Gửi file ZIP mã hóa rồi gửi mật khẩu qua email khác có an toàn không? Giải pháp tốt hơn

"Nén file thành ZIP có mật khẩu, gửi qua email, rồi gửi mật khẩu qua email tiếp theo." Cách làm này phổ biến ở nhiều công ty, nhưng thực tế bảo mật gần như bằng không.

Ở Nhật Bản, cách này phổ biến đến mức có tên riêng: PPAP. Chính phủ Nhật đã chính thức bỏ nó từ năm 2020. Hãy xem tại sao mọi tổ chức nên làm tương tự.

Tại sao phương pháp này không hiệu quả

1. Mật khẩu đi cùng đường với file

File ZIP và mật khẩu gửi từ cùng một tài khoản email đến cùng một người nhận. Nếu email bị chặn, kẻ tấn công có cả hai. Giống như khóa cửa rồi dán chìa khóa bên cạnh.

2. Phần mềm bảo mật không thể quét nội dung

Hầu hết cổng bảo mật email không thể kiểm tra nội dung ZIP có mật khẩu. Thay vì tăng bảo mật, cách này lại tạo đường cho mã độc vượt qua hàng phòng thủ.

3. Mã hóa ZIP yếu

Mã hóa ZIP tiêu chuẩn (ZipCrypto) đã có lỗ hổng đã biết. Với công cụ phù hợp, có thể bẻ khóa trong vài phút.

4. Không ngăn gửi nhầm người

Nếu gửi email đầu nhầm người, email thứ hai gần như chắc chắn cũng gửi nhầm.

5. Trải nghiệm người nhận tệ

• Phải lục email tìm mật khẩu
• Mở file ZIP trên điện thoại khó khăn
• Nhập mật khẩu lặp đi lặp lại

Giải pháp thay thế tốt hơn

Cách 1: Link chia sẻ từ lưu trữ đám mây

Dùng Google Drive, OneDrive để chia sẻ file qua link.

Ưu điểm:

• Kiểm soát quyền truy cập chi tiết
• Theo dõi lượt tải
• Có thể thu hồi quyền truy cập
• Quét mã độc hoạt động bình thường

Nhược điểm:

• Không phải dịch vụ nào cũng cho đặt mật khẩu cho link riêng lẻ
• Chính sách IT có thể hạn chế chia sẻ bên ngoài

Cách 2: Bọc link bằng mật khẩu bảo vệ

Bọc link cloud bằng lớp bảo vệ mật khẩu. LOCK.PUB cho phép thêm mật khẩu cho bất kỳ URL nào — link Google Drive, link tải hay bất kỳ URL nào.

So sánh	ZIP + Email	LOCK.PUB + Cloud
Đường truyền mật khẩu	Giống nhau (email)	Có thể tách biệt
Quét mã độc	Bị chặn	Hoạt động bình thường
Nhật ký truy cập	Không	Có
Thu hồi truy cập	Không thể	Xóa link
Gửi nhầm người	Không cứu được	Xóa link ngay

Cách 3: Chia sẻ qua công cụ nhắn tin doanh nghiệp

Chia sẻ file trực tiếp qua Zalo, Slack, Microsoft Teams. An toàn hơn email đính kèm nhưng cần lưu ý chính sách lưu trữ.

Cách 4: Giải pháp truyền file doanh nghiệp

Với tổ chức có yêu cầu tuân thủ cao, các giải pháp như Box hoặc SharePoint cung cấp kiểm toán đầy đủ.

Nguyên tắc cốt lõi: Tách mật khẩu khỏi file

Quy tắc cơ bản: không bao giờ gửi mật khẩu qua cùng kênh với file.

Email gửi file (hoặc link), Zalo gửi mật khẩu. Tốt hơn nữa, dùng LOCK.PUB — mật khẩu được tích hợp trong link, người nhận nhập mật khẩu khi truy cập, không cần truyền riêng.

Kết luận

Gửi ZIP có mật khẩu qua email chỉ tạo ảo giác về bảo mật, trong khi thực tế làm mọi thứ tệ hơn bằng cách chặn phát hiện mã độc.

Danh sách kiểm tra chia sẻ file an toàn:

• Chuyển sang link chia sẻ lưu trữ đám mây
• Thêm bảo vệ mật khẩu cho link chia sẻ
• Thiết lập ghi nhật ký truy cập
• Xây dựng quy định chia sẻ file mới
• Đào tạo nhóm về thực hành an toàn

→ Tạo link bảo vệ bằng mật khẩu tại LOCK.PUB