Facebook bị “bắt quả tang” yêu cầu người dùng cung cấp mật khẩu email

Facebook mới đây đã bị “bắt quả tang” đang sử dụng cơ chế xác minh người dùng thực sự “tồi tệ”, có thể gây nguy hiểm cho người dùng nền tảng mạng xã hội lớn nhất thế giới này.

Thông thường, các nền tảng phương tiện truyền thông xã hội, hoặc bất kỳ dịch vụ trực tuyến nào khác sẽ yêu cầu người dùng xác nhận tài khoản của mình thông qua việc nhập mã bí mật hoặc một URL duy nhất được gửi đến địa chỉ email mà họ đã cung cấp trong lúc đăng ký tài khoản.

• Phát hiện 540 triệu dữ liệu người dùng Facebook lưu trữ công khai trên máy chủ Amazon

Tuy nhiên, bên cạnh việc đòi hỏi phải nhập địa chỉ email như bình thường, Facebook đã bị phát hiện yêu cầu một số người dùng mới phải cung cấp thêm cả mật khẩu tài khoản email của họ cho trang mạng xã hội này. Một cơ chế xác minh người dùng như vậy theo đánh giá của nhiều chuyên gia bảo mật là “ý tưởng không thể tệ hại hơn, bởi nó có thể đe dọa trực tiếp đến quyền riêng tư và bảo mật dữ liệu của người dùng”.

Cụ thể hơn, cơ chế xác minh “lạ lùng” này lần đầu tiên được chú ý phát hiện bởi một người dùng Twitter với nickname e-Sushi (@origenesushi). Theo đó, chủ tài khoản Twitter trên đã phát hiện ra việc Facebook yêu cầu người dùng phải nhập cả mật khẩu của các dịch vụ email bên thứ ba cho Facebook, để qua đó, mạng xã hội này mới có thể "tự động" xác minh địa chỉ email của họ.

• “Twitter, Facebook và Instagram là những dịch bệnh nguy hiểm đang lây lan trên toàn thế giới”

Tuy nhiên, yêu cầu này chỉ xuất hiện đối với các tài khoản email từ một số nhà cung cấp email nhất định mà Facebook cho là đáng ngờ.

"Tôi đã tự kiểm tra vấn đề này bằng cách thử đăng ký tài khoản 3 lần với 3 tài khoản email khác nhau, và đồng thời bằng 3 IP riêng biệt cũng như 2 trình duyệt khác nhau. Kết quả là có đến 2 trong số 3 lần thử nghiệm tôi phải đối mặt với yêu cầu nhập mật khẩu email để xác minh ngay sau khi nhấp vào nút “register account” ở ngay trang chủ đăng ký tài khoản của Facebook. Tôi thực sự hoài nghi về mức độ bảo mật với cơ chế xác thực này”, nickname e-Sushi chia sẻ.

Thật không may khi mà tin tức này xuất hiện chỉ 2 tuần sau khi Facebook thừa nhận rằng họ đã “lưu trữ nhầm” khoảng 200 triệu đến 600 triệu mật khẩu người dùng dưới dạng văn bản thuần túy, tức là không được mã hóa. Đồng thời, một chuỗi những lỗi tồn tại cũng khiến nhiều ứng dụng của Facebook cho phép bất kỳ ai trong số 2000 nhân viên của công ty này đều có quyền truy cập nội bộ vào kho lưu trữ mật khẩu trên.

• Facebook sẽ trả tiền cho các viết được đưa vào tab tin tức chuyên dụng của mạng xã hội này?

Trong một tuyên bố được gửi đến cho Daily Beast, Facebook đã xác nhận sự tồn tại của quy trình xác minh email "đáng ngờ" như vậy, nhưng cũng không quên tuyên bố rằng họ hoàn toàn không tiến hành lưu trữ mật khẩu email do người dùng cung cấp trên máy chủ của mình. Bên cạnh đó, trang mạng xã hội này cũng cam kết sẽ chấm dứt hoàn toàn phương thức xác thực “có một không hai" trên.

"Chúng tôi hiểu rằng tùy chọn xác thực mật khẩu email không phải là phương án tối ưu nhất để giải quyết vấn đề xác minh người dùng, vì vậy Facebook sẽ ngừng vận hành phương thức xác thực này", đại diện Facebook cho biết.

Bên cạnh đó, Facebook cũng lưu ý rằng người dùng có thể chuyển sang lựa chọn các phương thức xác minh tài khoản khác, ví dụ như gửi mã xác thực dùng một lần đến số điện thoại đã đăng ký, hoặc gửi liên kết đến địa chỉ email của người dùng bằng cách nhấp vào mục "Need help?".

• Nhiều bài đăng cũ của Mark Zuckerberg biến mất ‘không để lại dấu vết’, Facebook cho biết họ đã… xóa nhầm

Một số vụ việc gây tranh cãi về bảo mật và quyền riêng tư của Facebook đã được ghi nhận trong thời gian gần đây:

• Facebook thừa nhận lưu trữ hàng triệu mật khẩu người dùng dưới dạng văn bản thuần.
• 30 triệu tài khoản Facebook bị tấn công bằng cách sử dụng mã thông báo truy cập bị đánh cắp.
• Facebook trả cho trẻ vị thành niên 20 đô la để thu thập dữ liệu riêng tư của họ.
• Facebook thừa nhận việc dữ liệu công khai của 2.2 tỷ người dùng đã bị xâm phạm.

Sau tất cả, điểm mấu chốt mà bạn cần đặc biệt lưu ý ở đây đó là không bao giờ được chia sẻ mật khẩu email, hay bất kỳ mật khẩu tài khoản nào của mình với bất cứ ai, hoặc nhập nó vào bất kỳ trang web hoặc dịch vụ truyền thông xã hội nào, ngoại trừ những dịch vụ được thiết kế để bảo vệ mật khẩu của bạn trước các cuộc tấn công lừa đảo, ví dụ như những công cụ quản lý mật khẩu.