Rủi ro bảo mật từ việc gửi mật khẩu tạm thời khi onboarding nhân viên
"The article warns that onboarding workflows that share temporary first-day passwords via email, SMS, or phone can expose corporate accounts if credentials are intercepted, mishandled, or never changed. It recommends eliminating distributed temporary passwords by letting users securely enroll and set their own initial password, and cites examples where default or weak credentials led to serious exposure in critical infrastructure and a hiring platform."
Tác động bảo mật đáng kể do mật khẩu onboarding tạm thời có thể bị intercept/mishandled và trở thành yếu điểm kéo dài. Điểm then chốt: loại bỏ phân phối mật khẩu tạm, bắt buộc đổi mật khẩu hoặc tự thiết lập, và giảm nguy cơ lộ lọt qua email/SMS/điện thoại.
Rủi ro vận hành có thể dẫn tới truy cập trái phép vào hệ thống và dữ liệu nhạy cảm, ảnh hưởng uy tín và chi phí xử lý sự cố. Điểm then chốt: giảm thời gian xử lý sự cố do lộ thông tin, tăng khả năng tuân thủ chính sách mật khẩu, và giảm phụ thuộc vào quy trình thủ công khi cấp quyền cho nhân viên mới.
Bài viết cảnh báo rằng quy trình onboarding thường phải cấp mật khẩu “ngày đầu” cho nhân viên mới trong thời gian ngắn, nhưng cách phân phối mật khẩu tạm thời có thể tạo điểm phơi nhiễm không cần thiết. Khi mật khẩu được gửi qua email/SMS hoặc truyền qua điện thoại, rủi ro tăng lên nếu tin nhắn bị chặn, chuyển tiếp, hoặc truy cập từ thiết bị không an toàn; đồng thời việc truyền miệng làm tăng khả năng sai sót và lộ lọt do nhiều bên tham gia.
Giải pháp được đề xuất là loại bỏ việc phân phát mật khẩu tạm. Thay vào đó, nhân viên được gửi liên kết đăng ký để tự thiết lập mật khẩu thông qua cơ chế secure enrollment, sau khi xác minh danh tính bằng email cá nhân hoặc số điện thoại. Cách tiếp cận này nhằm giảm nguy cơ mật khẩu bị giữ lại và trở thành yếu điểm dài hạn.
Bài viết cũng nêu các ví dụ: tại hạ tầng điều khiển công nghiệp, PLC được bảo vệ bằng mật khẩu mặc định “1111”; trong một nền tảng tuyển dụng, tài khoản quản trị cũ có thể dùng “123456” và dẫn tới truy cập dữ liệu ứng viên. Khuyến nghị cho doanh nghiệp là rà soát quy trình onboarding để không dùng mật khẩu tạm phân tán, đồng thời đảm bảo cơ chế bắt buộc đổi mật khẩu hoặc tự thiết lập ngay từ đầu.