Xác thực hai yếu tố (2FA) bảo vệ tài khoản bằng cách yêu cầu hai thứ khác nhau khi đăng nhập: thứ bạn biết, như mật khẩu, và thứ bạn có, như mã sáu chữ số từ ứng dụng xác thực trên điện thoại. Kể cả khi ai đó đánh cắp mật khẩu, họ vẫn không vào được nếu thiếu yếu tố thứ hai.
Đây là một trong những bước bảo mật hiệu quả nhất mà người dùng bình thường có thể làm, và thường chỉ mất vài phút thiết lập. Bài viết này giải thích 2FA hoạt động thế nào, nên chọn phương thức nào và cách tránh tự khóa mình ngoài tài khoản.
Vì sao chỉ mật khẩu thôi là chưa đủ?
Mật khẩu có thể bị lộ theo nhiều cách. Người ta dùng lại một mật khẩu cho nhiều trang, website bị tấn công rò rỉ dữ liệu, và trang lừa đảo lừa người dùng gõ thông tin đăng nhập vào biểu mẫu giả. Khi mật khẩu đã bị biết, bất kỳ ai cũng có thể thử nó trên email, mạng xã hội hay tài khoản mua sắm của bạn.
2FA thêm một ổ khóa thứ hai. Mật khẩu bị đánh cắp không còn đủ, vì kẻ tấn công còn cần mã từ thiết bị của bạn. Điều này khiến nhiều kiểu chiếm đoạt tài khoản phổ biến khó hơn hẳn, nhất là những vụ dựa vào mật khẩu dùng lại hoặc bị rò rỉ.
Các loại yếu tố thứ hai chính
Không phải yếu tố thứ hai nào cũng mạnh như nhau. Những lựa chọn phổ biến nhất:
- Ứng dụng xác thực. Các ứng dụng như Google Authenticator, Microsoft Authenticator và các ứng dụng tương thích khác tạo mã sáu chữ số mới mỗi 30 giây. Mã được tạo ngay trên điện thoại, nên không đi qua mạng di động.
- Mã qua SMS. Mã OTP được gửi bằng tin nhắn. Tốt hơn nhiều so với không có 2FA, nhưng tin nhắn có thể bị chặn hoặc chuyển hướng, ví dụ qua lừa đảo chiếm SIM (SIM swap), khi kẻ gian thuyết phục nhà mạng chuyển số của bạn sang SIM của chúng.
- Thông báo đẩy. Một số dịch vụ gửi lời nhắc đến ứng dụng trên điện thoại, hỏi "Có phải bạn không?". Tiện lợi, nhưng đừng bao giờ chấp nhận lời nhắc bạn không chờ đợi.
- Khóa bảo mật và passkey. Khóa vật lý hoặc passkey lưu trên thiết bị nằm trong số lựa chọn mạnh nhất, vì chúng được thiết kế để chống lừa đảo. Mức độ hỗ trợ khác nhau tùy dịch vụ.
Với đa số người dùng, ứng dụng xác thực là lựa chọn mạnh và thực tế. Nếu dịch vụ chỉ có SMS, vẫn hãy bật nó. Đó vẫn là cải thiện lớn so với chỉ dùng mật khẩu.
Ứng dụng xác thực hoạt động thế nào?
Khi bạn bật 2FA bằng ứng dụng xác thực, website sẽ hiển thị một mã QR. Mã QR đó chứa một khóa bí mật. Bạn quét nó một lần bằng ứng dụng xác thực, và từ đó trở đi, ứng dụng và website cùng dùng khóa bí mật chung này cùng thời gian hiện tại để tính ra cùng một mã sáu chữ số.
Vì mã thay đổi mỗi 30 giây, một mã ai đó nhìn trộm qua vai bạn sẽ vô dụng ngay sau đó. Và vì mã được tính trên điện thoại, ứng dụng hoạt động cả khi không có internet.
Một điểm quan trọng: mã QR thiết lập là thông tin nhạy cảm. Ai quét được nó đều có thể tạo mã của bạn. Đừng chụp màn hình, chia sẻ hay để nó hiện trên màn hình nơi người khác nhìn thấy.
Cách bật 2FA từng bước
Menu cụ thể khác nhau giữa các dịch vụ, nhưng quy trình thường giống nhau:
- Cài một ứng dụng xác thực trên điện thoại.
- Đăng nhập tài khoản muốn bảo vệ và mở phần cài đặt bảo mật.
- Tìm mục "Xác thực hai yếu tố", "Xác minh 2 bước" hoặc "Đăng nhập hai bước" và chọn tùy chọn ứng dụng xác thực.
- Quét mã QR hiện trên màn hình bằng ứng dụng xác thực.
- Nhập mã sáu chữ số từ ứng dụng để xác nhận nó hoạt động.
- Lưu các mã dự phòng mà dịch vụ cung cấp (xem phần tiếp theo).
- Đăng xuất rồi đăng nhập lại để kiểm tra mọi thứ hoạt động.
Hãy bắt đầu với những tài khoản quan trọng nhất: email chính (vì nó có thể dùng để đặt lại mật khẩu các tài khoản khác), ngân hàng, mạng xã hội, lưu trữ đám mây và mọi tài khoản lưu thông tin thanh toán. Trên QR-TH, bạn có thể bật đăng nhập hai bước bằng ứng dụng xác thực trong phần cài đặt tài khoản, giúp bảo vệ mã QR và link rút gọn của bạn khỏi bị người khác thay đổi.
Mã dự phòng: đường quay lại tài khoản
Sự cố 2FA phổ biến nhất không phải bị hack. Mà là mất điện thoại. Nếu điện thoại bị mất, bị trộm, hỏng hoặc được thay mới, bạn cần một cách khác để đăng nhập.
Đó là công dụng của mã dự phòng. Hầu hết dịch vụ cung cấp một danh sách mã dùng một lần khi bạn bật 2FA. Mỗi mã có thể dùng một lần thay cho mã từ ứng dụng.
Hãy cất giữ chúng an toàn:
- In ra và cất tờ giấy ở nơi an toàn trong nhà, hoặc
- Lưu trong một trình quản lý mật khẩu uy tín, và
- Đừng chỉ lưu chúng trên cùng chiếc điện thoại có ứng dụng xác thực.
Mỗi mã dự phòng chỉ dùng được một lần. Dùng xong mã nào, hãy gạch mã đó đi. Nếu sắp hết, hầu hết dịch vụ cho phép tạo bộ mã mới, đồng thời hủy bộ cũ.
Đổi điện thoại mà không bị khóa tài khoản
Trước khi khôi phục cài đặt gốc, bán hoặc đổi điện thoại cũ, hãy chuyển mã xác thực sang máy mới. Một số ứng dụng xác thực có tính năng chuyển hoặc sao lưu đám mây; một số khác yêu cầu bạn thiết lập lại 2FA cho từng tài khoản.
Cách làm an toàn:
- Giữ điện thoại cũ hoạt động cho đến khi mọi tài khoản đã được xác nhận trên máy mới.
- Với tài khoản không chuyển được, hãy đăng nhập, tắt rồi bật lại 2FA và quét mã QR mới bằng điện thoại mới.
- Thử từng tài khoản trước khi xóa sạch thiết bị cũ.
Những sai lầm thường gặp với 2FA
- Chia sẻ mã. Không ngân hàng, cửa hàng hay bộ phận hỗ trợ chân chính nào yêu cầu bạn đọc mã 2FA hay mã OTP. Ai hỏi mã gần như chắc chắn là kẻ lừa đảo.
- Chấp nhận lời nhắc bất ngờ. Nếu nhận yêu cầu đăng nhập mà bạn không thực hiện, hãy từ chối và đổi mật khẩu.
- Nhập mã vào trang mở từ link trong tin nhắn. Trang lừa đảo cũng có thể đòi mã của bạn. Hãy vào thẳng website thay vì bấm link.
- Bỏ qua mã dự phòng. Lưu chúng chỉ mất một phút nhưng có thể giúp bạn khỏi mất nhiều ngày khôi phục tài khoản.
Để được bảo vệ tốt hơn hằng ngày, hãy đọc mẹo bảo mật điện thoại, và tìm hiểu cách nhận biết lừa đảo mã QR nhằm đánh cắp thông tin đăng nhập.
Câu hỏi thường gặp (FAQ)
Xác thực hai yếu tố có thực sự cần thiết không?
Với các tài khoản quan trọng như email, ngân hàng và mạng xã hội, có. Nó chặn được nhiều cuộc tấn công dựa vào mật khẩu bị đánh cắp hoặc dùng lại.
Ứng dụng xác thực có an toàn hơn SMS không?
Nhìn chung là có. Mã của ứng dụng xác thực được tạo trên điện thoại, còn mã SMS có thể bị chặn hoặc chuyển hướng qua lừa đảo chiếm SIM. Tuy vậy, SMS vẫn tốt hơn không có 2FA.
Nếu mất điện thoại thì sao?
Dùng một trong các mã dự phòng đã lưu để đăng nhập, rồi thiết lập lại 2FA trên điện thoại mới. Nếu không có mã dự phòng, bạn sẽ phải qua quy trình khôi phục tài khoản của dịch vụ.
Ai đó có mã 2FA của tôi thì có hack được tài khoản không?
Mã chỉ có hiệu lực trong thời gian ngắn, nhưng kẻ lừa đảo dụ bạn đọc mã ngay lúc đó vẫn có thể dùng nó. Đừng bao giờ chia sẻ mã cho bất kỳ ai.
Xác thực hai yếu tố chỉ mất vài phút nhưng khiến tài khoản của bạn khó bị xâm nhập hơn rất nhiều. Hãy bật nó cho email và ngân hàng ngay hôm nay, rồi bảo vệ tài khoản QR-TH bằng đăng nhập hai bước. Bạn có thể tìm hiểu thêm trong trang câu hỏi thường gặp.