Cách bảo mật tài khoản có một sự thật khiến phần lớn lời khuyên thông thường trở nên thứ yếu: mật khẩu mạnh tới đâu cũng không cứu được bạn nếu nó bị lộ, và cách nó bị lộ thường không phải do ai đoán ra. Nó bị lộ vì một dịch vụ bạn từng đăng ký bị rò rỉ dữ liệu, và vì bạn dùng lại đúng mật khẩu đó ở nhiều nơi. Vì vậy hai việc quan trọng nhất không phải là đặt mật khẩu phức tạp hơn, mà là không dùng lại mật khẩu và bật xác thực hai lớp. Xác thực hai lớp là thứ khiến kẻ biết mật khẩu của bạn vẫn không vào được tài khoản – và nó đáng giá hơn mọi quy tắc về ký tự hoa, số và ký hiệu cộng lại. Đây là thông tin tham khảo mang tính kiến thức chung.
Hai việc quan trọng hơn tất cả
Nếu bạn chỉ làm được hai việc từ bài này, hãy làm hai việc sau.
Một: không dùng lại mật khẩu ở nhiều nơi. Đây là điểm yếu lớn nhất trong thói quen của hầu hết mọi người. Khi một dịch vụ nhỏ bạn từng đăng ký bị rò rỉ dữ liệu, kẻ tấn công lấy được cặp email và mật khẩu của bạn, rồi thử đúng cặp đó ở email chính, mạng xã hội, ngân hàng. Nếu bạn dùng lại, họ vào được tất cả mà không cần bẻ khóa gì cả.
Hai: bật xác thực hai lớp cho các tài khoản quan trọng. Đây là lớp bảo vệ hiệu quả nhất, vì nó khiến việc biết mật khẩu trở nên không đủ. Kẻ tấn công phải có thêm thứ bạn đang cầm trong tay.
Thứ tự ưu tiên khi bật: email chính trước tiên – vì email là nơi đặt lại mật khẩu của mọi thứ khác, nên ai chiếm được email thì chiếm được tất cả. Rồi tới tài khoản ngân hàng và ví điện tử, tài khoản của hệ điều hành trên máy, rồi mạng xã hội và ứng dụng nhắn tin.
Mọi lời khuyên còn lại – đổi mật khẩu định kỳ, thêm ký tự đặc biệt, viết hoa xen kẽ – đều ít quan trọng hơn hai việc này rất nhiều.
Bảng: các lớp bảo vệ theo mức hiệu quả
| Biện pháp | Mức hiệu quả | Công sức | Nên làm khi nào |
|---|---|---|---|
| Xác thực hai lớp cho email chính | Rất cao | 5 phút | Ngay hôm nay |
| Mật khẩu riêng cho mỗi dịch vụ | Rất cao | Dần dần | Bắt đầu từ tài khoản quan trọng |
| Lưu mã khôi phục ra giấy | Rất cao | 10 phút | Ngay khi bật hai lớp |
| Dùng trình quản lý mật khẩu | Cao | 1 giờ đầu | Khi có trên 10 tài khoản |
| Mật khẩu dài (12+ ký tự) | Cao | Không đáng kể | Khi tạo mật khẩu mới |
| Kiểm tra phiên đăng nhập lạ | Trung bình | 5 phút/quý | Định kỳ |
| Đổi mật khẩu định kỳ | Thấp | Nhiều | Chỉ khi nghi bị lộ |
| Thêm ký tự đặc biệt | Thấp | Không đáng kể | Ít quan trọng hơn độ dài |
Xác thực hai lớp: chọn phương thức nào
Không phải mọi phương thức đều an toàn như nhau, và sự khác biệt khá lớn.
Mã gửi qua tin nhắn là phương thức phổ biến nhất và tốt hơn nhiều so với không có gì. Nhưng nó có điểm yếu rõ ràng: nếu bạn mất điện thoại, kẻ nhặt được có thể tháo SIM lắp sang máy khác và nhận mã. Đây cũng là lý do khóa SIM là việc cấp bách nhất khi mất điện thoại.
Ứng dụng xác thực an toàn hơn hẳn. Nó sinh mã ngay trên máy bạn, không đi qua mạng nên không bị chặn giữa đường, và vẫn hoạt động khi không có sóng. Đây là lựa chọn nên dùng cho các tài khoản quan trọng.
Khóa bảo mật vật lý là mức cao nhất – một thiết bị nhỏ bạn cắm vào máy hoặc chạm vào điện thoại. Phù hợp với người có nhu cầu bảo vệ cao.
Xác nhận qua thông báo đẩy – máy hiện một thông báo hỏi có phải bạn đang đăng nhập không – tiện và khá an toàn. Chỉ cần lưu ý: đừng bấm chấp nhận theo phản xạ. Nếu bạn nhận được thông báo trong lúc không hề đăng nhập, đó là dấu hiệu ai đó đang có mật khẩu của bạn.
Điểm quan trọng nhất khi bật hai lớp: hãy lấy mã khôi phục và ghi ra giấy ngay lúc đó. Đây là dãy mã dùng một lần giúp bạn vào lại tài khoản khi mất điện thoại. Không có nó, mất máy đồng nghĩa với mất luôn tài khoản – kể cả email của chính bạn. Cùng lúc đó, hãy đảm bảo bạn đã sao lưu điện thoại để dữ liệu không phụ thuộc vào một thiết bị duy nhất.
Mật khẩu: độ dài quan trọng hơn độ phức tạp
Các quy tắc mật khẩu quen thuộc đã lỗi thời hơn nhiều người nghĩ.
Độ dài đánh bại độ phức tạp. Một mật khẩu dài gồm vài từ ghép lại khó bẻ hơn nhiều so với một chuỗi tám ký tự đầy ký hiệu – và lại dễ nhớ hơn hẳn. Hãy nhắm tới ít nhất mười hai ký tự.
Đừng đổi mật khẩu định kỳ nếu không có lý do. Đây là lời khuyên cũ mà giới an ninh thông tin đã bỏ, vì nó khiến người dùng chọn mật khẩu yếu hơn và dễ đoán theo quy luật. Chỉ đổi khi bạn nghi ngờ đã bị lộ.
Tránh những thứ người quen biết: ngày sinh, tên con, biển số xe, số điện thoại. Đây là những thứ đầu tiên bị thử.
Đừng biến thể theo tên dịch vụ. Kiểu đặt mật khẩu giống nhau rồi thêm tên dịch vụ vào cuối là mẹo rất phổ biến, và cũng chính vì phổ biến nên nó không còn tác dụng – kẻ tấn công đoán được quy luật này ngay.
Trình quản lý mật khẩu giải quyết toàn bộ bài toán này: nó tạo mật khẩu ngẫu nhiên riêng cho từng dịch vụ và bạn chỉ cần nhớ một mật khẩu chính. Nếu bạn có hơn mười tài khoản – và gần như ai cũng vậy – đây là công cụ đáng dùng nhất.
Riêng với mật khẩu WiFi, có một ngoại lệ thực dụng: tránh chữ có dấu và ký tự đặc biệt hiếm, vì nhiều thiết bị cũ xử lý sai chúng – xem cách đổi mật khẩu WiFi bằng điện thoại.
Ba dấu hiệu tài khoản đã bị xâm nhập
Phát hiện sớm giới hạn được thiệt hại, nên hãy biết những dấu hiệu này.
Thông báo đăng nhập từ thiết bị hoặc địa điểm lạ. Đừng bỏ qua những email này – chúng là hệ thống cảnh báo và thường chính xác.
Bạn bè nhận được tin nhắn lạ từ tài khoản của bạn – đặc biệt là tin nhắn vay tiền. Đây là dấu hiệu rõ ràng nhất và thường được người khác báo cho bạn trước khi bạn tự nhận ra.
Không đăng nhập được bằng mật khẩu đúng. Nếu kẻ tấn công đã đổi mật khẩu, bạn bị khóa ngoài chính tài khoản của mình.
Các dấu hiệu khác đáng chú ý: email trong hộp thư bị đọc hoặc bị xóa mà bạn không làm; có quy tắc chuyển tiếp thư lạ trong cài đặt email – đây là cách kẻ tấn công đọc thư của bạn âm thầm sau khi bạn đã đổi mật khẩu; và thông tin khôi phục bị thay đổi – số điện thoại hoặc email dự phòng bị đổi sang của người khác.
Hai thứ cuối đặc biệt quan trọng: sau khi lấy lại tài khoản, hãy kiểm tra mục chuyển tiếp thư và thông tin khôi phục. Nhiều người đổi mật khẩu rồi yên tâm mà không biết kẻ tấn công vẫn đọc được thư qua quy tắc chuyển tiếp đã cài.
Nếu tài khoản đã bị chiếm
Hãy làm theo thứ tự này, và làm từ một thiết bị bạn tin tưởng.
Một: đổi mật khẩu ngay nếu còn đăng nhập được. Nếu không, dùng chức năng quên mật khẩu.
Hai: đăng xuất mọi phiên đang hoạt động. Trong phần bảo mật có mục liệt kê thiết bị đang đăng nhập – hãy đăng xuất tất cả trừ thiết bị bạn đang dùng. Bước này rất quan trọng vì đổi mật khẩu không tự động cắt các phiên cũ trên mọi dịch vụ.
Ba: kiểm tra quy tắc chuyển tiếp thư và xóa những quy tắc bạn không tạo.
Bốn: kiểm tra thông tin khôi phục – số điện thoại và email dự phòng – và sửa lại nếu bị đổi.
Năm: bật xác thực hai lớp nếu chưa có, và lưu mã khôi phục ra giấy.
Sáu: rà các ứng dụng đã được cấp quyền truy cập tài khoản và thu hồi những cái lạ.
Bảy: đổi mật khẩu ở những nơi bạn dùng lại mật khẩu đó – và đây là lúc bạn thấy rõ vì sao không nên dùng lại.
Tám: báo cho bạn bè đề phòng kẻ gian đã nhắn tin vay tiền.
Nếu tài khoản liên quan tới tiền bạc, hãy gọi ngân hàng ngay và theo dõi biến động số dư trong vài ngày tiếp theo.
Sáu hiểu lầm phổ biến
“Mật khẩu phức tạp là đủ.” Không, nếu bạn dùng lại nó ở nhiều nơi. Một dịch vụ rò rỉ là lộ hết. Mật khẩu riêng cho mỗi nơi quan trọng hơn độ phức tạp.
“Nên đổi mật khẩu hàng tháng.” Lời khuyên này đã bị giới an ninh thông tin bỏ, vì nó khiến người dùng chọn mật khẩu yếu và dễ đoán theo quy luật. Chỉ đổi khi nghi bị lộ.
“Xác thực hai lớp phiền phức.” Nó chỉ thêm vài giây khi đăng nhập trên thiết bị mới, và là thứ duy nhất cứu bạn khi mật khẩu đã lộ. Đánh đổi rất đáng.
“Đổi mật khẩu là kẻ xấu hết đường vào.” Chưa chắc. Các phiên đăng nhập cũ có thể vẫn hoạt động, và quy tắc chuyển tiếp thư đã cài vẫn chạy. Phải kiểm tra cả hai.
“Tài khoản của mình không có gì đáng lấy.” Email của bạn là chìa khóa đặt lại mật khẩu mọi thứ khác, và danh sách bạn bè là mục tiêu để nhắn tin lừa đảo. Không có tài khoản nào là không đáng lấy.
“Trình quản lý mật khẩu nguy hiểm vì để hết trứng vào một giỏ.” Rủi ro đó nhỏ hơn nhiều so với rủi ro dùng lại một mật khẩu ở hai mươi nơi – vốn là thứ đang xảy ra với hầu hết mọi người.
Checklist tám bước
Làm lần lượt, và ba bước đầu là quan trọng nhất.
Một: bật xác thực hai lớp cho email chính – đây là tài khoản gốc của mọi thứ khác.
Hai: lấy mã khôi phục và ghi ra giấy, cất ở nơi an toàn.
Ba: đổi mật khẩu email chính thành một mật khẩu riêng, không dùng ở đâu khác.
Bốn: bật xác thực hai lớp cho ngân hàng, ví điện tử và tài khoản hệ điều hành.
Năm: kiểm tra phiên đăng nhập trên từng tài khoản, đăng xuất thiết bị lạ.
Sáu: kiểm tra quy tắc chuyển tiếp thư và thông tin khôi phục trong email.
Bảy: rà các ứng dụng đã được cấp quyền truy cập tài khoản, thu hồi cái không dùng.
Tám: cài trình quản lý mật khẩu và bắt đầu chuyển dần các tài khoản sang mật khẩu riêng.
Thói quen giữ tài khoản an toàn lâu dài
Bảo mật tốt là thứ chạy nền, không phải việc bạn phải nhớ mỗi ngày.
Ưu tiên ứng dụng xác thực hơn mã gửi qua tin nhắn cho các tài khoản quan trọng – nó không phụ thuộc vào SIM và không bị chặn giữa đường.
Giữ mã khôi phục ở nơi vật lý. Một tờ giấy trong ngăn kéo là thứ duy nhất không mất theo chiếc điện thoại – và đây là lời khuyên tôi thấy đáng giá nhất trong toàn bài.
Đừng bấm chấp nhận thông báo đăng nhập theo phản xạ. Nếu bạn không đang đăng nhập mà nhận được thông báo, đó là tín hiệu ai đó đã có mật khẩu của bạn – hãy đổi ngay. Ngược lại, những thông báo báo “máy nhiễm virus” đẩy về từ trình duyệt đều là lừa đảo, xem cách tắt thông báo trên Chrome để gỡ quyền của trang đã gửi.
Cẩn thận với liên kết trong email và tin nhắn. Trang đăng nhập giả là cách phổ biến nhất khiến mật khẩu bị lộ. Hãy tự gõ địa chỉ trang web thay vì bấm vào liên kết được gửi tới.
Rà soát phiên đăng nhập vài tháng một lần – việc này mất năm phút và phát hiện được xâm nhập âm thầm.
Đừng đăng nhập tài khoản quan trọng trên máy công cộng, và nếu buộc phải làm thì hãy đăng xuất mọi phiên sau đó – cùng nguyên tắc thận trọng đã nói ở bài điện thoại bị theo dõi.
Câu hỏi thường gặp
Việc quan trọng nhất để bảo mật tài khoản là gì?
Hai việc: không dùng lại mật khẩu ở nhiều nơi, và bật xác thực hai lớp cho các tài khoản quan trọng. Cả hai quan trọng hơn mọi quy tắc về độ phức tạp của mật khẩu.
Nên bật xác thực hai lớp cho tài khoản nào trước?
Email chính, vì đó là nơi đặt lại mật khẩu của mọi thứ khác – ai chiếm được email thì chiếm được tất cả. Sau đó tới ngân hàng, ví điện tử, tài khoản hệ điều hành, rồi mạng xã hội.
Mã qua tin nhắn hay ứng dụng xác thực tốt hơn?
Ứng dụng xác thực an toàn hơn hẳn vì nó sinh mã ngay trên máy, không đi qua mạng và vẫn hoạt động khi không có sóng. Mã qua tin nhắn có điểm yếu là kẻ nhặt được máy có thể tháo SIM lắp sang thiết bị khác.
Mã khôi phục là gì và vì sao quan trọng?
Là dãy mã dùng một lần giúp bạn vào lại tài khoản khi mất thiết bị xác thực. Không có nó, mất điện thoại đồng nghĩa với mất luôn tài khoản – kể cả email của chính bạn. Hãy ghi ra giấy ngay khi bật hai lớp.
Có nên đổi mật khẩu định kỳ không?
Không cần. Lời khuyên này đã bị giới an ninh thông tin bỏ vì nó khiến người dùng chọn mật khẩu yếu hơn và dễ đoán theo quy luật. Chỉ đổi khi bạn nghi ngờ mật khẩu đã bị lộ.
Mật khẩu thế nào là mạnh?
Độ dài quan trọng hơn độ phức tạp – hãy nhắm tới ít nhất mười hai ký tự. Một mật khẩu dài gồm vài từ ghép lại vừa khó bẻ hơn vừa dễ nhớ hơn một chuỗi ngắn đầy ký hiệu.
Dấu hiệu tài khoản bị chiếm là gì?
Thông báo đăng nhập từ thiết bị lạ, bạn bè nhận tin nhắn lạ từ tài khoản của bạn, hoặc không đăng nhập được bằng mật khẩu đúng. Ngoài ra hãy để ý quy tắc chuyển tiếp thư lạ và thông tin khôi phục bị đổi.
Đổi mật khẩu rồi có an toàn chưa?
Chưa chắc. Hãy đăng xuất mọi phiên đang hoạt động, kiểm tra quy tắc chuyển tiếp thư và thông tin khôi phục. Kẻ tấn công có thể vẫn đọc được thư của bạn qua quy tắc chuyển tiếp đã cài từ trước.
Trình quản lý mật khẩu có an toàn không?
An toàn hơn nhiều so với việc dùng lại một mật khẩu ở hàng chục nơi – vốn là thứ đang xảy ra với hầu hết mọi người. Nếu bạn có trên mười tài khoản thì đây là công cụ đáng dùng nhất.
Vì sao mật khẩu bị lộ dù tôi không nói với ai?
Thường vì một dịch vụ bạn từng đăng ký bị rò rỉ dữ liệu, và bạn dùng lại đúng mật khẩu đó ở nơi khác. Kẻ tấn công lấy cặp email và mật khẩu rồi thử ở các dịch vụ lớn.
Nhận thông báo đăng nhập mà mình không đăng nhập thì sao?
Đừng bấm chấp nhận. Đó là dấu hiệu ai đó đã có mật khẩu của bạn và đang cố vào. Hãy từ chối rồi đổi mật khẩu ngay từ một thiết bị bạn tin tưởng.
Làm sao tránh bị lộ mật khẩu qua trang giả?
Đừng bấm vào liên kết đăng nhập được gửi qua email hay tin nhắn. Hãy tự gõ địa chỉ trang web vào trình duyệt – trang đăng nhập giả là cách phổ biến nhất khiến mật khẩu bị lộ.
Tạm kết
Điều đáng nhớ nhất là mật khẩu của bạn thường không bị đoán ra mà bị rò rỉ từ một nơi khác. Đó là lý do việc dùng riêng mật khẩu cho mỗi dịch vụ quan trọng hơn hẳn việc thêm ký tự đặc biệt vào một mật khẩu bạn dùng ở hai mươi nơi.
Và nếu hôm nay bạn chỉ có mười lăm phút, hãy dùng nó để bật xác thực hai lớp cho email chính rồi ghi mã khôi phục ra giấy. Email là tài khoản gốc của mọi thứ khác, còn tờ giấy đó là thứ duy nhất không mất theo chiếc điện thoại của bạn.
Xem thêm:
App MB Bank: Cách Tải, Đăng Ký, Chuyển Khoản & Lưu Ý Bảo Mật 2026
