Vào ngày 13 tháng 5 vừa qua, cộng đồng người dùng Steam đã đối mặt với thông tin về một vụ rò rỉ dữ liệu, được cho là đã ảnh hưởng đến gã khổng lồ trò chơi Valve. Một cá nhân tự xưng “Machine1337” đã rao bán một kho dữ liệu chứa số điện thoại, siêu dữ liệu tin nhắn và các mã xác thực hai yếu tố (2FA) Steam cũ. Mặc dù các mã này đã hết hạn sử dụng từ lâu, nhưng điều này vẫn đặt ra câu hỏi về việc ai đã gặp phải sự cố rò rỉ này. Ban đầu, nghi ngờ đổ dồn về Twilio do tên của họ được đề cập trong dữ liệu, nhưng Valve đã phủ nhận việc sử dụng dịch vụ của Twilio, và Twilio cũng lên tiếng bác bỏ việc mình bị tấn công. Valve đã đưa ra tuyên bố chính thức, xác nhận dữ liệu rò rỉ là có thật nhưng khẳng định hệ thống của hãng không bị tấn công.
Thông báo chính thức từ Valve: Rò rỉ tin nhắn cũ, không phải hệ thống Steam
Valve đã làm rõ rằng dữ liệu bị rò rỉ không xuất phát từ việc xâm nhập vào hệ thống của Steam. Theo tuyên bố của công ty:
“Chúng tôi đã xem xét mẫu rò rỉ và xác định đây KHÔNG phải là một vụ tấn công vào hệ thống Steam. Dữ liệu rò rỉ bao gồm các tin nhắn văn bản cũ chứa mã dùng một lần chỉ có giá trị trong 15 phút và các số điện thoại mà chúng được gửi tới. Dữ liệu bị rò rỉ không liên kết các số điện thoại với tài khoản Steam, thông tin mật khẩu, thông tin thanh toán hoặc dữ liệu cá nhân khác. Các tin nhắn cũ không thể được sử dụng để xâm nhập bảo mật tài khoản Steam của bạn, và bất cứ khi nào một mã được sử dụng để thay đổi email hoặc mật khẩu Steam của bạn bằng SMS, bạn sẽ nhận được xác nhận qua email và/hoặc tin nhắn bảo mật của Steam.”
Valve cũng nhấn mạnh rằng người dùng Steam không cần thay đổi mật khẩu hoặc số điện thoại của họ do sự kiện này. Đây cũng là lời nhắc nhở hữu ích để cảnh giác với bất kỳ tin nhắn bảo mật tài khoản nào mà bạn không chủ động yêu cầu. Công ty khuyến nghị người dùng nên thường xuyên kiểm tra bảo mật tài khoản Steam của mình.
Phản hồi của Valve đáng mừng, nhưng vẫn cần lưu ý
Nguồn gốc rò rỉ vẫn là ẩn số
Phản hồi từ Valve mang lại sự rõ ràng, nhưng đồng thời cũng đặt ra câu hỏi lớn: vụ rò rỉ xảy ra ở đâu? Như tuyên bố đã đề cập, tin nhắn SMS được định tuyến qua nhiều nhà cung cấp trung gian trước khi đến điện thoại của người dùng. Điều này có nghĩa là sẽ cần rất nhiều nỗ lực để tìm ra nguồn gốc thực sự của vụ rò rỉ. Ví dụ, có thể Valve đã ký hợp đồng với một hoặc nhiều nhà cung cấp trung gian để gửi mã SMS, và một trong những nhà cung cấp này có thể đã bị tấn công hoặc thậm chí đã ký hợp đồng với Twilio để gửi tin nhắn tại một số khu vực. Cần lưu ý rằng đây chỉ là suy đoán và vẫn chưa thể xác định chính xác nguồn gốc rò rỉ.
Steam Deck và laptop hiển thị giao diện cửa hàng Steam, đại diện cho hệ sinh thái game của Valve.
Dữ liệu rò rỉ tuy giới hạn nhưng vẫn tiềm ẩn rủi ro
Dù đã có xác nhận rằng Valve không bị tấn công trực tiếp và người dùng không cần thay đổi mật khẩu, nhưng các lo ngại vẫn là hợp lý. Mặc dù bộ dữ liệu chỉ chứa số điện thoại và tin nhắn văn bản, nhưng những số điện thoại này có thể được kết hợp với các bộ dữ liệu khác để vẽ nên một bức tranh rộng hơn về một người dùng cá nhân. Hơn nữa, ngôn ngữ của tin nhắn có thể được sử dụng trong các cuộc tấn công lừa đảo (phishing) nhắm mục tiêu, liên quan đến tên thật và tài khoản Steam của một người. Đây không phải là một vụ rò rỉ vô nghĩa, nhưng may mắn là phạm vi của nó khá giới hạn.
Khuyến nghị bảo mật từ Valve và chuyên gia
Để bảo vệ bản thân tốt nhất ở thời điểm hiện tại, Valve khuyến nghị người dùng nên thiết lập Steam Mobile Authenticator thay vì chỉ dựa vào mã 2FA qua SMS. Xác thực 2 yếu tố qua SMS vốn dĩ kém an toàn hơn vì mã có thể bị chặn hoặc giả mạo số điện thoại người dùng. Bạn nên luôn sử dụng xác thực 2 yếu tố kết hợp với một trình quản lý mật khẩu để bảo vệ tài khoản trực tuyến của mình một cách tốt nhất.
Tóm lại, mặc dù Valve đã xác nhận dữ liệu rò rỉ liên quan đến tin nhắn SMS cũ là có thật nhưng khẳng định hệ thống Steam không bị tấn công, người dùng vẫn cần nâng cao cảnh giác. Việc chủ động chuyển sang sử dụng Steam Mobile Authenticator và áp dụng các biện pháp bảo mật mạnh mẽ khác như trình quản lý mật khẩu sẽ giúp tăng cường đáng kể sự an toàn cho tài khoản của bạn trên nền tảng Steam cũng như các dịch vụ trực tuyến khác.
