Nếu bạn đã bỏ 15 tệ để “xài chùa” gói hội viên Gemini, hãy tự cứu mình ngay lập tức như thế này

Trong giới chế máy gần đây xuất hiện một chiêu trò chợ đen: bỏ ra 15~20 tệ để “giả vờ sở hữu Pixel 10” và ép kích hoạt gói hội viên Gemini Advanced 12 tháng.

Nếu bạn đã trả tiền và hoàn tất toàn bộ thao tác, trải nghiệm được quyền hội viên, thì đừng vội mừng. Bởi vì trong giao dịch này, để cho script trên đám mây của chợ đen giúp bạn giả mạo dấu vân tay phần cứng, bạn đã làm theo hướng dẫn và giao ra một quyền chí mạng: khóa hạt giống dạng văn bản thuần (seed key) của xác thực hai lớp (2FA) tài khoản Google của bạn.

Nhiều người trong nhóm có nhận thức đơn giản: “Tôi đã có tài khoản trong tay, đổi mật khẩu Google ngay lập tức là an toàn rồi chứ?”

Rất tiếc, trước cơ chế xác thực danh tính hiện đại, đây hoàn toàn là vùng mù kỹ thuật. Đổi mật khẩu không thể vô hiệu hóa khóa 2FA đã bị lộ.

Nếu bạn không muốn vài tháng sau bị Google “ban” toàn bộ hệ sinh thái (Account Ban) một cách khó hiểu, hoặc không muốn email Gmail và quyền riêng tư của mình trở thành tài sản phơi trần trong cơ sở dữ liệu của chợ đen, hãy ngay lập tức dành ba phút làm theo các bước tự cứu kỹ thuật dưới đây.

Tại sao đổi mật khẩu lại vô ích?

Chuỗi ký tự văn bản thuần 32 ký tự mà hướng dẫn bắt bạn sao chép (thường xuất hiện khi bấm “Không quét được mã QR”) chính là hạt giống (Seed) cấp thấp nhất của thuật toán TOTP.

Một khi hạt giống này lọt vào cơ sở dữ liệu của chợ đen, máy chủ backend của chúng có thể tính ra mã xác thực động 6 chữ số y hệt tại bất kỳ thời điểm nào trong tương lai. Ngay cả khi bạn đổi mật khẩu, chợ đen chỉ cần kích hoạt “Quên mật khẩu” hoặc đăng nhập qua phiên đã lưu trong bộ nhớ cache, tận dụng mã động có hiệu lực liên tục này, vẫn có thể lặng lẽ đăng nhập vào tài khoản của bạn như về nhà mình.