“Em ơi, cô gửi nhầm mã sáu số vào máy em, em đọc lại giúp cô với.” Tin nhắn đến từ tài khoản Zalo của cô giáo chủ nhiệm cũ, lời lẽ đúng kiểu cô vẫn nói. Chị Mai (tên minh hoạ) vừa thấy tin nhắn SMS báo mã xác nhận, liền đọc lại không nghĩ ngợi. Mười phút sau, chị không đăng nhập được vào Zalo của mình nữa, còn bạn bè trong danh bạ bắt đầu nhận tin nhắn vay tiền mang tên chị.
Kịch bản này và nhiều biến thể của nó đã được công an và các nhà mạng cảnh báo nhiều lần. Điều đáng sợ là kẻ gian không cần “hack” gì cả. Chúng chỉ cần bạn tự tay đưa chìa khoá. Bài này giải thích những chiếc chìa khoá ấy là gì, và cách giữ chúng.
Mã OTP là chìa khoá, không phải giấy tờ thủ tục
OTP là mật khẩu dùng một lần, thường gồm bốn đến tám chữ số, được gửi qua tin nhắn SMS, ứng dụng hay email khi bạn đăng nhập, đổi mật khẩu, chuyển tiền. Nó giống như chiếc chìa khoá dùng một lần cho một cánh cửa cụ thể: ai cầm được mã trong vài phút đó là mở được cửa.
Nguyên tắc vì vậy rất đơn giản và không có ngoại lệ: không đọc, không gửi mã OTP cho bất kỳ ai, kể cả người tự xưng là nhân viên ngân hàng, nhà mạng, công an, người thân hay chính bộ phận hỗ trợ của Zalo, Facebook. Các tổ chức chính thống không bao giờ cần bạn đọc mã cho họ. Mã gửi đến máy bạn là để bạn tự nhập trên thiết bị của mình.
Hãy tập thói quen đọc hết nội dung tin nhắn chứa mã. Nhiều dịch vụ ghi rõ mã dùng để làm gì, ví dụ “mã đăng nhập trên thiết bị mới” hay “mã xác nhận chuyển tiền”. Nếu bạn không hề đang làm việc đó mà vẫn nhận mã, nghĩa là có người khác đang thử vào tài khoản của bạn. Đừng làm gì với mã ấy, và nên đổi mật khẩu ngay.
Các chiêu chiếm tài khoản Zalo, Facebook thường gặp
Chiêu thứ nhất là “gửi nhầm mã” như câu chuyện chị Mai. Kẻ gian đã chiếm được một tài khoản, dùng nó để nhắn cho bạn bè, đồng thời yêu cầu đăng nhập vào tài khoản của bạn bằng số điện thoại của bạn. Mã gửi về máy bạn, và chúng chỉ cần bạn đọc lại.
Chiêu thứ hai là trang đăng nhập giả. Bạn nhận một đường link qua tin nhắn: “Bình chọn giúp cháu em thi ảnh đẹp”, “Tài khoản của bạn vi phạm bản quyền, xác minh trong 24 giờ nếu không sẽ bị khoá”, “Xem ai vừa xem trang cá nhân của bạn”. Bấm vào, hiện ra một trang trông y như trang đăng nhập Facebook. Bạn nhập tài khoản, mật khẩu, thậm chí cả mã xác thực, tất cả đi thẳng vào tay kẻ gian.
Chiêu thứ ba là quét mã QR. Zalo cho phép đăng nhập trên máy tính bằng cách dùng điện thoại quét mã QR. Kẻ gian gửi một mã QR với lý do “quét để nhận quà”, “quét để vào nhóm”, nhưng thật ra đó là mã đăng nhập Zalo trên máy của chúng. Bạn quét và xác nhận, tức là bạn vừa cho chúng đăng nhập vào tài khoản của mình. Nguyên tắc: chỉ dùng chức năng quét đăng nhập khi chính bạn đang đứng trước màn hình máy tính của mình.
Chiêu thứ tư là mạo danh nhà mạng hay cơ quan nhà nước, gọi điện báo sắp khoá SIM, cần “chuẩn hoá thông tin”, rồi hướng dẫn bạn bấm một chuỗi ký tự hoặc cài một ứng dụng lạ. Một số ứng dụng như vậy có thể đọc tin nhắn chứa OTP trên máy bạn. Đừng cài ứng dụng từ đường link người lạ gửi, chỉ tải từ kho ứng dụng chính thức, và gọi lại tổng đài chính thức của nhà mạng nếu thấy nghi.
Mật khẩu: dài quan trọng hơn rắc rối
Mật khẩu “123456”, “matkhau”, ngày sinh hay số điện thoại vẫn được dùng nhiều đến mức kẻ gian thử chúng đầu tiên. Nhưng mật khẩu kiểu “Tr@ng!95” cũng không khá hơn bao nhiêu mà lại khó nhớ.
Cách tốt hơn là dùng một cụm từ dài mà chỉ bạn hiểu, ví dụ ghép bốn năm từ không liên quan: “chuoi-xanh-cau-long-mua-he”. Độ dài làm mật khẩu khó đoán hơn nhiều so với vài ký tự đặc biệt. Đừng dùng những từ dễ đoán qua trang cá nhân như tên con, tên chó, đội bóng yêu thích.
Điều quan trọng hơn cả là không dùng chung một mật khẩu cho nhiều nơi. Các vụ lộ dữ liệu ở trang web này hay trang web khác xảy ra thường xuyên. Khi một trang bị lộ, kẻ gian lấy cặp email và mật khẩu đó đi thử ở Facebook, ngân hàng, email. Nếu bạn dùng chung, một chỗ thủng là thủng tất cả. Ít nhất, email chính, tài khoản ngân hàng và mạng xã hội phải có mật khẩu riêng, khác nhau hoàn toàn.
Nhớ hàng chục mật khẩu khác nhau là chuyện khó. Trình quản lý mật khẩu, có sẵn trong trình duyệt và điện thoại hoặc là ứng dụng riêng, giúp bạn tạo và lưu mật khẩu mạnh cho từng nơi, chỉ cần nhớ một mật khẩu chính thật chắc. Với người lớn tuổi không quen công nghệ, một cuốn sổ ghi mật khẩu cất kỹ trong nhà đôi khi còn an toàn hơn dùng chung một mật khẩu yếu cho mọi thứ.
Xác thực hai lớp: bật ngay hôm nay
Xác thực hai lớp nghĩa là ngoài mật khẩu, khi đăng nhập trên thiết bị lạ, bạn còn phải qua một bước thứ hai: nhập mã gửi về điện thoại, mã từ ứng dụng xác thực, hoặc bấm xác nhận trên thiết bị quen. Kẻ gian có lộ mật khẩu của bạn cũng chưa vào được.
Facebook, Zalo, Gmail và hầu hết dịch vụ lớn đều có tính năng này trong phần cài đặt bảo mật. Nếu có lựa chọn, ứng dụng xác thực trên điện thoại thường an toàn hơn mã qua SMS, vì tin nhắn có thể bị chặn hoặc chuyển hướng nếu kẻ gian chiếm được SIM của bạn. Khi bật, dịch vụ thường cho một bộ mã dự phòng: hãy in ra hoặc chép vào sổ, cất cẩn thận, để dùng khi mất điện thoại.
Xác thực hai lớp không cứu được bạn nếu bạn tự đọc mã cho kẻ gian. Nhưng nó chặn được phần lớn các vụ chiếm tài khoản chỉ dựa vào mật khẩu bị lộ, mà loại này rất phổ biến.
Mật khẩu là ổ khoá, xác thực hai lớp là thêm một chốt cửa. Còn mã OTP là chìa khoá, đưa cho ai là người đó vào nhà.
Khi tài khoản đã bị chiếm
Hành động càng sớm càng tốt. Nếu còn đăng nhập được, đổi mật khẩu ngay, đăng xuất khỏi tất cả thiết bị khác trong phần cài đặt bảo mật, kiểm tra xem email và số điện thoại khôi phục có bị đổi không. Nếu đã bị khoá ngoài, dùng chức năng khôi phục tài khoản chính thức của Facebook hoặc Zalo, làm theo hướng dẫn trong ứng dụng, đừng tin những “dịch vụ lấy lại tài khoản” quảng cáo trên mạng, vì nhiều nơi là lừa đảo lần hai.
Đồng thời, nhờ người thân đăng tin hoặc nhắn trực tiếp cho bạn bè: tài khoản đã bị chiếm, đừng chuyển tiền, đừng bấm link. Nếu tài khoản ngân hàng hay ví điện tử có liên kết, gọi tổng đài để tạm khoá. Nếu đã mất tiền, trình báo công an kèm bằng chứng.
Tối nay, bạn có thể dành mười phút làm ba việc: kiểm tra xem Facebook và Zalo đã bật xác thực hai lớp chưa, đổi mật khẩu email chính nếu nó đang dùng chung với nơi khác, và nhắn cho bố mẹ một câu thật ngắn: “Ai xin mã sáu số thì đừng đưa, kể cả con.”
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên!