Xác thực hai lớp (2FA) là việc đăng nhập phải qua hai loại bằng chứng khác nhau: thứ bạn biết (mật khẩu) và thứ bạn có (điện thoại, khoá bảo mật) hoặc thứ bạn là (vân tay, khuôn mặt). Kẻ gian có được mật khẩu vẫn chưa vào được, vì còn thiếu yếu tố thứ hai. Thuật ngữ rộng hơn là xác thực đa yếu tố (MFA).
Không phải mọi kiểu 2FA đều mạnh như nhau. Mã gửi qua SMS tốt hơn không có gì, nhưng có thể bị chặn qua chiếm SIM và đều bị lừa nhập vào trang giả. Ứng dụng tạo mã OTP mạnh hơn SMS. Chỉ khoá bảo mật phần cứng và passkey là kháng lừa đảo thật sự, vì chúng kiểm tra tên miền thay cho người dùng.
Phần dưới giải thích cơ chế từng phương thức, các kiểu tấn công vượt 2FA đang được dùng, và thứ tự nên bật cho tài khoản của bạn.
Vì sao chỉ mật khẩu là không đủ
Mật khẩu có một điểm yếu cố hữu: nó là một bí mật có thể sao chép. Bất kỳ ai có được chuỗi ký tự đó, qua rò rỉ dữ liệu, trang giả mạo, mã độc ghi phím hay nhìn trộm, đều đăng nhập được như bạn từ bất kỳ đâu trên thế giới. Chủ tài khoản thường không hề biết cho tới khi hậu quả xảy ra.
Yếu tố thứ hai thay đổi bài toán vì nó gắn với một vật thể hoặc một thiết bị cụ thể. Kẻ tấn công từ xa không thể sao chép điện thoại hay khoá bảo mật của bạn chỉ bằng cách đọc dữ liệu rò rỉ. Họ buộc phải chuyển sang các đòn khó hơn, tốn công hơn và dễ lộ hơn: lừa bạn đọc mã, chiếm SIM, hoặc dựng trang giả chuyển tiếp thời gian thực.
Microsoft từng công bố năm 2019 rằng xác thực đa yếu tố chặn được trên 99,9% các vụ tấn công chiếm tài khoản tự động mà họ quan sát. Con số cần đọc đúng bối cảnh: nó nói về tấn công hàng loạt dùng mật khẩu lộ, không nói về tấn công có chủ đích nhắm vào một người. Nhưng với người dùng bình thường, tấn công hàng loạt chính là mối đe doạ chiếm đa số, nên 2FA là biện pháp có hiệu quả trên chi phí cao nhất hiện có.
Cơ chế của từng phương thức
Mã qua SMS. Máy chủ sinh mã ngẫu nhiên, gửi qua mạng di động. Yếu tố "thứ bạn có" thực chất là số điện thoại, không phải chiếc máy. Ai chiếm được số, bằng cách thuyết phục nhà mạng cấp lại SIM hoặc khai thác điểm yếu của hệ thống báo hiệu viễn thông, sẽ nhận được mã.
Ứng dụng tạo mã TOTP. Khi bật, dịch vụ và ứng dụng trên điện thoại chia sẻ một khoá bí mật qua mã QR. Mỗi 30 giây, cả hai bên tính cùng một mã sáu số từ khoá bí mật và thời gian hiện tại, theo chuẩn TOTP (RFC 6238, công bố năm 2011). Mã sinh ngay trên máy, không cần mạng, không thể bị chặn trên đường truyền. Điểm yếu: người dùng vẫn có thể bị lừa gõ mã vào trang giả.
Thông báo đẩy. Dịch vụ gửi yêu cầu "Có phải bạn đang đăng nhập?" tới ứng dụng đã cài, bạn bấm đồng ý. Rất tiện, nhưng sinh ra kiểu tấn công MFA fatigue: kẻ có mật khẩu gửi hàng chục yêu cầu liên tục cho tới khi nạn nhân bấm nhầm hoặc bấm cho xong. Vụ xâm nhập Uber năm 2022 được báo chí mô tả có dùng chiêu này. Các dịch vụ đã đáp lại bằng cách bắt người dùng nhập một số hiển thị trên màn hình đăng nhập.
Khoá bảo mật phần cứng và passkey. Dựa trên mật mã khoá công khai theo các chuẩn của Liên minh FIDO. Khi đăng nhập, khoá ký một thử thách do máy chủ gửi, và chữ ký gắn với tên miền mà trình duyệt đang truy cập. Trên trang giả có tên miền khác, khoá không ký được chữ ký hợp lệ cho trang thật, nên kẻ chuyển tiếp không dùng được. Đây là điểm khác về bản chất so với mọi loại mã sáu số.
Smart OTP của ngân hàng. Ở Việt Nam, nhiều ngân hàng chuyển từ SMS OTP sang mã sinh trong ứng dụng ngân hàng gắn với thiết bị đã đăng ký, và áp dụng thêm xác thực sinh trắc học cho các giao dịch chuyển tiền vượt ngưỡng theo quy định của Ngân hàng Nhà nước từ giữa năm 2024. Mức ngưỡng và cách áp dụng cụ thể nên xem thông báo chính thức của ngân hàng bạn dùng.
Bảng so sánh các phương thức xác thực hai lớp
Bảng xếp theo độ an toàn tăng dần. Khả năng kháng lừa đảo là cột quan trọng nhất trong bối cảnh lừa đảo qua tin nhắn và trang giả đang phổ biến.
| Phương thức | Chống mật khẩu lộ | Chống chiếm SIM | Kháng trang giả | Tiện dụng |
|---|---|---|---|---|
| Mã SMS | Có | Không | Không | Cao, nhưng phụ thuộc sóng và chuyển vùng |
| Mã qua email | Có, nếu email an toàn | Có | Không | Trung bình; chỉ mạnh bằng hộp thư |
| Ứng dụng TOTP | Có | Có | Không | Trung bình; phải chuyển khi đổi máy |
| Thông báo đẩy có đối chiếu số | Có | Có | Một phần | Cao |
| Khoá bảo mật phần cứng | Có | Có | Có | Trung bình; phải mang theo, nên có khoá dự phòng |
| Passkey | Có (không còn mật khẩu để lộ) | Có | Có | Cao trên thiết bị đời mới |
Kết luận thực dụng: bất kỳ phương thức nào cũng tốt hơn không bật. Nếu dịch vụ chỉ hỗ trợ SMS, cứ bật SMS. Khi có lựa chọn, ưu tiên passkey hoặc khoá bảo mật cho hộp thư chính và tài khoản quản trị, ứng dụng TOTP cho phần còn lại.
Các cách kẻ gian vượt qua 2FA
Lừa đọc mã. Kịch bản phổ biến nhất ở Việt Nam: kẻ gian giả nhân viên ngân hàng, nhà mạng hay sàn thương mại điện tử, nói rằng "hệ thống sẽ gửi mã xác nhận, anh chị đọc giúp em". Mã đó thực chất là mã đăng nhập hoặc mã xác nhận giao dịch của chính bạn. Nguyên tắc đơn giản: mã OTP chỉ để bạn tự nhập vào ứng dụng do chính bạn mở, không bao giờ đọc cho ai.
Trang giả chuyển tiếp thời gian thực. Kẻ tấn công dựng trang trông giống hệt trang thật, đứng giữa người dùng và dịch vụ. Bạn gõ mật khẩu và mã OTP, công cụ chuyển ngay sang trang thật trong vòng vài giây, lấy được phiên đăng nhập. Chỉ các phương thức kháng lừa đảo mới chặn được kiểu này.
Chiếm SIM. Kẻ gian dùng giấy tờ giả hoặc thông tin cá nhân thu thập được để yêu cầu nhà mạng cấp lại SIM cho số của bạn. Dấu hiệu: điện thoại đột nhiên mất sóng hoàn toàn trong khi người xung quanh vẫn gọi được. Gặp tình huống này, liên hệ nhà mạng ngay qua kênh chính thức.
Đánh cắp phiên đăng nhập. Mã độc trên máy tính có thể lấy cookie phiên của trình duyệt sau khi bạn đã đăng nhập xong, khi đó 2FA không còn tác dụng vì nó chỉ kiểm tra lúc đăng nhập. Phòng vệ là giữ máy sạch và đăng xuất các phiên lạ.
Lối vòng qua khôi phục tài khoản. Nhiều dịch vụ cho phép tắt 2FA qua email hay số điện thoại dự phòng. Nếu hộp thư dự phòng yếu, cả hệ thống yếu theo.
Bật 2FA theo đúng thứ tự
Thứ tự quan trọng vì các tài khoản phụ thuộc vào nhau: ai chiếm được hộp thư sẽ đặt lại được mật khẩu ở mọi nơi khác.
- Hộp thư chính và tài khoản Apple, Google hoặc Microsoft gắn với điện thoại. Ưu tiên passkey hoặc khoá bảo mật; tối thiểu là ứng dụng TOTP.
- Ứng dụng ngân hàng và ví điện tử: dùng Smart OTP và sinh trắc học theo hướng dẫn chính thức; không cài ứng dụng ngân hàng từ đường dẫn trong tin nhắn.
- Mạng xã hội và ứng dụng nhắn tin: bật xác thực hai bước và mã PIN đăng ký lại, vì tài khoản nhắn tin bị chiếm thường bị dùng để vay tiền bạn bè, người thân.
- Trình quản lý mật khẩu và dịch vụ lưu trữ đám mây.
- Tài khoản công việc: quản trị tên miền, quảng cáo, mạng xã hội của doanh nghiệp, phần mềm kế toán.
- Với mỗi tài khoản, lưu mã dự phòng (backup codes) ngay khi bật, in ra hoặc cất trong kho mật khẩu. Đăng ký ít nhất hai phương thức, ví dụ hai khoá bảo mật hoặc khoá cộng ứng dụng TOTP.
- Gỡ số điện thoại khỏi vai trò khôi phục ở những dịch vụ cho phép dùng phương thức mạnh hơn, để kẻ chiếm SIM không dùng được nó làm cửa sau.
Chính sách 2FA tối thiểu cho doanh nghiệp nhỏ
Ở doanh nghiệp vừa và nhỏ, các tài khoản quý nhất thường không nằm trong hệ thống công nghệ thông tin chính thức mà rải rác: trang mạng xã hội của thương hiệu, tài khoản quảng cáo, tên miền, ngân hàng số, phần mềm bán hàng. Một chính sách gọn, áp dụng được ngay, có thể gồm các điểm sau:
- Lập danh mục tài khoản quan trọng kèm người chịu trách nhiệm, phương thức 2FA đang dùng và nơi cất mã dự phòng. Không có danh mục thì không biết cần bảo vệ gì.
- Không dùng chung một tài khoản cá nhân cho nhiều người. Các nền tảng quảng cáo và mạng xã hội đều có cơ chế phân quyền nhiều quản trị viên; mỗi người đăng nhập bằng tài khoản riêng có 2FA riêng.
- Quản trị viên dùng khoá bảo mật phần cứng hoặc passkey, vì tài khoản quản trị là mục tiêu của lừa đảo nhắm đích qua email giả đối tác hay giả thông báo vi phạm bản quyền.
- Số điện thoại nhận mã của doanh nghiệp không gắn với một nhân viên cá nhân; nếu buộc phải dùng SMS, dùng số do doanh nghiệp đứng tên và quản lý.
- Quy trình nghỉ việc có bước thu hồi: gỡ quyền quản trị, gỡ thiết bị khỏi danh sách tin cậy, đổi mật khẩu các tài khoản dùng chung còn sót.
- Kiểm tra định kỳ mỗi quý: rà danh sách quản trị viên và các phiên đăng nhập đang mở trên từng nền tảng.
Chi phí của chính sách này chủ yếu là vài giờ thiết lập và vài chiếc khoá bảo mật, thấp hơn rất nhiều so với chi phí khi một trang thương hiệu nhiều năm xây dựng bị chiếm và dùng để lừa khách hàng.
Sai lầm hay gặp khi dùng 2FA
Sai lầm phổ biến nhất là không chuẩn bị cho việc mất điện thoại. Người dùng bật ứng dụng TOTP trên một máy duy nhất, rồi máy hỏng hoặc bị mất, và họ tự khoá mình khỏi tài khoản. Các ứng dụng xác thực hiện nay nhiều cái có tính năng sao lưu đồng bộ; hãy bật nó, hoặc ít nhất giữ mã dự phòng ở nơi tách biệt.
Sai lầm thứ hai là coi thông báo đẩy như một nút phiền toái. Một yêu cầu đăng nhập mà bạn không hề khởi tạo không phải lỗi hệ thống; đó là dấu hiệu chắc chắn rằng ai đó đã có mật khẩu của bạn. Đúng phản ứng là từ chối, rồi đổi mật khẩu ngay.
Sai lầm thứ ba là để người khác "bật hộ". Khi kỹ thuật viên cửa hàng hay người quen thiết lập 2FA, họ có thể giữ lại mã QR hoặc khoá bí mật. Hãy tự quét mã, và nếu từng nhờ người khác, tắt rồi bật lại để tạo khoá mới.
Câu hỏi thường gặp
Sinh trắc học có phải là yếu tố thứ hai thật không?
Phụ thuộc cách triển khai. Trên điện thoại, vân tay hay khuôn mặt thường chỉ mở khoá một khoá mật mã lưu trong chip bảo mật, và chính khoá đó mới là yếu tố gửi đi. Dữ liệu sinh trắc không rời máy. Như vậy sinh trắc học là cách tiện để chứng minh bạn đang cầm thiết bị.
Đổi điện thoại mới thì ứng dụng xác thực xử lý thế nào?
Trước khi xoá máy cũ, dùng tính năng chuyển tài khoản hoặc sao lưu của ứng dụng xác thực, rồi kiểm tra trên máy mới rằng mã đã sinh đúng cho từng dịch vụ. Với dịch vụ không chuyển được, đăng nhập bằng máy cũ, tắt 2FA và bật lại trên máy mới.
Mã dự phòng là gì và cất ở đâu?
Là các mã dùng một lần do dịch vụ cấp khi bật 2FA, cho phép đăng nhập khi mất yếu tố thứ hai. Nên in ra giấy cất cùng giấy tờ quan trọng, hoặc lưu trong trình quản lý mật khẩu. Không lưu dưới dạng ảnh chụp trong thư viện ảnh điện thoại.
Có nên dùng 2FA qua email không?
Chỉ khi hộp thư đó được bảo vệ tốt hơn tài khoản cần bảo vệ, và đó không phải hộp thư dùng để khôi phục chính tài khoản ấy. Với hộp thư chính, email không thể là yếu tố thứ hai của chính nó; cần ứng dụng xác thực, khoá bảo mật hoặc passkey.
Tại sao bật 2FA rồi vẫn bị mất tài khoản mạng xã hội?
Thường do một trong ba lý do: người dùng tự đọc hoặc nhập mã vào trang giả, phiên đăng nhập bị mã độc đánh cắp, hoặc kẻ gian đi qua quy trình khôi phục tài khoản bằng email hay số điện thoại dự phòng kém bảo mật. 2FA làm khó kẻ gian chứ không miễn nhiễm.
Khoá bảo mật phần cứng có cần pin hay mạng không?
Không. Khoá lấy điện từ cổng USB hoặc qua kết nối NFC khi chạm vào điện thoại, không cần pin, không cần mạng và không có màn hình. Nên mua hai chiếc từ nguồn phân phối chính hãng, đăng ký cả hai, một chiếc mang theo, một chiếc cất ở nhà làm dự phòng.