2FA là gì?

2FA viết tắt của Two-Factor Authentication, tiếng Việt hay gọi là xác thực hai yếu tố hoặc xác thực hai lớp. Ý tưởng rất đơn giản: mật khẩu là thứ bạn biết, và nó có thể bị lộ; nên hệ thống đòi thêm một thứ bạn có (điện thoại, khoá bảo mật) hoặc thứ bạn là (vân tay, khuôn mặt). Kẻ trộm mật khẩu mà không có yếu tố thứ hai thì vẫn đứng ngoài cửa.

Vì sao lớp này quan trọng hơn người ta tưởng: phần lớn vụ mất tài khoản không đến từ việc ai đó “hack” theo nghĩa kỹ thuật, mà từ mật khẩu bị lộ ở một dịch vụ khác rồi được đem thử lại hàng loạt. Nếu bạn dùng chung một mật khẩu cho nhiều nơi, một lần rò rỉ ở đâu đó là đủ để mở dây chuyền. 2FA cắt đúng dây chuyền đó.

Bốn cách làm 2FA, không cách nào giống cách nào

Mã qua SMS. Phổ biến nhất vì dễ dùng, nhưng yếu nhất: tin nhắn có thể bị chặn, và có kiểu lừa đảo chiếm quyền số điện thoại để nhận mã thay bạn. Có còn hơn không, nhưng nếu chọn được thì đừng dừng ở đây.

Ứng dụng sinh mã (Google Authenticator, Microsoft Authenticator và tương tự). Mã đổi mỗi 30 giây, sinh ngay trên máy nên không đi qua mạng viễn thông — an toàn hơn SMS rõ rệt và không cần sóng.

Xác nhận đẩy về ứng dụng. Bạn bấm “Đúng là tôi” trên điện thoại. Tiện, nhưng có bẫy: kẻ tấn công cố tình bấm đăng nhập liên tục lúc nửa đêm để bạn bấm đại cho đỡ phiền. Không mong đợi thông báo nào thì luôn chọn từ chối.

Khoá bảo mật vật lý hoặc passkey (đăng nhập bằng vân tay/khuôn mặt gắn với thiết bị). Đây là mức mạnh nhất hiện nay và chống được cả trang giả mạo, vì khoá chỉ hoạt động đúng với tên miền thật.

Mã dự phòng: phần ai cũng bỏ qua rồi hối hận

Khi bật 2FA, dịch vụ thường cho một bộ mã dự phòng dùng một lần. Đây là đường lùi duy nhất khi bạn mất điện thoại, đổi số, hoặc đổi máy mà quên chuyển ứng dụng sinh mã. In ra hoặc lưu ở nơi an toàn ngoài chính chiếc điện thoại đó. Rất nhiều trường hợp mất tài khoản vĩnh viễn không phải vì bị tấn công mà vì chủ tài khoản tự khoá mình ở ngoài.

Nguyên tắc thứ hai, quan trọng không kém: không đưa mã cho bất kỳ ai. Không có nhân viên hỗ trợ thật nào hỏi mã 2FA hay mã OTP của bạn. Mọi cuộc gọi, tin nhắn xin mã “để xác minh giúp anh/chị” đều là lừa đảo, kể cả khi người gọi đọc đúng tên, số căn cước hay lịch sử giao dịch của bạn.

2FA ở nơi làm việc

Với nhân viên, 2FA thường là quy định bắt buộc của công ty cho email công việc và các hệ thống nội bộ — email công ty là cửa để đặt lại mật khẩu của gần như mọi dịch vụ khác, nên nó là mục tiêu số một. Với người làm nghề, chữ này xuất hiện trong mô tả công việc của nhóm quản trị hệ thống, an toàn thông tin, IT helpdesk (triển khai và hỗ trợ người dùng bật 2FA) và nhóm vận hành tài khoản, chăm sóc khách hàng ngành tài chính, nơi quy trình xác thực khách hàng là phần cốt lõi của công việc hằng ngày.

Ví dụ: 2FA cứu và 2FA phản chủ

Trường hợp được cứu. Mật khẩu email cá nhân của bạn từng dùng chung với một diễn đàn bị rò rỉ dữ liệu. Kẻ tấn công thử mật khẩu đó vào email, đúng — nhưng dừng lại ở bước nhập mã. Bạn nhận được thông báo “có người vừa đăng nhập” và đổi mật khẩu ngay trong đêm.

Trường hợp phản chủ. Bạn đổi điện thoại, cài lại ứng dụng sinh mã nhưng không chuyển dữ liệu cũ sang. Mã dự phòng thì lưu ngay trong ghi chú của chiếc máy đã bán. Kết quả: tài khoản còn nguyên mật khẩu mà vẫn không vào được, phải đi qua quy trình khôi phục kéo dài nhiều ngày.

Trường hợp bị lừa. Một cuộc gọi xưng là bộ phận hỗ trợ, đọc đúng tên và bốn số cuối căn cước của bạn, rồi xin “mã vừa gửi để xác minh”. Đọc mã đó ra là tự mở cửa — không có bộ phận hỗ trợ chính thống nào hỏi mã 2FA.