Người dùng BT Email bị “dội bom” mã PIN đặt lại mật khẩu, nhà mạng trấn an tài khoản vẫn an toàn

Người dùng dịch vụ BT Email tại Anh đang phản ánh tình trạng nhận liên tiếp hàng loạt mã PIN đặt lại mật khẩu không mong muốn, dù họ không hề yêu cầu đổi mật khẩu. Theo các bài đăng trên diễn đàn cộng đồng của BT vào cuối tuần qua, nhiều khách hàng cho biết các tin nhắn hoặc email chứa mã PIN đến theo từng đợt dồn dập trong vài phút. Có người nói họ nhận 50 đến 70 mã trong thời gian rất ngắn, người khác báo cáo hơn 100 mã, thậm chí một số trường hợp cho biết con số đã vượt 500 hoặc hơn 1.000. Đây là dấu hiệu bất thường vì mã PIN đặt lại mật khẩu vốn là lớp xác minh ngắn hạn, thường chỉ được gửi khi người dùng chủ động khởi tạo quy trình khôi phục tài khoản.

BT đã thừa nhận đang tồn tại vấn đề và cho biết hãng đang điều tra nguyên nhân gây ra làn sóng mã PIN bất thường này. Trên diễn đàn hỗ trợ, đại diện điều hành cộng đồng của công ty nói rằng một số khách hàng đã nhận số lượng lớn tin nhắn chứa mã PIN đặt lại mật khẩu và BT đang tích cực truy tìm nguồn gốc sự việc. Nhà mạng cũng khuyến cáo người dùng hãy bỏ qua các thông báo này nếu họ không thực hiện yêu cầu đặt lại mật khẩu, đồng thời cảnh giác với những dấu hiệu lạ như tin nhắn tiếp theo hoặc các cuộc gọi bất ngờ. Theo BT, các tài khoản email của khách hàng hiện vẫn an toàn và người nhận các mã PIN nói trên chưa cần thực hiện hành động khẩn cấp.

Dù BT chưa đưa ra kết luận, vụ việc đang làm dấy lên nhiều giả thuyết về an ninh mạng. Một khả năng là hệ thống khôi phục mật khẩu của BT đang bị ai đó liên tục kích hoạt. Cơ chế này thường được gọi là password recovery mechanism, tức quy trình cho phép người dùng lấy lại quyền truy cập bằng cách nhận mã xác minh qua email hoặc SMS. Nếu bị lạm dụng, kẻ xấu có thể tạo ra một đợt “spam” mã xác thực để làm phiền người dùng hoặc che giấu một nỗ lực chiếm quyền tài khoản. Một khái niệm quan trọng khác là rate limiting, tức giới hạn tần suất yêu cầu. Đây là biện pháp kỹ thuật nhằm ngăn một tài khoản hoặc một địa chỉ IP gửi quá nhiều yêu cầu trong thời gian ngắn. Việc một số khách hàng nhận hàng trăm mã PIN chỉ trong vài phút đặt ra câu hỏi liệu lớp bảo vệ này đã được cấu hình đủ chặt chẽ hay chưa.

Ít nhất một người dùng cho biết tài khoản của họ dường như đã bị truy cập trái phép trong lúc các mã PIN được gửi ồ ạt. Theo mô tả, người này mất quyền truy cập cả hộp thư email lẫn BT ID qua đêm, nhưng kịp yêu cầu một mã PIN trước khi kẻ đang truy cập tài khoản thay đổi số điện thoại liên kết. BT ID là tài khoản định danh dùng để đăng nhập các dịch vụ của BT, tương tự một tài khoản trung tâm quản lý thông tin và quyền truy cập. Tuy nhiên, báo cáo này hiện chưa được xác minh độc lập, và chưa có bằng chứng rõ ràng cho thấy sự cố chiếm tài khoản, nếu có, thực sự liên quan trực tiếp đến đợt mã PIN dồn dập.

Hiện chưa rõ đây là hậu quả của một cuộc tấn công có chủ đích, một lỗi nội bộ trong hệ thống BT, hay một nguyên nhân kỹ thuật khác. Trong các sự cố kiểu này, giới chuyên môn thường xem xét nhiều kịch bản: từ việc có người cố tình “bắn phá” tính năng đặt lại mật khẩu, đến lỗi phần mềm khiến hệ thống tự động gửi lặp thông báo, hoặc sự cố tích hợp giữa email và SMS gateway, tức nền tảng trung gian chịu trách nhiệm chuyển phát tin nhắn xác thực. Truyền thông quốc tế đã đặt câu hỏi với BT về số lượng khách hàng bị ảnh hưởng, việc các yêu cầu đặt lại mật khẩu có xuất phát từ bên ngoài hay không, và liệu công ty đã phát hiện dấu hiệu hoạt động độc hại nào chưa. Một điểm đáng chú ý khác là chưa rõ cả email lẫn SMS đều bị ảnh hưởng, hay sự cố chỉ xảy ra trên một kênh gửi mã xác thực.

Trong khi BT tiếp tục điều tra, lời khuyên an toàn nhất cho người dùng là không sử dụng các mã PIN nếu bản thân không yêu cầu đặt lại mật khẩu, đồng thời theo dõi sát các hoạt động bất thường trên tài khoản. Nếu nhận được cuộc gọi hoặc tin nhắn tự xưng là hỗ trợ kỹ thuật và yêu cầu đọc lại mã xác minh, người dùng cần đặc biệt cảnh giác vì đây có thể là hành vi lừa đảo chiếm đoạt tài khoản. Ngoài ra, nên kiểm tra thông tin khôi phục như số điện thoại, email dự phòng và đổi mật khẩu nếu phát hiện dấu hiệu đáng ngờ. Vụ việc của BT cho thấy ngay cả những tính năng bảo mật quen thuộc như mã PIN xác thực cũng có thể trở thành nguồn gây hoang mang nếu hệ thống vận hành gặp trục trặc hoặc bị khai thác sai mục đích.