Tóm tắt nhanh
- Giao diện mới của Humble Bundle cho phép đăng nhập bằng email và mật khẩu mà không yêu cầu mã 2FA.
- Người đã đăng nhập có thể đổi mật khẩu mà không nhập mật khẩu hiện tại; yêu cầu đổi email được xác nhận ở địa chỉ mới, không phải địa chỉ cũ.
- Đây là lỗi bảo mật được ghi nhận sau đợt làm mới website, chưa có xác nhận rằng Humble Bundle chủ ý bỏ 2FA.
- Nếu còn dùng dịch vụ, hãy kiểm tra tài khoản và gỡ thông tin thanh toán đã lưu nếu website cho phép.
Bản giao diện mới của Humble Bundle đang làm suy yếu bảo vệ tài khoản: người dùng có thể đăng nhập mà không cần mã xác thực hai yếu tố, trong khi một số thao tác đổi thông tin nhạy cảm cũng thiếu bước xác minh chủ tài khoản.
Mất 2FA khiến mật khẩu trở thành lớp chắn duy nhất khi đăng nhập
PC Gamer ghi nhận tài khoản từng bật 2FA trên giao diện cũ vẫn đăng nhập được bằng email và mật khẩu; website mới không hỏi mã xác thực và cũng không còn tùy chọn bật lại tính năng này trong cài đặt. FAQ của Humble Bundle vẫn hướng dẫn người dùng sử dụng 2FA, nhưng chức năng được mô tả hiện không khả dụng trên giao diện mới.
2FA bổ sung một yếu tố ngoài mật khẩu, thường là mã dùng một lần trên ứng dụng xác thực. Nếu mật khẩu bị lộ hoặc bị dùng lại từ một dịch vụ khác, lớp này có thể ngăn người khác vào tài khoản. Khi không có nó, rủi ro tăng lên đáng kể, nhất là với tài khoản còn lưu phương thức thanh toán hoặc chứa thư viện game và mã kích hoạt.
Quy trình đổi email có thể trao tài khoản cho người khác
Vấn đề đáng lo hơn nằm ở khả năng thay đổi thông tin tài khoản. Kotaku kiểm tra và ghi nhận người đang đăng nhập có thể đặt mật khẩu mới mà không cần nhập mật khẩu cũ. Khi đổi email, thông báo xác nhận được gửi đến địa chỉ mới thay vì địa chỉ đang gắn với tài khoản.
Hai bước này có thể kết hợp thành đường chiếm quyền: nếu ai đó có được một phiên đăng nhập, họ có thể đổi mật khẩu rồi chuyển email sang hộp thư mình kiểm soát, mà chủ tài khoản cũ không nhận được yêu cầu xác nhận ở địa chỉ ban đầu. Đây là mô tả rủi ro từ quy trình được ghi nhận, không phải bằng chứng Humble Bundle đã bị xâm nhập hay dữ liệu người dùng bị đánh cắp.
Humble Bundle chưa công bố rằng việc bỏ 2FA là thay đổi chủ ý. Việc trang trợ giúp vẫn khuyến nghị bật tính năng này càng cho thấy hướng dẫn và giao diện mới chưa thống nhất. Cho đến khi các kiểm tra được khôi phục, người dùng không nên xem việc chỉ đổi mật khẩu là biện pháp xử lý đầy đủ.
Người dùng nên rà soát thông tin thanh toán và tài khoản ngay
Nếu đang dùng Humble Bundle, hãy đăng nhập từ thiết bị và mạng tin cậy, kiểm tra email tài khoản, mật khẩu và các phương thức thanh toán đã lưu. Gỡ thẻ nếu tùy chọn này còn hoạt động; một số người dùng báo gặp lỗi khi xóa thông tin thanh toán, nên cần theo dõi giao dịch và bật thông báo biến động số dư ở ngân hàng hoặc tổ chức phát hành thẻ.
Nếu mật khẩu Humble Bundle được dùng lại ở nơi khác, hãy đổi mật khẩu tại các dịch vụ đó trước, mỗi nơi dùng một mật khẩu riêng và dài. Cũng nên bảo vệ hộp thư gắn với tài khoản bằng 2FA, bởi email thường là điểm khôi phục quyền truy cập. Không bấm vào liên kết đăng nhập hoặc yêu cầu xác minh bất ngờ gửi qua email.
Đợt làm mới website còn gây bất tiện cho việc quản lý thư viện: Kotaku ghi nhận giao diện không còn phân biệt rõ game đã kích hoạt với mã chưa dùng, khiến người có nhiều giao dịch khó tìm key còn lại. Đây là vấn đề sử dụng, nhưng lỗi ở thao tác đổi thông tin và đăng nhập cần được ưu tiên hơn vì ảnh hưởng trực tiếp đến quyền kiểm soát tài khoản.
Lỗi bảo mật cơ bản cần được sửa trước khi mở rộng giao diện
Ziff Davis đã cắt giảm nhân sự kỹ thuật của Humble Bundle trong mùa hè; theo lời các nhân viên được công bố khi đó, sau đợt sa thải chỉ còn hai kỹ sư. Bối cảnh này làm dấy lên câu hỏi về năng lực duy trì sản phẩm, nhưng chưa đủ để kết luận việc cắt giảm là nguyên nhân trực tiếp gây ra lỗi trong lần triển khai này.
Với một cửa hàng số gắn thư viện game và thông tin thanh toán, các luồng đổi mật khẩu, email và xác thực cần được kiểm tra như chức năng cốt lõi, không phải chi tiết giao diện. Humble Bundle cần khôi phục xác minh 2FA và yêu cầu xác nhận qua kênh cũ trước khi đổi email; đến lúc có thông báo sửa lỗi rõ ràng, người dùng nên hạn chế để phương thức thanh toán trên tài khoản.
