Xác thực 2 lớp (còn gọi là xác thực hai yếu tố, xác minh 2 bước) là cách bảo vệ tài khoản bằng hai thứ thay vì một: mật khẩu bạn biết, cộng với một mã hoặc thiết bị chỉ bạn có, thường là mã 6 số trên điện thoại. Kẻ gian dù lấy được mật khẩu vẫn không đăng nhập được nếu không có lớp thứ hai.
Bật mất khoảng 5 phút cho mỗi tài khoản. Nên ưu tiên theo thứ tự: email chính (vì email dùng để lấy lại mọi tài khoản khác), Facebook, tài khoản Apple hoặc Google của điện thoại, rồi tới các mạng xã hội còn lại. Quan trọng không kém việc bật là cất mã dự phòng, vì mất điện thoại mà không có mã này thì chính bạn cũng bị khoá ngoài.
SMS, ứng dụng xác thực hay khoá bảo mật: chọn cách nào
Hầu hết dịch vụ cho chọn nhiều cách nhận lớp thứ hai. Mỗi cách có mức an toàn và độ tiện khác nhau.
| Phương thức | Cách hoạt động | Ưu điểm | Hạn chế |
|---|---|---|---|
| Tin nhắn SMS | Mã 6 số gửi về số điện thoại | Dễ dùng nhất, không cần cài gì | Có thể bị lừa đọc mã, bị chiếm sim; cần sóng điện thoại |
| Ứng dụng xác thực | Ứng dụng tạo mã 6 số đổi mỗi 30 giây, không cần mạng | An toàn hơn SMS, dùng được khi ở nước ngoài | Mất máy mà không sao lưu thì phiền; phải cài thêm ứng dụng |
| Thông báo đăng nhập trên thiết bị | Máy đã đăng nhập hiện câu hỏi có phải bạn không | Rất tiện, chỉ một chạm | Dễ bấm đồng ý theo quán tính |
| Khoá bảo mật, khoá truy cập (passkey) | Thiết bị vật lý hoặc khoá lưu trên máy, xác nhận bằng vân tay, khuôn mặt | Chống trang lừa đảo tốt nhất | Khoá vật lý tốn tiền; cần thiết bị hỗ trợ |
Lựa chọn hợp lý cho đa số người dùng là ứng dụng xác thực (như Google Authenticator, Microsoft Authenticator hoặc trình quản lý mật khẩu có tạo mã) làm cách chính, SMS làm cách dự phòng. Dù chọn cách nào, quy tắc vàng là: mã xác thực chỉ để bạn tự gõ vào trang chính chủ, không bao giờ đọc cho ai qua điện thoại hay gửi qua tin nhắn, kể cả người xưng là nhân viên Facebook, ngân hàng hay cơ quan chức năng.
Bật xác thực 2 yếu tố cho Facebook
Facebook đã gom phần bảo mật vào Trung tâm tài khoản, đường dẫn dưới đây theo ứng dụng trên điện thoại; tên mục có thể khác đôi chút theo phiên bản.
- Mở Facebook, bấm biểu tượng menu (ba gạch hoặc ảnh đại diện), chọn Cài đặt và quyền riêng tư, rồi Cài đặt.
- Chọn Trung tâm tài khoản, sau đó Mật khẩu và bảo mật, rồi Xác thực 2 yếu tố.
- Chọn tài khoản muốn bật (nếu bạn liên kết cả Instagram, mỗi tài khoản bật riêng). Facebook có thể yêu cầu nhập lại mật khẩu.
- Chọn phương thức: Ứng dụng xác thực (khuyên dùng), Tin nhắn SMS hoặc Khoá bảo mật. Với ứng dụng xác thực, Facebook hiện mã QR; mở ứng dụng xác thực, quét mã, rồi nhập mã 6 số hiện ra để xác nhận.
- Sau khi bật, vào lại mục Xác thực 2 yếu tố, tìm Mã khôi phục để lấy bộ mã dùng một lần. Chép ra giấy hoặc lưu vào trình quản lý mật khẩu.
- Kiểm tra mục Nơi bạn đã đăng nhập trong Mật khẩu và bảo mật, đăng xuất thiết bị lạ hoặc máy cũ không còn dùng.
Nếu quản lý Trang (Fanpage) hoặc tài khoản quảng cáo, nên bật xác thực 2 yếu tố cho mọi người có quyền quản trị: chỉ một tài khoản quản trị yếu là đủ để mất Trang. Khi Facebook gửi email về đăng nhập lạ, hãy mở ứng dụng Facebook để kiểm tra thay vì bấm thẳng vào liên kết trong email, phòng trường hợp email giả mạo.
Gmail và tài khoản Google: bật xác minh 2 bước
Trên điện thoại Android, vào Cài đặt, Google, Quản lý tài khoản Google, chọn thẻ Bảo mật. Trên iPhone hoặc máy tính, mở ứng dụng Gmail, bấm ảnh đại diện, chọn Quản lý tài khoản Google, rồi thẻ Bảo mật. Tìm mục Xác minh 2 bước, bấm bật và làm theo hướng dẫn. Google thường đề xuất trước tiên là thông báo trên điện thoại đã đăng nhập.
Sau khi bật, trong cùng trang Xác minh 2 bước, nên thêm ứng dụng xác thực và tạo mã dự phòng: Google cấp một bộ mã dùng một lần, mỗi mã chỉ dùng được một lần, dùng khi mất điện thoại. In ra hoặc chép lại, cất cùng chỗ giữ giấy tờ quan trọng. Google cũng khuyến khích dùng khoá truy cập (passkey): đăng nhập bằng vân tay, khuôn mặt hoặc mã mở khoá của chính điện thoại, khó bị lừa qua trang giả hơn mật khẩu.
Nếu bạn dùng Gmail trên máy tính ở công ty hay quán cà phê, nhớ bỏ chọn ghi nhớ thiết bị khi đăng nhập và đăng xuất sau khi dùng. Trong thẻ Bảo mật có mục Thiết bị của bạn, liệt kê mọi máy đang đăng nhập; máy nào lạ hoặc đã bán, bấm vào và chọn đăng xuất. Google cũng có Kiểm tra bảo mật ở đầu thẻ này, đi qua từng bước gợi ý trong vài phút, đáng làm mỗi vài tháng.
Đừng quên mục Số điện thoại khôi phục và Email khôi phục trong thẻ Bảo mật. Số điện thoại cũ đã bỏ mà vẫn nằm đó là lỗ hổng: người được nhà mạng cấp lại số đó có thể nhận mã của bạn. Mỗi năm vào kiểm tra một lần, cập nhật số đang dùng.
Tài khoản Apple và Zalo: bảo vệ theo cách riêng
Tài khoản Apple đã bật sẵn hai yếu tố. Tài khoản Apple tạo trên các bản iOS gần đây mặc định có xác thực hai yếu tố. Kiểm tra trong Cài đặt, bấm tên của bạn, chọn Đăng nhập và bảo mật. Nên thêm một số điện thoại tin cậy thứ hai (của người thân) để phòng mất máy, và cân nhắc thiết lập Liên hệ khôi phục tài khoản.
Bảo vệ thiết bị bị đánh cắp trên iPhone. Các bản iOS mới có tính năng Bảo vệ thiết bị bị đánh cắp trong Cài đặt, Face ID và mật mã. Khi bật, thao tác nhạy cảm như đổi mật khẩu tài khoản Apple ở nơi lạ phải xác thực khuôn mặt và chờ thêm một khoảng thời gian, dù kẻ gian biết mật mã máy.
Zalo có xác thực 2 lớp nhưng mặc định tắt. Vào thẻ Cá nhân, bấm bánh răng mở Cài đặt, chọn Tài khoản và bảo mật, gạt bật Xác thực 2 lớp (tên có thể khác theo phiên bản). Khi bật, đăng nhập Zalo trên thiết bị lạ phải qua thêm một bước xác nhận, thường là mã gửi về số điện thoại hoặc xác nhận trên máy đang dùng. Cùng mục đó có Mã khoá Zalo để người cầm máy không mở được Zalo, và danh sách thiết bị đang đăng nhập để đăng xuất máy tính lạ.
Ứng dụng ngân hàng. Ứng dụng ngân hàng dùng Smart OTP, sinh trắc học khuôn mặt và thường chỉ cho kích hoạt trên một thiết bị. Không ai có lý do chính đáng để hỏi mã OTP hay yêu cầu bạn quét khuôn mặt hộ, kể cả người xưng là nhân viên ngân hàng.
Những sai lầm khiến xác thực 2 lớp mất tác dụng
Xác thực 2 lớp chặn được phần lớn vụ chiếm tài khoản, nhưng chỉ khi dùng đúng. Đây là các lỗi hay gặp nhất:
- Đọc mã cho người khác: chiêu lừa phổ biến là nhắn tin nhờ "gửi giúp mã vừa nhận" hoặc gọi điện xưng nhân viên hỗ trợ. Mã gửi đến bạn tức là ai đó đang đăng nhập tài khoản của bạn.
- Nhập mã vào trang giả: trang lừa đảo giả giao diện Facebook, Gmail có thể hỏi cả mật khẩu lẫn mã 6 số rồi dùng ngay lập tức. Luôn mở ứng dụng hoặc gõ địa chỉ trang chính chủ, không bấm liên kết lạ.
- Bấm đồng ý mọi thông báo đăng nhập: thấy thông báo "có phải bạn đang đăng nhập" mà mình không làm gì, hãy chọn mục báo không phải mình và đổi mật khẩu.
- Không lưu mã dự phòng: mất máy, đổi số, hỏng ứng dụng xác thực là bị khoá ngoài, quá trình lấy lại mất nhiều ngày.
- Đổi điện thoại mà quên chuyển ứng dụng xác thực: trước khi reset máy cũ, chuyển tài khoản sang máy mới (Google Authenticator có tính năng xuất tài khoản, nhiều ứng dụng có đồng bộ đám mây).
- Dùng chung một mật khẩu cho nhiều nơi: lớp thứ hai không thay được mật khẩu mạnh. Mỗi tài khoản quan trọng nên có mật khẩu riêng, dài từ 12 ký tự.
Câu hỏi thường gặp
Bật xác thực 2 lớp rồi mất điện thoại thì đăng nhập thế nào?
Dùng mã dự phòng hoặc mã khôi phục đã lưu, hoặc nhận mã qua số điện thoại dự phòng. Nếu không có gì, bạn phải làm thủ tục khôi phục tài khoản của từng dịch vụ, thường cần xác minh danh tính và chờ nhiều ngày. Vì vậy hãy cất mã dự phòng ngay khi bật.
Ứng dụng xác thực có cần mạng không?
Không. Mã được tạo từ một khoá bí mật lưu trên máy và đồng hồ của điện thoại, nên vẫn chạy khi không có mạng, khi ở nước ngoài không dùng sim. Chỉ cần giờ trên máy chính xác, nên để chế độ tự đặt giờ.
Mã OTP và xác thực 2 lớp khác nhau thế nào?
OTP là mật khẩu dùng một lần, chính là loại mã thường dùng làm lớp thứ hai. Xác thực 2 lớp là cơ chế tổng thể: mật khẩu cộng một yếu tố nữa, có thể là OTP, thông báo trên thiết bị, vân tay hay khoá bảo mật.
Có nên bật xác thực 2 lớp cho tài khoản ít dùng không?
Nên, nhất là tài khoản có liên kết thẻ ngân hàng, ví điện tử, hoặc chứa ảnh và thông tin cá nhân. Tài khoản bỏ không, mật khẩu cũ, là mục tiêu dễ cho kẻ gian dùng để lừa bạn bè trong danh sách liên hệ.
Nhận mã xác thực mà mình không yêu cầu thì làm gì?
Nghĩa là có người đã biết mật khẩu và đang thử đăng nhập. Không gửi mã cho ai, đổi mật khẩu ngay trên ứng dụng chính chủ, kiểm tra danh sách thiết bị đăng nhập và đăng xuất thiết bị lạ. Đổi luôn mật khẩu ở các nơi dùng chung mật khẩu đó.
