Nhân viên trường học từ chối đổi mật khẩu vì 'ai cũng biết'
"A UK school experienced a ransomware attack and subsequent IT staff turnover. A new IT manager attempted to enforce a stronger password policy, but faced resistance from staff, including a data manager who refused to change a known password ('letmein') taped to her desk. The policy was initially reversed by the principal, then reinstated by new management after a nonprofit took over."
Sự việc này cho thấy mật khẩu yếu và việc chia sẻ thông tin đăng nhập có thể dẫn đến rủi ro bảo mật nghiêm trọng, đặc biệt là trong bối cảnh tấn công ransomware ngày càng gia tăng.
Việc khôi phục hệ thống sau sự cố bảo mật gây tốn kém thời gian và tiền bạc. Chính sách mật khẩu lỏng lẻo có thể làm tăng nguy cơ bị tấn công, ảnh hưởng đến hoạt động kinh doanh.
Một trường học ở Anh gặp sự cố ransomware và sau đó là sự thay đổi nhân sự bộ phận IT. Một quản trị viên IT mới cố gắng áp dụng chính sách mật khẩu mạnh hơn, nhưng vấp phải sự phản đối từ nhân viên, bao gồm cả một quản lý dữ liệu nhất quyết không thay đổi mật khẩu đã biết từ trước ('letmein') được dán trên bàn làm việc. Ban đầu, hiệu trưởng đã đảo ngược chính sách này, sau đó nó được khôi phục lại bởi ban quản lý mới sau khi một tổ chức phi lợi nhuận tiếp quản.
Sự việc xảy ra sau khi trường học bị tấn công ransomware trước đó, khiến toàn bộ mạng bị ngừng hoạt động trong ba tháng. Chính sách mật khẩu thời điểm đó chỉ yêu cầu 6 ký tự, không có độ phức tạp hay thời hạn hết hạn. Người dùng chưa từng bị buộc phải thay đổi mật khẩu kể từ sau vụ tấn công.
Quản lý dữ liệu giải thích rằng việc giữ mật khẩu 'letmein' là cần thiết vì 'nếu tôi không có mặt, họ có thể đăng nhập bằng tài khoản của tôi và chạy báo cáo'. Sau khi chính sách mới được triển khai, nhiều nhân viên khác cũng phản đối. Hiệu trưởng cuối cùng đã yêu cầu quản trị viên IT chuyển tất cả các thắc mắc về việc thay đổi mật khẩu cho ông.
Sau đó, hiệu trưởng đã đảo ngược quyết định và yêu cầu quản trị viên IT loại bỏ yêu cầu thay đổi mật khẩu. Sau khi hiệu trưởng rời đi, một tổ chức phi lợi nhuận tiếp quản trường học và khôi phục chính sách mật khẩu ban đầu. Quản lý dữ liệu sau đó quyết định nghỉ hưu sớm vì không muốn học hệ thống mới hoặc thay đổi mật khẩu quen thuộc.
Câu hỏi thường gặp
Mật khẩu 'letmein' đã được sử dụng trong bao lâu?
Quản lý dữ liệu đã sử dụng mật khẩu 'letmein' từ năm 1998 và không thay đổi kể từ đó.
Điều gì đã xảy ra sau khi chính sách mật khẩu mới được áp dụng?
Nhiều nhân viên đã phản đối chính sách mới, và hiệu trưởng đã yêu cầu quản trị viên IT đảo ngược quyết định.
Ai đã khôi phục chính sách mật khẩu ban đầu?
Một tổ chức phi lợi nhuận đã tiếp quản trường học và khôi phục chính sách mật khẩu ban đầu.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự việc này cho thấy tầm quan trọng của việc thực thi chính sách mật khẩu mạnh mẽ, ngay cả khi gặp phải sự phản đối từ nhân viên. Các doanh nghiệp Việt Nam cũng nên xem xét lại chính sách mật khẩu của mình và đảm bảo rằng nhân viên được đào tạo về các mối đe dọa an ninh mạng. Điều đáng chú ý là việc thay đổi văn hóa bảo mật cần có sự kiên trì và quyết tâm từ ban lãnh đạo.