Đừng để số điện thoại là đường cứu duy nhất: 6 lớp dự phòng anh em nên tách khỏi SMS trước khi mất SIM, đổi số hoặc mất máy

Tóm tắt nhanh

• Nhiều người bật 2FA, passkey hay password manager rồi yên tâm, nhưng vẫn để một chiếc điện thoại và một số SIM gánh gần như toàn bộ đường đăng nhập lẫn đường cứu tài khoản.
• Google khuyến nghị dùng Google prompts vì cách này giúp chống các kiểu tấn công dựa vào số điện thoại như SIM swap tốt hơn nhập mã SMS. Google cũng cho phép tạo bộ backup codes để dùng khi mất máy hoặc đổi số.
• Apple yêu cầu Apple Account phải có ít nhất một trusted phone number, nhưng cũng nói rất rõ: nếu iPhone vừa là trusted device duy nhất vừa là nơi duy nhất nhận mã, anh em có thể tự kẹt khi máy mất hoặc hỏng.
• Microsoft cho phép đi theo hướng passwordless với Authenticator, Windows Hello, security key hoặc các phương thức khác, còn 1Password cũng có Emergency Kit để tránh việc password manager biến thành chiếc két bị khóa cùng lúc với điện thoại chính.

Nhiều anh em nghĩ rủi ro lớn nhất là bị lộ mật khẩu. Trên thực tế, với rất nhiều người dùng hiện nay, thứ dễ làm mọi chuyện rối dây chuyền hơn lại là mất quyền truy cập vào chính chiếc điện thoại đang giữ SIM chính, app xác thực, passkey, email, cloud và password manager.

Khi mọi lớp đăng nhập và cứu hộ cùng dồn vào một thiết bị, chỉ cần mất máy, đổi số, hỏng SIM hoặc đơn giản là không nhận được mã đúng lúc là cả chuỗi tài khoản có thể kẹt theo. Vì vậy, bài toán thực dụng không chỉ là bật thêm lớp bảo mật, mà là tách các lớp đó ra đủ khéo để một điểm hỏng không kéo sập toàn bộ phần còn lại.

1. Đừng mặc định SMS là lớp 2FA chính nếu anh em đã có lựa chọn tốt hơn

Google nói khá thẳng rằng nếu không đăng nhập bằng passkey, hãng khuyến nghị dùng Google prompts làm bước xác thực thứ hai vì thao tác này không chỉ tiện hơn nhập mã mà còn giúp chống các kiểu tấn công dựa trên số điện thoại như SIM swap. Đây là chi tiết rất đáng để ý, vì nhiều người vẫn giữ thói quen coi SMS là cách xác minh mặc định cho mọi tài khoản quan trọng.

Vấn đề của SMS không nằm ở việc nó vô dụng, mà ở chỗ nó quá dễ bị kéo vào mọi sự cố đời thường: mất sóng, đổi SIM, đi nước ngoài, gãy điện thoại, hoặc tệ hơn là bị chiếm quyền số điện thoại. Nếu tài khoản quan trọng nào cũng đang đợi một tin nhắn SMS mới mở được cửa, anh em đang đặt quá nhiều niềm tin vào đúng một điểm phụ thuộc.

Với các tài khoản gốc như email chính, cloud, tài khoản Apple, Google hay Microsoft, nên ưu tiên những lớp xác thực không phụ thuộc hoàn toàn vào SMS nếu dịch vụ đã hỗ trợ. SMS vẫn có thể giữ như phương án phụ, nhưng không nên là sợi dây duy nhất.

2. Backup codes chỉ có ý nghĩa khi chúng không nằm chết trong chính chiếc máy đang gặp nạn

Google cho phép tạo bộ 10 backup codes để dùng khi anh em không lấy được mã qua điện thoại, cuộc gọi hoặc app xác thực. Google cũng nhấn mạnh mỗi mã chỉ dùng một lần và khi tạo bộ mới thì bộ cũ sẽ tự mất hiệu lực.

Điểm nhiều người bỏ sót là backup codes thường được tải về rồi để nguyên trong chiếc laptop hoặc điện thoại đang dùng hằng ngày. Đến lúc mất máy, đổi máy hoặc bị khóa khỏi tài khoản, bộ mã đó có thể vẫn tồn tại trên lý thuyết nhưng không còn trong tầm tay thực tế.

Cách làm gọn nhất là cất bộ mã này ở nơi tách khỏi điện thoại chính, giống cách anh em giữ hộ chiếu hoặc giấy tờ quan trọng. Không cần biến nó thành một nghi thức phức tạp, chỉ cần chắc rằng lúc không nhận được SMS và cũng không mở được app xác thực, anh em vẫn còn một cánh cửa khác để đi vào.

3. Với Apple Account, nên có thêm trusted phone number không đi cùng chiếc iPhone chính

Apple ghi rất rõ rằng Apple Account cần ít nhất một trusted phone number để nhận mã xác minh. Hãng còn khuyên nếu có nhiều số, anh em nên cân nhắc dùng thêm một số không gắn với chính chiếc iPhone đang dùng làm số trusted bổ sung. Lý do Apple nêu ra cũng rất thực tế: nếu iPhone là trusted device duy nhất và cũng là thiết bị duy nhất nhận trusted phone number, việc mất hoặc hỏng máy có thể khiến anh em không nhận được mã cần thiết để vào lại tài khoản.

Điểm này đặc biệt quan trọng với anh em đang dùng một iPhone làm trung tâm cho iCloud, Apple Pay, ảnh, ghi chú, mật khẩu và cả đăng nhập công việc. Khi mọi thứ đều tụ về một máy, chỉ cần thiếu thêm một trusted phone number ở ngoài là đường lui mỏng đi thấy rõ.

Apple cũng cho biết verification code có thể hiện trên trusted device, hoặc gửi qua tin nhắn và cuộc gọi đến trusted phone number. Nói ngắn gọn, nếu đã sống sâu trong hệ sinh thái Apple, anh em nên nghĩ theo hướng có ít nhất một lớp ngoài chiếc máy chính, thay vì để toàn bộ quy trình quay về đúng một chỗ.

4. Passwordless hay passkey không tự động cứu anh em nếu chỉ có đúng một thiết bị để phê duyệt

Microsoft mô tả hướng passwordless là đăng nhập bằng Authenticator, Windows Hello, security key hoặc các phương thức khác thay cho mật khẩu truyền thống. 1Password cũng đang đẩy mạnh passkey, nhưng đồng thời nhắc người dùng nên lưu recovery code ngay sau khi tạo tài khoản thử nghiệm dùng passkey để tránh mất quyền truy cập.

Điểm đáng để ý là passkey và passwordless giúp giảm rủi ro phishing hoặc lộ mật khẩu, nhưng chúng không xóa đi nhu cầu phải có đường lui. Nếu thiết bị duy nhất giữ passkey hoặc nhận thông báo phê duyệt lại chính là chiếc máy vừa thất lạc, anh em vẫn có thể kẹt y như khi phụ thuộc hoàn toàn vào SMS.

Cách nghĩ đúng ở đây là: passkey giúp mạnh hơn ở cửa trước, còn recovery code, trusted device phụ hoặc security key giúp anh em còn cửa sau khi thiết bị chính có biến. Thiếu một trong hai vế, hệ bảo mật vẫn chưa thật sự cân bằng.

5. Password manager nên có giấy tờ cứu hộ riêng, đừng để nó khóa chung số phận với điện thoại

Nhiều anh em đã quen coi password manager là kho chìa khóa của cả hệ tài khoản. Điều đó đúng, nhưng cũng có nghĩa là nếu kho này bị khóa cùng lúc với điện thoại chính, mức độ rối sẽ tăng rất nhanh. 1Password giải thích khá rõ rằng Emergency Kit chứa địa chỉ đăng nhập, email, Secret Key và chỗ để ghi account password, đồng thời nên được giữ như một tài liệu quan trọng chứ không phải file để quên trong thư mục tải về.

Nếu password manager đang là trung tâm cho email, mạng xã hội, công việc và mã dự phòng, Emergency Kit hoặc tài liệu cứu hộ tương đương nên nằm ở nơi tách khỏi chiếc điện thoại dùng hằng ngày. Mục tiêu không phải để sống trong tâm thế hoảng loạn, mà để khi điện thoại mất, anh em vẫn còn một bản đồ tối thiểu để mở lại kho chìa khóa của mình.

6. Điều nên chuẩn bị không chỉ là mã, mà là cả cấu trúc dự phòng đủ tách lớp

Khi ghép các khuyến nghị của Google, Apple, Microsoft và 1Password lại, điểm chung rất rõ: đừng để cùng một chiếc điện thoại vừa là nơi nhận SMS, vừa là trusted device duy nhất, vừa là nơi giữ app xác thực, vừa là nơi mở password manager. Chỉ cần một điểm gặp sự cố là toàn bộ phần còn lại có thể kéo nhau ngừng hoạt động.

Cấu trúc dễ sống hơn thường là: dùng phương thức xác thực mạnh hơn SMS cho tài khoản gốc nếu có thể, giữ backup codes ở chỗ tách khỏi máy chính, thêm trusted phone number hoặc trusted device phụ khi dịch vụ cho phép, và có một bộ giấy tờ cứu hộ tối thiểu cho password manager. Nghe thì giống việc dọn nhà hơn là “bật tính năng bảo mật”, nhưng đây lại là kiểu chuẩn bị giúp anh em đỡ toang nhất khi sự cố xảy ra đúng hôm bận rộn.

Anh em nên làm gì?

• Với tài khoản Google, ưu tiên Google prompts, passkey hoặc phương thức mạnh hơn SMS nếu anh em đã có thiết bị phù hợp.
• Tạo và cất backup codes ở nơi không đi cùng chiếc điện thoại chính, rồi nhớ làm mới bộ mã nếu nghi ngờ chúng đã bị lộ hoặc cất sai chỗ.
• Với Apple Account, thêm ít nhất một trusted phone number không phụ thuộc hoàn toàn vào chính chiếc iPhone anh em đang dùng hằng ngày.
• Nếu đang đi theo hướng passwordless hoặc passkey, tự hỏi ngay: mất chiếc máy đang phê duyệt đăng nhập thì mình còn dùng cách nào khác để vào lại hay không.
• Với password manager, kiểm tra lại Emergency Kit hoặc tài liệu cứu hộ tương đương để chắc rằng kho mật khẩu không bị khóa chung số phận với điện thoại chính.
• Với anh em Việt Nam hay dùng một số điện thoại cho cả ngân hàng, email, cloud, mạng xã hội và công việc, nên coi việc tách lớp dự phòng là việc đáng làm trước khi có sự cố, không phải sau khi đã kẹt tài khoản.

Tổng kết

Bảo mật tài khoản không chỉ là thêm thật nhiều lớp, mà là thêm đúng lớp và đặt chúng ở những chỗ khác nhau. Nếu SMS, trusted phone number, passkey, app xác thực và password manager đều cùng dồn vào một chiếc máy, hệ thống đó nhìn thì nhiều cửa nhưng thực ra vẫn chỉ đang dựa vào một trụ.

Với anh em Việt Nam dùng điện thoại như chìa khóa cho gần như mọi thứ, việc đáng làm nhất hôm nay có thể không phải đổi thêm một cài đặt mới, mà là tách bớt gánh nặng khỏi số điện thoại và chiếc máy chính. Chỉ cần làm gọn được điểm này, lúc mất SIM, đổi số hay thất lạc máy, anh em sẽ còn nhiều đường lui hơn hẳn.

THEO DÕI CÁC KÊNH CỦA TEKCAFE

• Website: TekCafe.vn
• Fanpage Facebook: facebook.com/tekcafeteam
• YouTube: youtube.com/c/TekCafeTeam

BÀI VIẾT MỚI NHẤT

• Đừng để số điện thoại là đường cứu duy nhất: 6 lớp dự phòng anh em nên tách khỏi SMS trước khi mất SIM, đổi số hoặc mất máy
• Инструменты, которые позволяют действовать из любой позиции мира
• Ведущие платформы для командной деятельности над задачами
• Ведущие платформы для командной работы над проектами
• Лучшие сервисы для командной взаимодействия над инициативами