Hộp thư chính là tài khoản quan trọng nhất bạn có, vì gần như mọi dịch vụ khác gửi thư đặt lại mật khẩu về đó. Bảo mật nó gồm: mật khẩu riêng hoặc passkey, xác thực hai lớp không chỉ dựa vào SMS, rà định kỳ thiết bị đang đăng nhập, ứng dụng được cấp quyền, các quy tắc chuyển tiếp và bộ lọc thư, cùng email và số điện thoại khôi phục.
Bài lấy Gmail làm ví dụ chính vì đây là hộp thư cá nhân phổ biến ở Việt Nam; với Outlook và các dịch vụ khác, các mục tương ứng có tên khác nhưng nguyên lý giống nhau. Google có công cụ Kiểm tra bảo mật dẫn bạn qua từng mục; Microsoft cũng có trang bảo mật tài khoản tương tự. Giao diện thay đổi theo thời gian, hãy kiểm phiên bản bạn đang dùng.
Vì sao email chính quan trọng hơn cả tài khoản ngân hàng
Nghe có vẻ ngược, nhưng với nhiều người, mất email nguy hiểm hơn mất mật khẩu ngân hàng. Ngân hàng có nhiều lớp bảo vệ riêng: mã PIN giao dịch, Smart OTP, xác thực sinh trắc học cho giao dịch lớn, tổng đài khoá tài khoản. Email thì khác: ai vào được hộp thư có thể bấm "quên mật khẩu" ở mạng xã hội, ví điện tử, sàn mua sắm, dịch vụ lưu trữ ảnh, và nhận đường đặt lại ngay trong hộp thư đó. Một tài khoản bị chiếm mở ra cả chục tài khoản khác.
Hộp thư còn là kho thông tin. Thư cũ chứa bản sao căn cước bạn từng gửi, hợp đồng thuê nhà, sao kê, hoá đơn có địa chỉ, ảnh hộ chiếu khi làm thị thực. Kẻ xấu đọc hộp thư vài giờ là có đủ thông tin để mạo danh bạn trước ngân hàng, nhà mạng hay người thân. Đó là lý do tài khoản email chính phải được bảo vệ chặt nhất, chặt hơn cả mạng xã hội.
Đối với tài khoản Google hay Microsoft, email còn gắn với điện thoại (danh bạ, ảnh, bản sao lưu), kho mật khẩu của trình duyệt, lịch, tệp đám mây. Nói cách khác, tài khoản gốc này chứa gần như toàn bộ đời sống số của bạn trong một chỗ.
Chạy kiểm tra bảo mật tài khoản từng bước
Với tài khoản Google, mở phần Quản lý tài khoản, mục Bảo mật, công cụ Kiểm tra bảo mật. Với tài khoản Microsoft, mở trang bảo mật tài khoản. Làm lần lượt các bước sau, mỗi tháng hoặc mỗi quý một lần.
- Xem cảnh báo bảo mật gần đây: đăng nhập lạ, đổi mật khẩu, thêm phương thức khôi phục. Mọi sự kiện bạn không nhận ra đều cần điều tra tiếp.
- Xem danh sách thiết bị đang đăng nhập. Đăng xuất thiết bị cũ, đã bán, đã đổi, hoặc không nhận ra.
- Xem phương thức đăng nhập: mật khẩu, passkey, xác thực hai bước. Nếu chỉ có SMS, thêm ứng dụng xác thực hoặc passkey.
- Xem email và số điện thoại khôi phục: còn dùng không, có cái nào lạ không.
- Xem ứng dụng và dịch vụ bên thứ ba có quyền truy cập tài khoản. Gỡ những thứ không còn dùng.
- Mở cài đặt của chính hộp thư, kiểm phần chuyển tiếp thư và bộ lọc như ở phần sau.
- Nếu dùng trình quản lý mật khẩu của Google hoặc Microsoft, xem báo cáo mật khẩu bị lộ, bị dùng lại, và đổi dần.
Lần đầu có thể mất nửa giờ; những lần sau chỉ năm phút vì danh sách đã sạch. Đặt nhắc việc trong lịch điện thoại cho ngày đầu mỗi quý là cách đơn giản để không quên.
Những cài đặt hộp thư mà kẻ xấu hay để lại
Kẻ xâm nhập hộp thư thường không muốn bạn phát hiện ngay. Họ để lại các cài đặt giúp họ tiếp tục đọc thư sau khi bạn đã đổi mật khẩu, hoặc giấu thư cảnh báo khỏi mắt bạn. Các mục này nằm trong phần cài đặt của hộp thư, không nằm ở trang bảo mật tài khoản, nên kiểm tra bảo mật thông thường dễ bỏ sót.
| Cài đặt | Kẻ xấu dùng để | Cách kiểm |
|---|---|---|
| Chuyển tiếp thư tự động | Nhận bản sao mọi thư gửi đến bạn, kể cả sau khi bạn đổi mật khẩu | Mở mục chuyển tiếp trong cài đặt hộp thư; phải trống hoặc chỉ có địa chỉ của chính bạn |
| Bộ lọc, quy tắc thư | Tự chuyển thư từ ngân hàng, mạng xã hội vào thùng rác hoặc lưu trữ để bạn không thấy cảnh báo | Xem danh sách bộ lọc; xoá bộ lọc bạn không tự tạo |
| Uỷ quyền truy cập hộp thư | Cho một tài khoản khác đọc và gửi thư thay bạn | Mục uỷ quyền hoặc cấp quyền truy cập cho người khác phải trống nếu bạn không dùng |
| Chữ ký và trả lời tự động | Chèn đường dẫn lừa đảo vào mọi thư bạn gửi | Đọc lại chữ ký và tin nhắn trả lời tự động |
| Truy cập qua giao thức thư cũ | Một số ứng dụng thư cũ đăng nhập bằng mật khẩu ứng dụng, bỏ qua lớp xác thực mới | Xem mật khẩu ứng dụng đã tạo; xoá những cái không dùng |
Sau khi phát hiện và đổi mật khẩu vì nghi bị xâm nhập, luôn kiểm lại bảng trên. Đổi mật khẩu không tự xoá chuyển tiếp thư hay bộ lọc. Nhiều người đổi mật khẩu xong yên tâm, trong khi thư của họ vẫn đều đặn được sao một bản sang địa chỉ lạ.
Ứng dụng có quyền vào hộp thư, kể cả trợ lý AI
Bấm "Đăng nhập bằng Google" để vào một trang web chỉ cho trang đó tên và địa chỉ email. Nhưng một số ứng dụng xin nhiều hơn: đọc, soạn, gửi và xoá thư; xem và quản lý tệp trên ổ đám mây; xem lịch. Những ứng dụng quản lý thư, ứng dụng hoá đơn, và gần đây là các trợ lý AI hứa tóm tắt hộp thư, trả lời thư hộ, thường cần quyền đọc toàn bộ hộp thư để làm việc. Quyền đó đi kèm với rủi ro: nếu ứng dụng bị tấn công, đổi chủ hoặc làm ăn không đàng hoàng, hộp thư của bạn mở cho họ.
Màn hình xin quyền của Google và Microsoft liệt kê rõ ứng dụng muốn làm gì. Hãy đọc trước khi bấm Cho phép. Với trợ lý AI đọc thư, cân nhắc dùng tính năng AI có sẵn trong chính dịch vụ email bạn đang dùng (dữ liệu ở lại cùng nhà cung cấp) thay vì cấp quyền cho một bên thứ ba ít tên tuổi. Chuyện đưa dữ liệu vào AI nói chung, cái gì nên và không nên, được bàn kỹ trong mục Dữ liệu khi dùng chatbot AI.
Mỗi quý, mở danh sách ứng dụng bên thứ ba có quyền truy cập tài khoản, gỡ những thứ bạn không nhớ đã cấp hoặc không dùng trong vài tháng. Với những thứ còn dùng, xem nó có quyền rộng hơn mức cần không. Gỡ quyền không xoá tài khoản của bạn ở ứng dụng đó, chỉ cắt đường vào hộp thư.
Tách hộp thư theo mức độ quan trọng
Một hộp thư "két sắt". Dùng cho ngân hàng, ví điện tử, tài khoản gốc điện thoại, dịch vụ công, mạng xã hội chính. Địa chỉ này ít khi đưa cho ai, bảo vệ bằng passkey hoặc ứng dụng xác thực. Vì ít công khai nên ít bị nhắm thư lừa.
Một hộp thư giao dịch hằng ngày. Dùng để trao đổi với bạn bè, công việc, gửi hồ sơ. Vẫn bảo vệ đầy đủ, nhưng chấp nhận nó được nhiều người biết.
Một hộp thư đăng ký linh tinh. Dùng cho trang khuyến mãi, ứng dụng dùng thử, diễn đàn, nhận mã giảm giá. Nếu trang nào bị lộ dữ liệu, chỉ hộp thư này bị ảnh hưởng, và nó không mở khoá được tài khoản quan trọng nào.
Đừng làm quá. Ba hộp thư là đủ cho hầu hết mọi người; nhiều hơn dễ quên mật khẩu và quên kiểm tra. Hộp thư đăng ký linh tinh vẫn cần mật khẩu riêng và xác thực hai lớp, vì nó đứng tên bạn.
Đường khôi phục và chuyện khi bạn không còn dùng tài khoản
Email khôi phục và số điện thoại khôi phục là đường lui khi bạn quên mật khẩu, nhưng cũng là đường vào nếu chúng nằm trong tay người khác. Hãy chắc email khôi phục là một hộp thư bạn đang dùng, được bảo vệ tốt, không phải email công ty cũ hay email của người yêu cũ. Số khôi phục là số chính chủ, đã khoá PIN SIM.
Một tình huống ít ai chuẩn bị: nếu bạn ốm nặng, qua đời, hoặc đơn giản là ngừng dùng một tài khoản trong thời gian dài, chuyện gì xảy ra với hộp thư? Google có tính năng quản lý tài khoản không hoạt động, cho phép bạn chọn người được nhận quyền truy cập một phần dữ liệu sau một thời gian tài khoản không hoạt động, hoặc yêu cầu xoá tài khoản. Các nhà cung cấp lớn khác cũng có chính sách riêng; hãy kiểm phần trợ giúp chính thức của dịch vụ bạn dùng.
Ngoài tính năng đó, cách đơn giản là phong bì giấy cất ở nhà đã nói ở bài về trình quản lý mật khẩu: ghi rõ hộp thư nào là "két sắt", mã dự phòng ở đâu. Với gia đình, việc này tránh cho người thân cảnh không vào được thư của ngân hàng, bảo hiểm khi cần làm thủ tục.
Bảo vệ nâng cao cho người dễ bị nhắm tới
Phần lớn người dùng chỉ cần các bước ở trên. Nhưng một số người có lý do để bị nhắm riêng: chủ doanh nghiệp giữ tài khoản ngân hàng công ty, kế toán, người quản trị trang có nhiều người theo dõi, nhà báo, người có tên tuổi, hoặc người vừa trải qua một vụ bị mạo danh. Với nhóm này, kẻ xấu sẵn sàng bỏ công dựng kịch bản riêng, gửi thư giả viết riêng cho họ, gọi điện mạo danh bộ phận hỗ trợ.
Google có Chương trình bảo vệ nâng cao dành cho những tài khoản có nguy cơ cao: bắt buộc đăng nhập bằng khoá bảo mật hoặc passkey, giới hạn ứng dụng bên thứ ba được truy cập dữ liệu, và làm quy trình khôi phục tài khoản chặt hơn, chậm hơn để kẻ mạo danh khó lợi dụng. Các nhà cung cấp lớn khác có tuỳ chọn tương tự dưới tên khác. Điều kiện và cách đăng ký thay đổi theo thời gian, hãy đọc trang chính thức trước khi bật.
Đánh đổi là sự tiện lợi. Bạn cần có ít nhất hai khoá bảo mật hoặc hai thiết bị có passkey, một số ứng dụng cũ sẽ không kết nối được, và nếu mất hết phương thức đăng nhập thì việc lấy lại tài khoản mất nhiều ngày. Với người thật sự có nguy cơ, cái giá đó đáng trả; với người dùng thông thường, passkey cộng ứng dụng xác thực đã là mức bảo vệ tốt.
Câu hỏi thường gặp
Làm sao biết có ai đang đọc trộm Gmail của mình?
Xem danh sách thiết bị đang đăng nhập và hoạt động gần đây của tài khoản, kiểm phần chuyển tiếp thư, bộ lọc và uỷ quyền trong cài đặt hộp thư. Gmail trên máy tính cũng có mục xem chi tiết hoạt động gần đây ở cuối trang hộp thư. Thấy phiên lạ thì đăng xuất, đổi mật khẩu và kiểm lại các cài đặt đó.
Đổi mật khẩu email rồi có cần làm gì thêm không?
Có. Kiểm chuyển tiếp thư, bộ lọc, uỷ quyền, mật khẩu ứng dụng và ứng dụng bên thứ ba, vì đổi mật khẩu không xoá chúng. Kiểm email và số khôi phục có bị thay không. Sau đó đổi mật khẩu các tài khoản quan trọng nhận thư đặt lại về hộp thư này.
Có nên dùng email công ty để đăng ký tài khoản cá nhân không?
Không nên. Khi nghỉ việc, bạn mất quyền vào email công ty, kéo theo mất đường khôi phục của mọi tài khoản cá nhân gắn với nó. Ngược lại, công ty có quyền quản lý hộp thư đó. Tách hẳn email cá nhân và email công việc ngay từ đầu.
Thư báo đăng nhập lạ có thể là giả không?
Có. Kẻ xấu hay giả thư cảnh báo bảo mật để dụ bạn bấm vào trang đăng nhập giả. Không bấm đường dẫn trong thư; tự mở trang quản lý tài khoản bằng cách gõ địa chỉ quen thuộc hoặc mở từ ứng dụng chính thức, xem mục hoạt động bảo mật ở đó. Cảnh báo thật luôn có trong trang tài khoản.
Có nên để ứng dụng thư trên điện thoại luôn đăng nhập không?
Được, nếu điện thoại có khoá màn hình mạnh và bạn tắt hiển thị nội dung thư trên màn hình khoá. Mất máy thì đăng xuất từ xa qua trang quản lý tài khoản trên một máy khác. Với máy tính dùng chung, không giữ đăng nhập.
Hộp thư bị đầy có ảnh hưởng đến bảo mật không?
Gián tiếp có. Khi hộp thư đầy, thư mới có thể bị trả lại, bao gồm thư cảnh báo bảo mật và thư đặt lại mật khẩu bạn cần. Dọn bớt thư có tệp đính kèm lớn, và nhân tiện xoá thư cũ chứa ảnh giấy tờ cá nhân không còn cần giữ.