Cơ sở dữ liệu mật khẩu bị lộ: Làm sao để kiểm tra tài khoản?

Ban biên tập AlphaBay SecOps · 19/05/2026 · Cập nhật 13/10/2026

Để kiểm tra tài khoản có nằm trong cơ sở dữ liệu mật khẩu bị lộ hay không, cách an toàn và phổ biến nhất là nhập địa chỉ email vào dịch vụ Have I Been Pwned, dùng tính năng Kiểm tra mật khẩu của Google, Mozilla Monitor, hoặc tính năng giám sát rò rỉ có sẵn trong trình quản lý mật khẩu. Các công cụ này cho biết email của bạn xuất hiện trong vụ rò rỉ nào và mật khẩu đang lưu có từng bị lộ không. Nếu có, hãy đổi mật khẩu ở dịch vụ đó và mọi nơi dùng chung mật khẩu, rồi bật xác thực hai lớp. Bài viết giải thích cách các công cụ hoạt động, cách đọc kết quả và những việc cần làm tiếp theo.

Cơ sở dữ liệu mật khẩu bị lộ đến từ đâu

Mỗi năm có nhiều dịch vụ trực tuyến bị xâm nhập và mất dữ liệu người dùng. Dữ liệu này, gồm email, tên đăng nhập, mật khẩu (dạng rõ hoặc đã băm), số điện thoại, được rao bán hoặc chia sẻ trên diễn đàn tội phạm. Theo thời gian, nhiều bộ dữ liệu được gộp lại thành những tập "tổng hợp" khổng lồ. Ngoài ra còn có nhật ký từ mã độc đánh cắp thông tin, chứa mật khẩu lấy trực tiếp từ trình duyệt của máy bị nhiễm. Nguyên nhân và hậu quả của những vụ rò rỉ lớn được bàn trong bài sự cố rò rỉ dữ liệu lớn: nguyên nhân và hậu quả.

Kẻ gian dùng dữ liệu bị lộ như thế nào

Nhồi thông tin đăng nhập (credential stuffing): thử tự động cặp email và mật khẩu trên hàng loạt dịch vụ khác. Ai dùng lại mật khẩu sẽ bị chiếm tài khoản.
Đoán biến thể: nếu mật khẩu cũ là "Hoa@2023", họ sẽ thử "Hoa@2024", "Hoa@2025".
Lừa đảo nhắm mục tiêu: dùng thông tin cá nhân để soạn email, cuộc gọi đáng tin.
Tống tiền: gửi email kèm mật khẩu cũ của bạn để chứng minh "đã hack máy", đòi tiền. Thực ra họ chỉ có mật khẩu từ vụ rò rỉ.

Các công cụ kiểm tra đáng tin cậy

Công cụ	Kiểm tra gì	Ghi chú
Have I Been Pwned	Email, số điện thoại có trong vụ rò rỉ nào; mật khẩu có trong danh sách bị lộ	Dịch vụ lâu năm, có tùy chọn nhận thông báo khi có vụ rò rỉ mới
Google Password Checkup	Mật khẩu lưu trong tài khoản Google có bị lộ, trùng lặp hay yếu	Tích hợp trong Chrome và Android
Mozilla Monitor	Email có trong vụ rò rỉ nào	Gửi cảnh báo qua email
Trình quản lý mật khẩu	Mật khẩu trong kho có bị lộ không	Nhiều trình quản lý có sẵn tính năng này
Ứng dụng Mật khẩu trên iPhone, Mac	Mật khẩu đã lưu có trong rò rỉ không	Hiển thị cảnh báo bảo mật trong mục Mật khẩu

Kiểm tra mật khẩu mà không gửi mật khẩu đi

Nhiều người lo ngại việc nhập mật khẩu vào một trang web để kiểm tra. Lo ngại này hợp lý, và các dịch vụ uy tín đã giải quyết bằng kỹ thuật k-anonymity. Với Pwned Passwords, trình duyệt tính giá trị băm SHA-1 của mật khẩu, chỉ gửi 5 ký tự đầu của giá trị băm lên máy chủ. Máy chủ trả về danh sách mọi giá trị băm có cùng tiền tố, và việc so khớp diễn ra trên máy bạn. Máy chủ không biết bạn đang kiểm tra mật khẩu nào. Ở đây SHA-1 chỉ dùng để tra cứu, không dùng để bảo vệ mật khẩu; lý do SHA-1 không còn phù hợp cho bảo mật được giải thích trong bài rủi ro của MD5 và SHA-1.

Dù vậy, nguyên tắc chung là: chỉ kiểm tra mật khẩu qua công cụ tích hợp trong trình duyệt, hệ điều hành hoặc trình quản lý mật khẩu bạn đã tin dùng. Tránh các trang lạ yêu cầu nhập mật khẩu "để kiểm tra".

Đọc kết quả thế nào

Email có trong vụ rò rỉ: xem dữ liệu nào bị lộ (email, mật khẩu, số điện thoại, địa chỉ). Nếu có mật khẩu, đổi ngay ở dịch vụ đó và mọi nơi dùng chung.
Mật khẩu xuất hiện nhiều lần: mật khẩu này đã nằm trong danh sách thử của kẻ tấn công. Không dùng nó ở bất kỳ đâu nữa, kể cả thêm vài ký tự.
Vụ rò rỉ từ dịch vụ bạn không nhớ: có thể là tài khoản cũ hoặc dịch vụ đổi tên. Tìm cách đăng nhập và xóa tài khoản nếu không dùng.
Không có kết quả: không có nghĩa là an toàn tuyệt đối, chỉ là chưa có trong dữ liệu mà dịch vụ biết.

Những việc cần làm sau khi kiểm tra

Ưu tiên tài khoản quan trọng: email chính (vì nó là chìa khóa khôi phục mọi tài khoản khác), ngân hàng, mạng xã hội, lưu trữ đám mây.
Dùng trình quản lý mật khẩu để tạo mật khẩu dài, ngẫu nhiên, khác nhau cho từng nơi.
Bật xác thực hai lớp, ưu tiên passkey hoặc ứng dụng xác thực thay vì SMS.
Đăng xuất mọi phiên ở dịch vụ bị ảnh hưởng và kiểm tra ứng dụng bên thứ ba được cấp quyền.
Đăng ký nhận cảnh báo để biết khi email xuất hiện trong vụ rò rỉ mới.
Quét mã độc nếu mật khẩu bị lộ từ nhật ký mã độc đánh cắp thông tin, nghĩa là máy bạn có thể đã nhiễm.
Cảnh giác lừa đảo trong vài tháng sau đó, vì thông tin cá nhân bị lộ sẽ được dùng để tạo kịch bản đáng tin.

Với tài khoản game, giải trí thường bị bỏ quên, xem thêm hướng dẫn bảo vệ tài khoản khi giải trí trực tuyến.

Hiểu đúng mức độ nguy hiểm

Không phải vụ rò rỉ nào cũng nguy hiểm như nhau. Nếu dịch vụ lưu mật khẩu bằng hàm băm chuyên dụng như bcrypt hay Argon2, kẻ tấn công cần rất nhiều thời gian để dò mật khẩu mạnh. Nếu dịch vụ lưu dạng rõ hoặc dùng MD5 thuần, coi như mật khẩu đã lộ. Bài hàm băm mật mã và xác thực dữ liệu giải thích khác biệt này. Vì bạn hiếm khi biết dịch vụ dùng cách nào, cách an toàn nhất là luôn đổi mật khẩu khi có thông báo rò rỉ.

Câu hỏi thường gặp

Nhập email vào Have I Been Pwned có an toàn không?

Dịch vụ chỉ cho biết email xuất hiện trong vụ rò rỉ nào, không yêu cầu mật khẩu. Đây là dịch vụ có uy tín lâu năm trong cộng đồng bảo mật.

Nhận email tống tiền có chứa mật khẩu cũ của tôi thì sao?

Đây là kiểu lừa đảo phổ biến dùng mật khẩu từ vụ rò rỉ. Không trả tiền, không trả lời. Hãy đổi mật khẩu đó ở mọi nơi còn dùng và bật xác thực hai lớp.

Đổi mật khẩu định kỳ có cần thiết không?

Các hướng dẫn hiện đại khuyến nghị không ép đổi định kỳ nếu không có dấu hiệu bị lộ, vì người dùng thường chỉ đổi theo kiểu dễ đoán. Quan trọng hơn là mật khẩu dài, riêng biệt và đổi ngay khi bị lộ.

Số điện thoại bị lộ thì cần làm gì?

Cảnh giác với tin nhắn và cuộc gọi lừa đảo, không dùng SMS làm phương thức xác thực duy nhất nếu có lựa chọn tốt hơn, và hỏi nhà mạng về biện pháp chống chiếm đoạt SIM.