Bảo vệ tài khoản ngân hàng dựa trên ba lớp: một mật khẩu riêng không dùng ở đâu khác, một lớp xác thực thứ hai (mã OTP, Smart OTP trong ứng dụng, hoặc khuôn mặt/vân tay), và thói quen không bao giờ đưa mã xác thực cho ai. Phần lớn các vụ mất tiền không phải do ngân hàng bị bẻ khoá, mà do chủ tài khoản bị dụ tự tay đưa mật khẩu hoặc OTP. Xác thực hai lớp chỉ bảo vệ được bạn khi lớp thứ hai vẫn nằm trong tay bạn.
Xác thực hai lớp hoạt động thế nào
Ý tưởng rất cũ, giống ổ khoá cửa nhà có hai chìa. Để vào được tài khoản, người ta cần hai loại bằng chứng khác nhau:
- Thứ bạn biết: mật khẩu, mã PIN.
- Thứ bạn có: điện thoại nhận mã, ứng dụng sinh mã, thẻ vật lý, khoá bảo mật.
- Thứ bạn là: khuôn mặt, vân tay.
Kẻ gian lấy được mật khẩu (qua trang giả, qua rò rỉ dữ liệu) vẫn chưa vào được, vì thiếu lớp thứ hai. Đó là lý do chúng dồn sức vào việc lừa bạn đọc mã OTP — mã OTP chính là chìa khoá thứ hai.
So sánh các kiểu xác thực phổ biến
| Kiểu | Cách hoạt động | Điểm mạnh | Điểm yếu |
|---|---|---|---|
| SMS OTP | Mã gửi qua tin nhắn | Dễ dùng, máy nào cũng nhận được | Có thể bị lừa đọc mã; rủi ro nếu SIM bị chiếm |
| Smart OTP | Mã sinh trong ứng dụng ngân hàng, gắn với thiết bị | Không phụ thuộc tin nhắn, khó chặn trên đường truyền | Vẫn bị lừa nếu bạn đọc mã cho người khác |
| Sinh trắc học | Khuôn mặt, vân tay đối chiếu với dữ liệu đã đăng ký | Không có mã để "đọc" cho kẻ gian | Cần thiết bị hỗ trợ; vẫn cần cẩn trọng với ứng dụng giả xin quyền điều khiển máy |
| Ứng dụng xác thực (cho email, mạng xã hội) | Mã đổi mỗi 30 giây trong ứng dụng riêng | An toàn hơn SMS cho tài khoản phi ngân hàng | Mất máy mà không có mã dự phòng thì khó khôi phục |
| Khoá bảo mật vật lý, passkey | Thiết bị hoặc khoá mật mã gắn với tên miền thật | Chống được trang lừa đảo vì không hoạt động trên tên miền giả | Chưa phổ biến với ngân hàng Việt Nam |
Tại Việt Nam, Ngân hàng Nhà nước ban hành Quyết định 2345/QĐ-NHNN cuối năm 2023, áp dụng từ 1/7/2024: các giao dịch chuyển tiền trực tuyến trên 10 triệu đồng mỗi lần, hoặc tổng trên 20 triệu đồng trong ngày, phải xác thực bằng sinh trắc học. Lần đầu đăng nhập ứng dụng trên thiết bị mới cũng phải xác thực khuôn mặt. Đây là lý do ứng dụng ngân hàng bắt bạn quét khuôn mặt và căn cước gắn chip.
Năm cách kẻ gian lấy lớp thứ hai
- Hỏi thẳng. Giả nhân viên ngân hàng, nhà mạng, cơ quan nhà nước rồi xin mã. Đây vẫn là cách phổ biến nhất.
- Trang giả. Bạn nhập cả mật khẩu và OTP vào trang giả; kẻ gian dùng ngay mã đó trên trang thật.
- Ứng dụng giả. Ứng dụng cài từ link lạ xin quyền đọc tin nhắn, điều khiển màn hình, rồi tự thao tác.
- Chiếm SIM. Dùng giấy tờ giả hoặc thông tin bị lộ để làm lại SIM của bạn, từ đó nhận mã SMS.
- Lừa quét khuôn mặt. Bảo bạn "xác minh danh tính" bằng cách quay mặt theo hướng dẫn trong một ứng dụng lạ.
Không cần nhớ cả năm. Chỉ cần nhớ: mã OTP, mã Smart OTP và khuôn mặt của bạn chỉ được dùng trong ứng dụng ngân hàng chính thức, do chính bạn mở, cho giao dịch chính bạn thực hiện.
Đọc kỹ nội dung tin nhắn OTP
Tin nhắn OTP của ngân hàng thường ghi rõ mã dùng cho giao dịch gì, số tiền bao nhiêu, chuyển đến đâu. Đọc dòng đó trước khi nhập mã. Nếu bạn đang "nhận tiền hoàn", "xác minh tài khoản" mà tin nhắn OTP lại ghi "chuyển khoản 15.000.000đ" hay "đăng ký ngân hàng điện tử trên thiết bị mới" — đó là kẻ gian đang dùng mã của bạn cho việc của chúng.
Thiết lập nên làm ngay hôm nay
Với tài khoản ngân hàng
- Chỉ cài ứng dụng ngân hàng từ App Store hoặc Google Play, kiểm tra đúng nhà phát triển.
- Đặt hạn mức chuyển khoản trong ngày vừa đủ dùng; khi cần chuyển lớn thì nâng tạm.
- Bật thông báo biến động số dư để thấy ngay giao dịch lạ.
- Lưu số tổng đài ngân hàng vào danh bạ từ trước, để lúc cần khoá không phải đi tìm.
Với email và mạng xã hội
- Bật xác thực hai lớp cho email chính — email là chìa khoá khôi phục mọi tài khoản khác.
- Lưu mã dự phòng (backup codes) ở nơi an toàn ngoài điện thoại.
- Dùng trình quản lý mật khẩu, mỗi nơi một mật khẩu khác nhau. Lộ một chỗ không kéo theo chỗ khác.
- Thử passkey cho các dịch vụ đã hỗ trợ (Google, Apple và nhiều dịch vụ lớn).
Với SIM điện thoại
- Đảm bảo SIM đứng đúng tên bạn, thông tin chuẩn hoá.
- Đặt mã PIN cho SIM nếu máy hỗ trợ — mất máy, người khác không lắp SIM sang máy khác dùng được ngay.
- Nếu điện thoại bỗng mất sóng hoàn toàn trong khi người xung quanh vẫn có, hãy gọi nhà mạng từ máy khác để kiểm tra SIM có bị làm lại không.
Mật khẩu: ngắn gọn những điều đã được chứng minh
Các hướng dẫn hiện đại, như của Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST), đã bỏ thói quen bắt đổi mật khẩu định kỳ và bắt trộn ký tự đặc biệt khó nhớ. Thay vào đó, ưu tiên độ dài và không dùng lại. Một cụm vài từ không liên quan ghép lại thường vừa dễ nhớ vừa khó đoán hơn một từ ngắn có ký tự lạ. Chỉ đổi mật khẩu khi có dấu hiệu bị lộ.
Dấu hiệu tài khoản có thể đã bị xâm nhập
Nhận ra sớm giúp giảm thiệt hại. Những điều sau đây đáng để bạn kiểm tra ngay:
- Nhận tin nhắn OTP mà bạn không hề yêu cầu — có người đang thử đăng nhập hoặc giao dịch bằng tài khoản của bạn.
- Ứng dụng ngân hàng bỗng báo đã đăng nhập trên thiết bị khác, hoặc tự đăng xuất.
- Email báo đổi mật khẩu, đổi số điện thoại, thêm thiết bị mà bạn không làm.
- Biến động số dư nhỏ lạ — đôi khi kẻ gian thử bằng khoản rất nhỏ trước.
- Điện thoại mất sóng bất thường kéo dài.
Khi thấy dấu hiệu, gọi ngay tổng đài ngân hàng yêu cầu khoá tạm, rồi đổi mật khẩu email chính từ một thiết bị sạch. Đừng trả lời tin nhắn hay cuộc gọi "hỗ trợ" tự tìm đến bạn trong lúc này — đó có thể chính là kẻ đang tấn công.
Góc nhìn hôm nay: an toàn là thói quen, không phải phần mềm
Ngân hàng có thể thêm lớp bảo mật, nhưng không có lớp nào chống được việc chủ tài khoản tự tay đưa chìa. Thói quen đáng giữ: không làm theo chỉ dẫn qua điện thoại khi đang mở ứng dụng ngân hàng, đọc kỹ tin OTP trước khi nhập, và có số tổng đài ngân hàng trong danh bạ. Nếu muốn tìm hiểu thêm, mục "bảo mật" hay "cảnh báo lừa đảo" trên trang chính thức của chính ngân hàng bạn dùng là nguồn cập nhật nhất.
Câu hỏi thường gặp
Mã OTP là gì?
OTP là mật khẩu dùng một lần, có hiệu lực trong thời gian ngắn, dùng để xác nhận một giao dịch hoặc một lần đăng nhập. Mã này chỉ dành cho chính chủ tài khoản và không bao giờ được đưa cho người khác.
Smart OTP khác SMS OTP thế nào?
SMS OTP được gửi qua tin nhắn điện thoại, còn Smart OTP được sinh ngay trong ứng dụng ngân hàng gắn với thiết bị của bạn. Smart OTP không phụ thuộc vào tin nhắn nên khó bị chặn hơn, nhưng vẫn có thể bị lừa nếu bạn đọc mã cho người khác.
Vì sao chuyển khoản trên 10 triệu phải quét khuôn mặt?
Theo Quyết định 2345/QĐ-NHNN áp dụng từ 1/7/2024, giao dịch chuyển tiền trực tuyến trên 10 triệu đồng mỗi lần hoặc tổng trên 20 triệu đồng mỗi ngày phải xác thực sinh trắc học. Quy định nhằm giảm việc kẻ gian dùng tài khoản của người khác để chuyển tiền.
Ngân hàng có gọi điện xin mã OTP không?
Không. Nhân viên ngân hàng không có lý do gì để xin mã OTP của khách. Ai hỏi mã OTP, dù xưng là ai, đều nên được coi là kẻ gian.
Có nên đổi mật khẩu thường xuyên không?
Hướng dẫn bảo mật hiện đại khuyên dùng mật khẩu dài, mỗi nơi một mật khẩu riêng, và chỉ đổi khi có dấu hiệu bị lộ. Đổi liên tục dễ dẫn tới mật khẩu yếu hoặc ghi ra giấy.
