Xác thực hai lớp (two-factor authentication, 2FA) thêm một bằng chứng thứ hai sau mật khẩu, và mỗi cách có độ mạnh rất khác nhau. Từ yếu tới mạnh: mã SMS, mã từ ứng dụng xác thực, thông báo đẩy có khớp số, và các cách chống được lừa đảo như passkey hay khoá bảo mật phần cứng. Có lớp thứ hai nào cũng tốt hơn hẳn không có, nhưng mã mà mình đọc được hay gõ được thì vẫn có thể bị một kịch bản lừa khéo lấy mất.
Với đa số người, cách thực tế là: ứng dụng xác thực hoặc passkey cho email và mạng xã hội, xác nhận trong ứng dụng ngân hàng cho chuyện ngân hàng, và lưu mã dự phòng cho mọi tài khoản. Thói quen quan trọng nhất: không bao giờ đưa mã xác thực cho ai, dù người đó xưng là ai.
Vì sao cần lớp thứ hai, và vì sao không lớp nào giống lớp nào
Mật khẩu bị lộ liên tục: qua các vụ rò rỉ dữ liệu của trang web, qua thói quen dùng lại một mật khẩu cho nhiều nơi, qua trang đăng nhập giả. Có lớp thứ hai nghĩa là chỉ có mật khẩu bị lộ thì chưa đủ. Với phần lớn các đợt tấn công tự động, vốn chỉ đem mật khẩu đã lộ đi thử trên thật nhiều tài khoản, chừng đó đã đủ chặn.
Lớp thứ hai thường là "thứ mình có", như điện thoại hay khoá bảo mật, cộng thêm vào "thứ mình biết" là mật khẩu. Các cách khác nhau ở chỗ kẻ gian lấy được hoặc chuyển tiếp được cái thứ hai đó dễ hay khó.
Ý cốt lõi là: nếu lớp thứ hai là một mã mà người đọc rồi gõ, kẻ lừa đảo có thể hỏi xin người đó. Trang web giả có thể đòi mã ngay sau mật khẩu và dùng nó trong vài giây. Người gọi điện xưng là ngân hàng, bên giao hàng hay cơ quan nhà nước có thể nhờ mình "đọc giúp mã vừa gửi để xác nhận". Cách đó vẫn mạnh trước kiểu đoán mò từ xa, nhưng yếu trước lời thuyết phục.
Các cách chống lừa đảo (phishing-resistant) loại con người ra khỏi vòng đó. Với passkey hay khoá bảo mật, trình duyệt tự kiểm địa chỉ trang web, và không có mã nào để đọc cho ai. Vì thế dân bảo mật xếp chúng vào một hạng riêng.
Đặt các cách chính cạnh nhau
Độ mạnh ở đây là khả năng chống các kiểu tấn công mà người bình thường thật sự gặp, không phải độ an toàn trên lý thuyết.
| Cách | Chạy thế nào | Điểm yếu chính | Hợp với |
|---|---|---|---|
| Mã SMS | Mã dùng một lần gửi tin nhắn tới số điện thoại | Bị chiếm SIM, bị chặn tin, bị lừa đọc mã | Tài khoản không có cách nào tốt hơn |
| Mã qua email | Mã hoặc đường dẫn gửi vào email | An toàn tới đâu là tuỳ hộp thư email | Tài khoản giá trị thấp |
| Ứng dụng xác thực | Ứng dụng sinh mã mới sau mỗi khoảng ngắn từ một bí mật dùng chung | Vẫn có thể bị dụ gõ mã vào trang giả | Phần lớn tài khoản cá nhân |
| Thông báo đẩy | Bấm duyệt thông báo đăng nhập trên điện thoại | Bị dội thông báo liên tục khiến người mệt bấm duyệt | Tài khoản công việc, tốt nhất khi có khớp số |
| Passkey | Thiết bị ký câu đố sau vân tay, khuôn mặt hay PIN | Phụ thuộc khoá màn hình và khâu khôi phục tài khoản | Email, mạng xã hội, mua sắm, công việc |
| Khoá bảo mật phần cứng | Chạm vào khoá vật lý để xác nhận, tự kiểm địa chỉ web | Có thể làm mất; nên đăng ký hai khoá | Quản trị viên, tài khoản giá trị cao |
Ngân hàng thường có cách riêng, như xác nhận trong ứng dụng ngân hàng bằng sinh trắc học. Những cách đó theo thiết kế và quy định của ngân hàng; cứ dùng đúng thứ ngân hàng cung cấp và cập nhật ứng dụng thường xuyên.
Kẻ gian vượt lớp thứ hai bằng cách nào
Trang đăng nhập giả chuyển tiếp tức thì. Trang giả chuyển ngay mật khẩu và mã của mình sang trang thật. Chỉ các cách chống lừa đảo mới chặn chắc được kiểu này.
Gọi điện xin "mã vừa gửi". Không ngân hàng, bên giao hàng hay cơ quan thật nào cần mình đọc mã xác thực cho họ. Ai xin là lừa đảo.
Chiếm SIM (SIM swap). Kẻ gian tìm cách chuyển số điện thoại của mình sang một SIM mới, rồi nhận luôn mã SMS. Điện thoại tự dưng mất sóng có thể là dấu hiệu cảnh báo.
Dội thông báo đẩy. Kẻ đã có mật khẩu sẽ bắn liên tục thông báo đăng nhập, hay vào ban đêm, chờ mình bấm duyệt cho yên. Đừng bao giờ duyệt lần đăng nhập mình không tự làm.
Ứng dụng độc đọc tin nhắn hay màn hình. App giả cài từ đường link có thể đọc mã SMS hay theo dõi màn hình. Chỉ cài ứng dụng từ kho chính thức.
Đường khôi phục yếu. Tài khoản mà khôi phục được chỉ bằng SMS thì kẻ gian có thể nhắm vào khâu khôi phục thay vì khâu đăng nhập.
Đánh cắp phiên đăng nhập. Mã độc trên máy tính có thể lấy cắp một phiên đã đăng nhập sẵn, bỏ qua luôn khâu đăng nhập. Giữ máy sạch quan trọng ngang với chọn lớp thứ hai.
Cách thiết lập hợp lý cho người bình thường
Không cần cách mạnh nhất ở mọi nơi. Chọn cách theo giá trị của tài khoản.
- Bắt đầu từ tài khoản email chính. Nó đặt lại được gần như mọi thứ khác. Dùng passkey hoặc ứng dụng xác thực, đừng dùng SMS nếu có lựa chọn tốt hơn.
- Bảo vệ tài khoản đồng bộ điện thoại và mật khẩu. Mất nó là mất cùng lúc quyền vào rất nhiều tài khoản khác.
- Bật lớp thứ hai cho mạng xã hội và ứng dụng nhắn tin. Tài khoản chat, mạng xã hội bị chiếm sẽ bị dùng để lừa bạn bè, người thân của mình.
- Lưu mã dự phòng cho mọi tài khoản. In ra giấy hoặc cất trong trình quản lý mật khẩu, đừng chụp ảnh để trong thư viện ảnh điện thoại.
- Đăng ký thêm một thiết bị hoặc khoá thứ hai khi được. Cứu mình lúc điện thoại hỏng hay mất.
- Kiểm tra thông tin khôi phục. Gỡ số điện thoại cũ, email cũ mà mình không còn dùng.
Với ngân hàng, làm theo đúng hướng dẫn cài đặt trong ứng dụng chính thức, và bật thông báo biến động số dư để thấy ngay mọi giao dịch lạ.
Khi đã lỡ có chuyện
Nếu đã đưa mã cho ai đó rồi mới nhận ra là lừa đảo, hãy hành động ngay. Với ngân hàng, gọi tổng đài chính thức theo số in trên thẻ hoặc trong ứng dụng chính thức, không gọi số trong tin nhắn, và đề nghị khoá tài khoản. Sau đó trình báo công an.
Với email hay mạng xã hội, đăng nhập từ một thiết bị tin cậy, đổi mật khẩu, đăng xuất mọi phiên khác, kiểm thông tin khôi phục và các ứng dụng đã kết nối, rồi báo cho người thân, bạn bè có thể nhận tin nhắn từ tài khoản bị chiếm.
Nếu lỡ bấm duyệt một thông báo đẩy, xử lý y như vậy: kẻ gian đã có mật khẩu và có thể đã có phiên đăng nhập. Đổi mật khẩu ngay và xem lại hoạt động gần đây.
Đừng để ngại ngùng làm mình chậm tay. Những kịch bản này do dân chuyên nghiệp dựng ra để lừa được cả người thông minh, cẩn thận, và từng phút đều có ý nghĩa.
Câu hỏi thường gặp
Xác thực hai lớp bằng SMS có còn đáng dùng?
Có, nếu dịch vụ không có cách nào tốt hơn. Nó chặn được phần lớn các đợt tấn công tự động bằng mật khẩu đã lộ. Dịch vụ cho chọn thì chuyển sang ứng dụng, passkey hay khoá bảo mật.
Mất điện thoại có ứng dụng xác thực thì sao?
Dùng mã dự phòng đã lưu hoặc thiết bị thứ hai đã đăng ký để đăng nhập, rồi cài lại ứng dụng trên máy mới. Một số ứng dụng xác thực có sao lưu mã hoá; nên bật lên.
Khớp số trong thông báo đẩy là gì?
Màn hình đăng nhập hiện một con số và mình phải gõ đúng số đó vào thông báo trên điện thoại. Cách này chặn việc lỡ tay duyệt một yêu cầu mình không tự làm.
Có cần mua khoá bảo mật phần cứng không?
Đa số người không cần, nhất là khi đã dùng passkey. Khoá rất đáng với quản trị viên, người của công chúng, nhà báo và ai có nguy cơ bị nhắm tới. Đã mua thì đăng ký hai cái.
Vì sao kẻ lừa đảo hay xin mình đọc mã OTP?
Vì mã đó là mảnh cuối cùng họ cần để hoàn tất một lần đăng nhập hay giao dịch họ đã khởi động sẵn. Ai xin cũng từ chối và cúp máy.
Người khác có chiếm được số điện thoại của mình không?
Có thể, qua chiêu chiếm SIM. Nếu điện thoại tự dưng mất sóng không rõ lý do, liên hệ ngay nhà mạng bằng máy khác, và đừng dựa vào SMS cho các tài khoản quan trọng.
