Xác thực hai lớp (còn gọi là xác thực hai yếu tố, 2FA) là khi đăng nhập, ngoài mật khẩu bạn phải đưa thêm một bằng chứng thứ hai: mã gửi qua tin nhắn, mã sinh ra trong ứng dụng xác thực, một cú bấm xác nhận trên điện thoại, hoặc một khoá bảo mật cắm vào máy. Nhờ lớp thứ hai, kẻ có được mật khẩu của bạn vẫn chưa vào được tài khoản.
Không phải loại nào cũng mạnh như nhau. Xếp từ yếu đến mạnh theo khả năng chống lừa: mã qua SMS, mã từ ứng dụng xác thực và thông báo đẩy, rồi khoá bảo mật và khoá truy cập (passkey). Nhưng loại yếu nhất vẫn tốt hơn hẳn việc không bật gì. Nếu hôm nay chỉ làm được một việc, hãy bật xác thực hai lớp cho email chính.
Lớp thứ hai chặn được gì và không chặn được gì
Phần lớn tài khoản bị chiếm theo con đường đơn giản: mật khẩu bị lộ ở đâu đó rồi bị đem thử. Xác thực hai lớp chặn gần trọn kiểu này. Kẻ xấu có mật khẩu đúng nhưng không có điện thoại của bạn, không có mã sáu số đang hiện trong ứng dụng của bạn, nên dừng lại ở bước thứ hai. Đây là lý do mọi hướng dẫn bảo mật đều đặt xác thực hai lớp lên đầu danh sách.
Thứ nó không tự chặn được là chính bạn đưa mã cho kẻ xấu. Kịch bản phổ biến: một cuộc gọi tự xưng nhân viên hỗ trợ, hoặc một tin nhắn từ "bạn bè" nhờ đọc giúp mã vừa gửi về máy. Mã đó chính là lớp bảo vệ thứ hai của tài khoản bạn. Với AI, các kịch bản này được viết trơn tru hơn, giọng nói giả cũng giống hơn, nên quy tắc phải tuyệt đối: mã xác thực không bao giờ đọc cho ai, dù người đó là ai.
Một giới hạn nữa ít người biết: trang đăng nhập giả tinh vi có thể chuyển tiếp ngay lập tức mật khẩu và mã một lần bạn vừa gõ sang trang thật, đăng nhập trước khi mã hết hạn. Mã SMS và mã từ ứng dụng xác thực đều không chống được kiểu này, vì chúng chỉ là những con số bạn gõ vào bất cứ ô nào được đưa ra. Chỉ khoá bảo mật vật lý và passkey kiểm tra được bạn đang ở trang thật hay trang giả. Hiểu điều này giúp bạn biết vì sao vẫn phải xem kỹ địa chỉ trang trước khi gõ mã, kể cả khi đã bật hai lớp.
So sánh các loại xác thực hai lớp
Bảng so sánh theo nguyên lý; tên gọi và cách bật cụ thể tuỳ từng dịch vụ, hãy kiểm phần cài đặt bảo mật của dịch vụ bạn dùng.
| Loại | Cách hoạt động | Điểm mạnh | Điểm yếu |
|---|---|---|---|
| Mã qua SMS hoặc cuộc gọi | Dịch vụ gửi mã một lần về số điện thoại | Không cần cài gì, ai cũng dùng được | Bị lộ nếu kẻ xấu chiếm được SIM hoặc đọc được tin nhắn; dễ bị lừa đọc mã |
| Ứng dụng xác thực | Ứng dụng trên điện thoại sinh mã sáu số đổi mỗi 30 giây, không cần mạng | Không phụ thuộc nhà mạng và SIM | Vẫn gõ được vào trang giả; mất máy mà chưa lưu mã dự phòng thì khó khôi phục |
| Thông báo đẩy xác nhận | Điện thoại đã đăng nhập hiện câu hỏi "có phải bạn không", bấm Đồng ý | Tiện, nhanh | Dễ bấm nhầm khi bị gửi dồn dập; một số dịch vụ đã thêm bước đối chiếu số để giảm lỗi này |
| Khoá bảo mật vật lý | Thiết bị nhỏ cắm cổng USB hoặc chạm NFC, ký xác nhận gắn với tên miền thật | Chống được trang giả | Phải mua, phải giữ; cần ít nhất hai chiếc để dự phòng |
| Passkey | Khoá mật mã lưu trên thiết bị, mở bằng vân tay, khuôn mặt hoặc mã máy | Chống trang giả, không phải gõ gì | Chưa phải dịch vụ nào cũng hỗ trợ |
Ở Việt Nam, ngân hàng và ví điện tử đã có hệ thống xác thực riêng: mã OTP, Smart OTP trong ứng dụng, xác thực sinh trắc học cho một số loại giao dịch theo quy định của Ngân hàng Nhà nước. Những lớp đó do ngân hàng quyết định, bạn không chọn được nhiều. Phần bạn chủ động được là email, tài khoản gốc của điện thoại, mạng xã hội và các dịch vụ khác, và đó chính là nơi bảng trên có ích.
Mã OTP qua SMS: vẫn hơn không, nhưng đừng dừng ở đó
Tin nhắn SMS không được thiết kế để giữ bí mật. Mã gửi qua SMS có thể bị lộ theo vài cách: kẻ xấu làm được SIM mới mang số của bạn (lừa nhà mạng hoặc dùng giấy tờ giả), điện thoại cài ứng dụng có quyền đọc tin nhắn, hoặc mã hiện lên ngay màn hình khoá cho người ngồi cạnh đọc được. Trong ba cách đó, cách thứ ba dễ chặn nhất: tắt hiển thị nội dung thông báo trên màn hình khoá.
Vẫn nên bật SMS nếu dịch vụ chỉ có loại này, vì nó chặn được kiểu tấn công phổ biến nhất là dùng mật khẩu lộ. Nhưng với email chính và tài khoản gốc (Google, Apple, Microsoft), nên chuyển sang ứng dụng xác thực hoặc passkey khi dịch vụ cho phép, rồi cân nhắc gỡ SMS khỏi danh sách phương thức đăng nhập. Một số dịch vụ vẫn giữ SMS làm đường khôi phục; khi đó số điện thoại phải được bảo vệ kỹ hơn bằng mã PIN SIM và tài khoản nhà mạng có mật khẩu riêng.
Ví dụ giả định: anh Minh bật hai lớp cho Gmail bằng SMS. Một ngày điện thoại của anh mất sóng giữa giờ làm việc, vài giờ sau anh nhận thư báo mật khẩu Gmail đã đổi. Sau này anh biết ai đó đã làm được SIM mới mang số của mình. Nếu Gmail của anh dùng ứng dụng xác thực hoặc passkey thay cho SMS, việc chiếm SIM không đủ để vào email. Mất sóng bất thường kéo dài là tín hiệu cần gọi ngay cho nhà mạng từ một máy khác.
Cài ứng dụng xác thực đúng cách
Các bước dưới đây áp dụng chung cho hầu hết dịch vụ. Tên mục trong cài đặt thay đổi theo phiên bản, thường nằm trong phần Bảo mật hoặc Mật khẩu và bảo mật.
- Tải một ứng dụng xác thực từ kho ứng dụng chính thức. Có ứng dụng của các hãng lớn và ứng dụng mã nguồn mở; chọn loại cho phép sao lưu hoặc chuyển mã sang máy mới.
- Trên máy tính, đăng nhập dịch vụ cần bảo vệ, vào phần bảo mật, chọn bật xác thực hai lớp bằng ứng dụng xác thực. Màn hình hiện một mã QR.
- Mở ứng dụng xác thực trên điện thoại, chọn thêm tài khoản, quét mã QR. Ứng dụng bắt đầu hiện mã sáu số đổi liên tục.
- Nhập mã đang hiện vào trang để xác nhận. Từ giờ, mỗi lần đăng nhập trên máy mới sẽ cần mã này.
- Dịch vụ sẽ đưa ra một bộ mã dự phòng (thường từ 8 đến 10 mã, mỗi mã dùng một lần). In ra hoặc chép tay, cất cùng giấy tờ quan trọng. Đây là đường lui khi mất điện thoại.
- Không chụp màn hình mã QR để lưu. Ai có ảnh đó có thể tạo ra đúng mã sáu số như ứng dụng của bạn.
- Lặp lại với các tài khoản khác theo thứ tự ưu tiên ở phần dưới.
Khi đổi điện thoại, đừng xoá ứng dụng xác thực trên máy cũ trước khi kiểm tra máy mới đã có đủ mã. Nhiều ứng dụng có tính năng chuyển mã qua QR hoặc sao lưu đám mây; nếu không, bạn phải tắt rồi bật lại xác thực hai lớp cho từng dịch vụ trên máy mới.
Thông báo đẩy và cái bẫy bấm cho xong
Cách nó hoạt động. Khi có người đăng nhập tài khoản của bạn ở máy mới, điện thoại của bạn hiện câu hỏi kiểu "Bạn đang cố đăng nhập?" kèm vị trí ước lượng và loại thiết bị. Bạn bấm Có hoặc Không. Không phải gõ mã, rất tiện.
Điểm yếu là thói quen. Nếu kẻ xấu có mật khẩu, họ có thể thử đăng nhập nhiều lần liên tục, khiến điện thoại của bạn hiện thông báo dồn dập lúc nửa đêm. Người mệt mỏi dễ bấm Có cho máy thôi kêu. Đây là kiểu tấn công làm mỏi người dùng đã được ghi nhận rộng rãi.
Quy tắc đơn giản. Chỉ bấm Có khi chính bạn vừa đăng nhập, trong vòng một phút trước đó. Mọi thông báo bạn không chủ động gây ra đều bấm Không, và đó còn là tín hiệu mật khẩu của bạn đã lộ: đổi mật khẩu ngay.
Đối chiếu số. Một số dịch vụ yêu cầu bạn chọn đúng con số đang hiện trên màn hình đăng nhập. Nếu bạn không đứng trước màn hình đó, bạn không biết số nào, và đó chính là mục đích. Nếu dịch vụ có tùy chọn này, hãy bật.
Thứ tự bật xác thực hai lớp cho các tài khoản
Nếu bạn có hàng chục tài khoản, đừng làm hết trong một lần. Đi theo thứ tự từ tài khoản có thể mở khoá tài khoản khác đến tài khoản ít ảnh hưởng.
- Email chính, nơi nhận thư "quên mật khẩu" của mọi dịch vụ khác. Ưu tiên tuyệt đối.
- Tài khoản gốc của điện thoại (Google trên Android, Apple ID trên iPhone), nơi lưu danh bạ, ảnh, bản sao lưu và thường cả mật khẩu.
- Mạng xã hội và ứng dụng nhắn tin bạn dùng nhiều nhất. Mất các tài khoản này, kẻ xấu mượn danh bạn để vay tiền bạn bè.
- Ví điện tử và các ứng dụng thanh toán có liên kết thẻ hoặc ngân hàng. Kiểm phần bảo mật trong ứng dụng, thường có thêm mã PIN giao dịch riêng.
- Tài khoản công việc: email công ty, phần mềm bán hàng, trang quản trị fanpage.
- Tài khoản lưu trữ đám mây chứa giấy tờ cá nhân.
- Các tài khoản còn lại, khi có dịp đăng nhập.
Mỗi tài khoản xong thì đánh dấu lại trong một danh sách giấy hoặc trong trình quản lý mật khẩu. Việc này giúp bạn biết còn thiếu đâu, và khi đổi điện thoại thì biết cần chuyển mã cho những tài khoản nào.
Mã dự phòng: tờ giấy quan trọng nhất bạn sẽ quên cất
Người bật xác thực hai lớp lần đầu thường bỏ qua bước lưu mã dự phòng vì nó trông như thủ tục. Rồi một ngày điện thoại rơi xuống nước, hoặc bị giật trên đường, và tài khoản trở thành thứ chính bạn không vào được. Dịch vụ lớn có quy trình khôi phục, nhưng thường chậm, đòi nhiều bằng chứng, và không phải lúc nào cũng thành công. Mã dự phòng rút ngắn tất cả về một dòng chữ.
Cách cất hợp lý: in hoặc chép tay mã dự phòng của email chính và tài khoản gốc điện thoại, để chung với giấy tờ quan trọng ở nhà. Ghi rõ mã của dịch vụ nào và ngày tạo. Khi dùng một mã, gạch nó đi. Khi đã dùng gần hết hoặc nghi ai đó đã thấy tờ giấy, tạo bộ mã mới; bộ cũ sẽ tự mất hiệu lực.
Một lớp dự phòng khác là đăng ký hai phương thức cho mỗi tài khoản quan trọng: ví dụ ứng dụng xác thực trên điện thoại cộng một khoá bảo mật cất ở nhà, hoặc passkey trên điện thoại cộng passkey trên máy tính. Mất một thứ, bạn vẫn còn thứ kia. Không nên để cả hai phương thức cùng nằm trên một chiếc điện thoại, vì mất máy là mất cả hai.
Câu hỏi thường gặp
Bật xác thực hai lớp rồi có cần mật khẩu mạnh nữa không?
Vẫn cần. Hai lớp chỉ an toàn khi cả hai đều tốt. Nếu mật khẩu yếu, kẻ xấu chỉ còn phải vượt một lớp, và họ có thể dùng chiêu lừa đọc mã hoặc chiếm SIM. Thêm nữa, nhiều dịch vụ vẫn cho đăng nhập chỉ bằng mật khẩu ở một số ứng dụng cũ hoặc đường khôi phục.
Đăng nhập máy tính ở nhà mỗi ngày có phải nhập mã mỗi lần không?
Thường là không. Hầu hết dịch vụ cho đánh dấu thiết bị đáng tin cậy, chỉ hỏi mã khi đăng nhập ở máy mới, trình duyệt mới hoặc sau một thời gian. Đừng đánh dấu tin cậy trên máy tính dùng chung, máy ở tiệm dịch vụ hay máy công ty mà người khác cũng ngồi.
Nhân viên ngân hàng gọi điện xin mã OTP để hoàn tiền thì sao?
Không đọc. Ngân hàng không cần mã OTP của bạn để hoàn tiền hay khoá giao dịch. Bất kỳ ai xin mã xác thực, dù tự xưng ngân hàng, nhà mạng, công an hay người thân, đều phải được coi là đang lừa đảo. Cúp máy, tự gọi lại tổng đài ngân hàng bằng số in trên thẻ hoặc trong ứng dụng chính thức.
Ứng dụng xác thực có cần kết nối mạng không?
Không. Mã sáu số được tính từ một khoá bí mật lưu trong máy và thời gian hiện tại, nên ứng dụng chạy được cả khi máy không có mạng. Điều cần lưu ý là giờ trên điện thoại phải đúng; nếu chỉnh giờ bằng tay và lệch nhiều, mã sinh ra có thể bị báo sai.
Khoá bảo mật vật lý có cần thiết cho người dùng thường không?
Không bắt buộc. Người dùng thường được bảo vệ tốt với ứng dụng xác thực hoặc passkey. Khoá vật lý đáng cân nhắc nếu bạn quản lý tài sản lớn, quản trị trang của doanh nghiệp, hoặc là người có tên tuổi dễ bị nhắm tới. Nếu mua, nên có hai chiếc và đăng ký cả hai cho mỗi tài khoản.
Có nên dùng chung một số điện thoại nhận mã cho cả gia đình không?
Không nên. Khi mã của nhiều người cùng về một máy, người giữ máy có thể vô tình xác nhận cho tài khoản của người khác, và nếu số đó bị chiếm thì cả nhà cùng gặp vấn đề. Mỗi người nên có lớp xác thực trên thiết bị của chính mình.