Sai lầm trong quy trình cấp tài khoản nhân viên mới: Rủi ro bảo mật tiềm ẩn

Trong giai đoạn onboarding (tiếp nhận nhân viên mới), các đội ngũ IT thường chịu áp lực lớn về thời gian để thiết lập thiết bị, tài khoản và quyền truy cập. Một thói quen phổ biến là gửi mật khẩu tạm thời qua email hoặc SMS để nhân viên có thể đăng nhập ngay trong ngày đầu tiên. Tuy nhiên, chính sự tiện lợi này lại trở thành một mắt xích yếu trong hệ thống an ninh doanh nghiệp.

Rủi ro từ việc chia sẻ mật khẩu truyền thống

Việc gửi mật khẩu dưới dạng văn bản thuần (plain text) qua các kênh không bảo mật như email hay tin nhắn khiến thông tin dễ dàng bị đánh chặn. Ngay cả khi mật khẩu được truyền đạt trực tiếp hoặc qua điện thoại, quy trình này vẫn thiếu tính chuyên nghiệp và dễ xảy ra sai sót khi có sự tham gia của nhiều bên trung gian. Quan trọng hơn, nhiều mật khẩu tạm thời không bao giờ được thay đổi, vô tình trở thành “cửa ngõ” cho kẻ tấn công xâm nhập vào hệ thống.

Khi mật khẩu tạm thời trở thành vĩnh viễn

Dù được thiết kế để sử dụng một lần, nhưng do áp lực công việc, nhân viên thường quên thay đổi mật khẩu hoặc quy trình hệ thống không ép buộc thực hiện điều này. Những mật khẩu đơn giản, dễ đoán được tạo hàng loạt để phục vụ onboarding nhanh chóng sẽ trở thành mục tiêu lý tưởng cho các cuộc tấn công brute-force hoặc khai thác credential.

Lịch sử an ninh mạng đã chứng minh sự nguy hiểm của vấn đề này:

• Sự cố hạ tầng nước tại Aliquippa (2023): Nhóm tin tặc đã khai thác các bộ điều khiển logic lập trình (PLC) sử dụng mật khẩu mặc định “1111”, cho phép chúng kiểm soát trạm bơm từ xa.
• Lỗ hổng tại nền tảng McHire (2025): Một tài khoản quản trị viên cũ với mật khẩu yếu “123456” đã để lộ dữ liệu của hơn 64 triệu ứng viên, cho thấy hậu quả nghiêm trọng khi các tài khoản thử nghiệm hoặc tài khoản mặc định không được quản lý chặt chẽ.

Giải pháp bảo mật cho quy trình onboarding

Để loại bỏ rủi ro, các tổ chức nên chuyển dịch sang mô hình cho phép nhân viên tự thiết lập mật khẩu ngay từ đầu thông qua các quy trình xác thực danh tính an toàn. Thay vì nhận mật khẩu từ IT, người dùng sẽ nhận được một liên kết đăng ký (enrollment link) qua email cá nhân hoặc số điện thoại, sau đó tự tạo mật khẩu đáp ứng các tiêu chuẩn bảo mật của doanh nghiệp.

Việc áp dụng các giải pháp chuyên biệt giúp giảm bớt gánh nặng cho đội ngũ IT, đồng thời đảm bảo rằng không có mật khẩu tạm thời nào tồn tại trong hệ thống. Trong bối cảnh các phương thức tấn công ngày càng tinh vi, việc kiểm soát chặt chẽ vòng đời của mật khẩu, từ lúc cấp phát đến khi áp dụng các chính sách bảo mật nâng cao, là yếu tố then chốt để bảo vệ tài sản số của doanh nghiệp.

Nguồn tham khảo: The Hacker News