Hãy bật cảnh báo để việc kiểm tra tự diễn ra mà không cần bạn. Xem báo cáo của trình quản lý mật khẩu vài tháng một lần là đủ, cộng thêm một lần nữa khi một dịch vụ bạn dùng lên báo.
Trả tiền cho dịch vụ giám sát dark web có ích không?
Tùy bạn đang mua gì. Các sản phẩm này chủ yếu báo rằng dữ liệu của bạn đã xuất hiện đâu đó, điều bạn có thể biết phần lớn miễn phí từ các dịch vụ tra cứu nêu trên. Bảo hiểm danh tính hoặc hỗ trợ khắc phục có thể có chút ích nếu dữ liệu giấy tờ tùy thân của bạn bị lộ, nên hãy đọc kỹ gói thực sự bao gồm gì trước khi trả tiền.
Tôi nên báo chuyện này cho ai?
Thông thường bạn không cần báo vụ rò rỉ của công ty, vì công ty có nghĩa vụ riêng với các cơ quan quản lý. Hãy báo nếu bạn đã mất tiền hoặc bị tống tiền: ngân hàng trước, rồi công an hoặc dịch vụ tiếp nhận báo cáo gian lận của quốc gia bạn. Ở Liên minh châu Âu và Vương quốc Anh, bạn có thể khiếu nại với cơ quan bảo vệ dữ liệu nếu một công ty xử lý sự cố sai cách hoặc phớt lờ yêu cầu của bạn.
Để biết thêm về cách hộp thư tạm thời hoạt động và thư được giữ bao lâu, hãy xem Câu hỏi thường gặp của VookMail.