Bảo vệ các tài khoản có thể đặt lại mọi thứ khác
Danh tính số không phải là một tài khoản duy nhất. Đó là chuỗi kết nối email chính, số điện thoại, mã mở khóa thiết bị, tài khoản tài chính, lưu trữ đám mây, cổng thông tin sức khỏe, hồ sơ thuế, và các phương thức khôi phục tài khoản của bạn. Một kẻ tấn công chiếm được địa chỉ email chính có thể đặt lại một số tài khoản khác mà không cần phá được mật khẩu của chúng. AI có thể làm cho việc lừa đảo và mạo danh nhanh hơn và tinh vi hơn, nhưng các biện pháp phòng thủ hữu ích nhất vẫn là các biện pháp kiểm soát bảo mật thông thường: thông tin xác thực duy nhất, đăng nhập chống lừa đảo, khôi phục an toàn, cập nhật, và một thói quen xác minh được thực hành. CISA nhóm mật khẩu mạnh, xác thực đa yếu tố, nhận diện lừa đảo, và cập nhật phần mềm là các hành động cốt lõi dành cho người tiêu dùng.
Đây là hướng dẫn tổng quát cho các hộ gia đình Hoa Kỳ, không phải tư vấn pháp lý, tài chính, hoặc an ninh mạng cá nhân hóa. Những người đang đối mặt với việc bị theo dõi, bạo hành gia đình, quấy rối có chủ đích, hoặc thiết bị bị xâm nhập có thể cần một kế hoạch an toàn với một người ủng hộ hoặc chuyên gia bảo mật đủ trình độ trước khi thay đổi tài khoản, vì những thay đổi đột ngột có thể cảnh báo kẻ bạo hành.
Hãy bắt đầu với các tài khoản kiểm soát việc khôi phục: email chính, tài khoản nền tảng, nhà mạng di động, trình quản lý mật khẩu, và tài khoản tài chính. Sau đó bao phủ các dịch vụ giá trị thấp hơn. Thứ tự này làm giảm khả năng một sự khôi phục yếu đánh bại sự bảo vệ mạnh hơn ở nơi khác.
Sử dụng một trình quản lý mật khẩu, sau đó loại bỏ việc tái sử dụng
Hãy sử dụng một trình quản lý mật khẩu uy tín để tạo và lưu trữ một mật khẩu khác nhau cho mỗi tài khoản. Mục tiêu thực tế không phải là ghi nhớ hàng chục chuỗi phức tạp; đó là làm cho một vụ vi phạm trở nên vô dụng đối với mọi dịch vụ khác. Hãy bảo vệ trình quản lý bằng một mật khẩu chính dài, duy nhất và tùy chọn xác thực đa yếu tố mạnh nhất có sẵn của nó. Đừng đặt mật khẩu chính trong một ghi chú không được mã hóa bên cạnh các mã khôi phục.
Hãy thay đổi các tài khoản có hậu quả cao nhất trước, sau đó cập nhật các mật khẩu bị tái sử dụng khi bạn gặp chúng. Nếu một dịch vụ báo cáo một vụ vi phạm, hãy thay đổi thông tin xác thực thông qua ứng dụng đã biết hoặc địa chỉ đã gõ của nó thay vì một liên kết trong tin nhắn cảnh báo. Đối với quyền truy cập chung, hãy ưu tiên các đăng nhập dịch vụ riêng biệt hoặc tính năng chia sẻ gia đình của một trình quản lý mật khẩu thay vì nhắn tin một mật khẩu.
Ưu tiên passkey hoặc khóa bảo mật, với việc khôi phục đã được lên kế hoạch
Passkey và khóa bảo mật FIDO/WebAuthn được thiết kế để thông tin xác thực gắn liền với trang web hợp pháp. Các passkey được cấu hình đúng cách có khả năng chống lừa đảo vì một tên miền giả không thể chiếm được một bí mật có thể tái sử dụng cho tên miền thật; NIST mô tả sự ràng buộc tên xác minh đó và cũng giải thích các đánh đổi của passkey được đồng bộ hóa. Điều này khiến chúng trở thành một lựa chọn mạnh mẽ cho email, trình quản lý mật khẩu, tài khoản đám mây, và các dịch vụ tài chính khi được cung cấp.
“Passkey” không phải lúc nào cũng có nghĩa là một khóa phần cứng riêng biệt. Một passkey có thể được lưu trên một thiết bị, được đồng bộ hóa qua một tài khoản nền tảng, hoặc được lưu trữ trên một khóa bảo mật vật lý. Passkey được đồng bộ hóa cải thiện khả năng sử dụng và khôi phục trên các thiết bị, nhưng tài khoản nền tảng và quy trình khôi phục của nó sau đó trở thành một phần của ranh giới bảo mật. Một khóa phần cứng có thể giảm sự phụ thuộc vào tài khoản đồng bộ hóa đó, nhưng một khóa duy nhất có thể bị mất hoặc hỏng. Đối với một tài khoản giá trị cao, hãy đăng ký ít nhất hai bộ xác thực nếu dịch vụ cho phép: giữ một bộ sẵn sàng và một bản dự phòng ở một vị trí an toàn, riêng biệt.
Đừng xóa một phương thức đăng nhập hiện có cho đến khi bạn đã kiểm tra phương thức mới trong một phiên riêng biệt và xem lại việc khôi phục. Hãy lưu các mã khôi phục dùng một lần ngoại tuyến ở một nơi khóa kín. Hãy kiểm tra xem việc thêm một bộ xác thực mới có tạo ra cảnh báo hay không, liệu các phiên cũ có thể bị thu hồi hay không, và số điện thoại hoặc địa chỉ email nào có thể đặt lại tài khoản. Hướng dẫn xác thực hiện tại của NIST coi việc khôi phục là một sự kiện vòng đời của riêng nó, không phải một điều đến sau.
Nếu passkey không có sẵn, hãy sử dụng MFA mạnh nhất mà dịch vụ hỗ trợ. Một ứng dụng xác thực hoặc token phần cứng thường tránh được một số điểm yếu của SMS. SMS thường vẫn tốt hơn chỉ một mật khẩu, nhưng nó không chống lừa đảo và phụ thuộc vào bảo mật của tài khoản điện thoại. Hãy thêm một mã PIN tài khoản nhà mạng, bật bất kỳ khóa chuyển nhà mạng hoặc hoán đổi SIM có sẵn nào, và không bao giờ đọc một mã dùng một lần cho một người gọi không mời. Một nhân viên hỗ trợ thật không nên cần mã cho phép đăng nhập.
Củng cố việc khôi phục và thiết bị
Hãy xem lại cài đặt khôi phục tài khoản hai lần một năm và sau khi thay đổi số điện thoại, email, mối quan hệ, hoặc hộ gia đình. Hãy xóa các địa chỉ công việc cũ, số cũ, thiết bị không xác định, mật khẩu ứng dụng cũ, và những người không nên còn quyền truy cập khôi phục. Hãy chỉ sử dụng một liên hệ khôi phục nếu người đó hiểu trách nhiệm và có thể bảo vệ tài khoản của chính họ.
Hãy bật cập nhật tự động cho điện thoại, máy tính, trình duyệt, trình quản lý mật khẩu, và phần mềm bảo mật. Hãy sử dụng một mã khóa thiết bị không phải ngày sinh hoặc chữ số lặp lại, bật mã hóa toàn thiết bị khi có sẵn, và cấu hình thiết bị khóa nhanh chóng. Hãy ẩn bản xem trước tin nhắn trên màn hình khóa nếu chúng phơi bày mã đăng nhập hoặc thông tin riêng tư. Hãy sao lưu dữ liệu quan trọng bằng một phương pháp đã được kiểm tra, nhưng hãy nhớ rằng một bản sao lưu đám mây có thể truy cập được thông qua tài khoản đám mây của nó; hãy bảo vệ tài khoản đó tương ứng. Đối với cấu hình router, phân đoạn mạng, và củng cố thiết bị kết nối đứng sau các tài khoản này, hãy xem Bảo mật Mạng và Thiết bị Gia đình.
Giảm sự phơi bày danh tính mà không theo đuổi sự vô hình
Cài đặt mạng xã hội riêng tư làm giảm sự phơi bày ngẫu nhiên nhưng không làm cho một bài đăng riêng tư mãi mãi. Hãy xóa ngày sinh công khai, địa chỉ nhà, các địa điểm thường xuyên, trường học, ngày đi du lịch, tên người thân, và số điện thoại khi chúng không cần phải công khai. Hãy hỏi người thân trước khi gắn thẻ trẻ em hoặc đăng các bản ghi âm giọng nói và khuôn mặt rõ ràng. Mục tiêu là làm cho một cái cớ thuyết phục khó lắp ráp hơn, không phải hứa hẹn rằng việc nhân bản trở nên không thể.
Các trang tìm kiếm người tổng hợp dữ liệu từ hồ sơ công khai, mạng xã hội, và các nhà môi giới khác. FTC giải thích cách tìm quy trình từ chối của một trang web, nhưng việc từ chối không hoàn chỉnh và có thể cần lặp lại. Hãy sử dụng một địa chỉ email riêng cho các yêu cầu xóa, chỉ cung cấp dữ liệu xác minh thực sự cần thiết, và giữ một danh sách có ngày tháng về các yêu cầu đã hoàn thành. Đừng tải lên các tài liệu danh tính một cách tùy tiện cho một dịch vụ “xóa” không quen thuộc.
Đóng băng tín dụng khi phù hợp
Một sự đóng băng tín dụng hạn chế quyền truy cập vào hồ sơ tín dụng và có thể khiến việc mở tín dụng mới dưới tên của người đó khó khăn hơn. Nó không ngăn chặn việc chiếm đoạt một tài khoản hiện có, lạm dụng số dư ngân hàng, gian lận thuế, trộm cắp danh tính y tế, hoặc mọi hình thức gian lận danh tính. Tại Hoa Kỳ, việc đóng băng là miễn phí, phải được đặt riêng với từng cục tín dụng toàn quốc, và có thể được dỡ bỏ khi cần tín dụng hợp pháp. Hãy bảo vệ các tài khoản cục tín dụng và thông tin xác thực quản lý đóng băng.
Phụ huynh và người giám hộ có thể yêu cầu đóng băng cho một trẻ vị thành niên. Một đứa trẻ nói chung không nên đã có một hồ sơ tín dụng; IdentityTheft.gov cung cấp quy trình theo từng cục để kiểm tra và đóng băng hồ sơ của một đứa trẻ. Hãy lưu trữ các hồ sơ kết quả một cách an toàn vì chúng chứa thông tin nhận dạng.
Việc giám sát tín dụng có thể cảnh báo bạn sau khi một hồ sơ thay đổi; nó không ngăn chặn sự thay đổi. Hãy xem lại các cảnh báo ngân hàng và thẻ cũng như vậy, và lấy báo cáo tín dụng thông qua AnnualCreditReport.com, nguồn được liên bang cho phép, thay vì một trang web giả mạo được truy cập qua một quảng cáo.
Cho hộ gia đình một quy tắc giao dịch
Công nghệ không thể xác định liệu một yêu cầu trông có vẻ thật có hợp pháp hay không. Hãy thiết lập một quy tắc rằng không có yêu cầu bất ngờ nào về tiền, thông tin xác thực, mã khôi phục, quyền truy cập máy tính từ xa, hoặc bí mật được thực hiện trong cùng một cuộc trò chuyện. Hãy kết thúc liên hệ và xác minh thông qua một số điện thoại, ứng dụng, hoặc con đường trực tiếp đã được biết là thật. Một cụm từ xác minh gia đình có thể hữu ích, nhưng đừng sử dụng một sự thật có thể nhìn thấy trực tuyến, và đừng coi cụm từ này là sự cho phép chuyển tiền. Một cuộc gọi lại và đánh giá của người thứ hai cung cấp sự xác nhận mạnh mẽ hơn.
Hãy dạy quy trình này cho mọi người được ủy quyền trên một tài khoản. Đối với các khoản chuyển tiền lớn, hãy hỏi ngân hàng về cảnh báo, giới hạn, hoặc phê duyệt thứ hai.
Nếu trộm cắp danh tính hoặc chiếm đoạt xảy ra
Hãy hành động từ một thiết bị bạn có lý do để tin tưởng. Hãy liên hệ với tổ chức bị ảnh hưởng thông qua một bảng sao kê, thẻ, hoặc trang web chính thức; thay đổi thông tin xác thực bị phơi bày; thu hồi các phiên không xác định; và bảo tồn tin nhắn, chi tiết giao dịch, và dấu thời gian. Nếu thông tin danh tính bị lạm dụng, IdentityTheft.gov tạo ra một kế hoạch khôi phục tùy chỉnh và Báo cáo Trộm cắp Danh tính của FTC. Hãy báo cáo tội phạm mạng cho Trung tâm Khiếu nại Tội phạm Internet của FBI khi phù hợp, nhưng hãy gõ địa chỉ trực tiếp vì FBI đã cảnh báo về các trang IC3 giả mạo.
Đừng trả tiền cho một “đại lý khôi phục” hứa hẹn lấy lại tiền bị đánh cắp với một khoản phí trả trước. Việc khôi phục phụ thuộc vào phương thức thanh toán và tốc độ báo cáo. Hãy liên hệ ngay với ngân hàng, đơn vị phát hành thẻ, dịch vụ chuyển tiền, hoặc đơn vị phát hành thẻ quà tặng và hỏi liệu nó có thể dừng hoặc đảo ngược giao dịch hay không; FTC liệt kê liên hệ đầu tiên chính xác cho mỗi loại thanh toán.
Một cuối tuần đầu tiên khả thi
- Bảo mật email chính và trình quản lý mật khẩu với thông tin xác thực duy nhất và MFA chống lừa đảo.
- Đăng ký và kiểm tra một bộ xác thực dự phòng; in hoặc ghi lại an toàn các mã khôi phục.
- Khóa tài khoản nhà mạng di động và xem lại các địa chỉ, số điện thoại, phiên, và thiết bị khôi phục tài khoản.
- Bật cập nhật tự động và mã hóa thiết bị trên mọi thiết bị hộ gia đình được hỗ trợ.
- Đóng băng tín dụng cho các thành viên hộ gia đình không cần quyền truy cập tín dụng mới thường xuyên.
- Đồng ý rằng các yêu cầu bất thường về tiền hoặc thông tin xác thực luôn đòi hỏi một cuộc gọi lại độc lập và một cái nhìn thứ hai.
Không có danh sách kiểm tra nào làm cho việc trộm cắp danh tính trở nên bất khả thi. Kết quả thực tế là loại bỏ các điểm vào phổ biến, ngăn chặn sự xâm phạm, và làm cho việc khôi phục nhanh hơn.