Mới ghi nhận 17 giờ: bot tìm gì trên website của chúng tôi

Từ ngày 12 tháng 10, 2026, chúng tôi ghi nhận một điều trên digimasi.com: bot tìm đến những tệp mà website này chưa từng có. Đây là ghi chép từ 17 giờ đầu tiên. Dữ liệu còn ít, nên hãy xem đây là cái nhìn ban đầu, chưa phải số liệu thống kê.

Con số

58 yêu cầu từ 9 địa chỉ IP, ghi nhận từ 18:38 ngày 12 tháng 10 đến 12:01 ngày 13 tháng 10, giờ Jakarta.
Các địa chỉ này được đăng ký tại 7 quốc gia. Đó là nơi đặt máy chủ, chưa chắc là nơi của người đứng sau.
46 trong số 58 yêu cầu đến từ chỉ hai địa chỉ. Cách làm giống nhau: đến, thử hết một danh sách dài trong chưa đầy một giờ, rồi đi.

Không yêu cầu nào thành công. Những tệp chúng tìm vốn không có trên website của chúng tôi, nên tất cả chỉ nhận được trang "không tìm thấy".

Chúng tìm gì

Tệp cấu hình bí mật (20 yêu cầu). /.env và hơn chục biến thể: /.env.backup, /.env.production, /.env.local, /.env.save. Những tệp như vậy thường chứa mật khẩu cơ sở dữ liệu và khóa của các dịch vụ bên thứ ba.
Thư mục lịch sử mã (19 yêu cầu). Nội dung thư mục /.git/. Nếu thư mục này bị tải lên máy chủ, bất kỳ ai cũng có thể tải về toàn bộ mã của website cùng lịch sử thay đổi.
WordPress (10 yêu cầu). /wp-login.php, /xmlrpc.php và đường dẫn của một plugin. Website của chúng tôi không dùng WordPress. Bot không quan tâm: cứ thử trước, xem kết quả sau.
Khóa cloud và máy chủ (3 yêu cầu). /.aws/credentials và /.docker/config.json.
Khác (6 yêu cầu). Các tệp cấu hình khác, đường dẫn đặc trưng của một số framework và tệp PHP.

Đáng chú ý: khóa dịch vụ AI

Ba yêu cầu khiến chúng tôi chú ý nhất: /.env.openai, /.env.anthropic và /.claude/settings.json.

Nghĩa là khóa dịch vụ AI giờ đã nằm trong danh sách săn tìm của bot, bên cạnh mật khẩu cơ sở dữ liệu và khóa cloud. Lý do rất đơn giản: khóa đó dùng được ngay, còn hóa đơn thì chủ khóa phải trả.

Tự kiểm tra website của bạn

Bạn có thể tự kiểm tra tất cả trong năm phút, trên website của chính mình:

Mở tenmiencuaban.com/.env trên trình duyệt. Kết quả phải là "không tìm thấy". Nếu lại hiện ra nội dung tệp, hãy chuyển ngay tệp đó ra khỏi thư mục công khai, rồi đổi toàn bộ mật khẩu và khóa trong đó.
Mở tenmiencuaban.com/.git/HEAD. Kết quả cũng phải là "không tìm thấy". Nếu hiện ra chữ, nghĩa là ai cũng mở được thư mục .git của bạn.
Đừng để tệp sao lưu (.zip, .sql, .bak) trong thư mục có thể truy cập từ internet.
Lưu khóa dịch vụ, kể cả khóa AI, trong phần cài đặt của máy chủ, không lưu trong tệp nằm ở thư mục website. Đặt thêm hạn mức sử dụng trên tài khoản dịch vụ, để hóa đơn không tăng vọt nếu khóa bị lộ.
Nếu dùng WordPress: giới hạn số lần thử đăng nhập, bật xác minh hai bước cho tài khoản quản trị và tắt xmlrpc.php nếu không dùng đến.

Về dữ liệu này

Chúng tôi chỉ quan sát. Toàn bộ dữ liệu đến từ những bot tự tìm đến digimasi.com; chúng tôi không bao giờ quét website của người khác và không hiển thị địa chỉ IP ở đây. Những địa chỉ rõ ràng đang tấn công sẽ được báo cáo cho AbuseIPDB. Cách làm đầy đủ có ở trang phương pháp.

Chúng tôi sẽ công bố báo cáo đầy đủ hơn sau khi thu thập được dữ liệu của vài tuần.