Bật xác minh hai bước cho email, tài khoản thanh toán và mạng xã hội; ưu tiên bấm xác nhận trên thông báo bật lên ở điện thoại, sau đó mới tới mã qua tin nhắn

Xác minh hai bước là lúc đăng nhập, ngoài mật khẩu còn phải xác nhận thêm một lần nữa rằng đúng là bạn. Cách điện thoại hiện một thông báo để bạn bấm xác nhận chặn được hơn chín phần mười số vụ lừa lấy tài khoản; mã qua tin nhắn dễ bị lừa lấy mất hơn thông báo bật lên. Cách cũ là trả lời câu hỏi kiểu "lần trước bạn đăng nhập ở đâu", "email dự phòng là gì", có lúc chỉ chặn được một phần mười số vụ lừa lấy tài khoản.

Chi phí

Không tốn tiền. Mỗi tài khoản cài một lần, hai ba phút là xong.

Lợi ích

Google thống kê 350.000 lần thật sự tìm cách chiếm tài khoản (còn gọi là cướp tài khoản). Một loại là xác minh bằng thiết bị, ví dụ điện thoại hiện thông báo để bạn bấm xác nhận, hoặc cắm một khoá bảo mật. Loại này chặn được "hơn 94% số lần cướp tài khoản bắt nguồn từ lừa đảo giả mạo và 100% số lần cướp tài khoản tự động". Lừa đảo giả mạo (phishing) là lừa bạn nhập mật khẩu trên trang web giả; tự động là máy lấy mật khẩu bị lộ đem đi thử hàng loạt. Loại kia là xác minh bằng cách trả lời câu hỏi, ví dụ hỏi lần trước bạn đăng nhập ở đâu, email dự phòng là gì. Loại này "chỉ chặn được thấp nhất 10% số lần cướp bằng lừa đảo giả mạo và 73% số lần cướp tự động". Cùng là xác minh bằng thiết bị, mã qua tin nhắn yếu hơn thông báo bật lên. Kẻ lừa đảo trả lời đúng 4% số mã tin nhắn, còn thông báo bật lên chỉ bị lừa 1%. Trong các vụ tấn công có chủ đích nhắm vào một người cụ thể, tin nhắn chỉ chặn được 76%, thông báo bật lên chặn được 90%

Ghi chú

Cùng nghiên cứu đó cũng thấy kiểu xác minh này đôi khi chặn luôn cả chính chủ ở ngoài. 52% người dùng thật lần đầu không đăng nhập được, nhưng cuối cùng 97% vẫn vào được. Bật tính năng này cho email trước, vì phần lớn tài khoản khác lấy lại mật khẩu được qua email. Mã xác minh chỉ dùng cho mình; đọc mã hay quét mặt hộ người khác thì gánh hậu quả gì, xem chương 8 mục 45 (đọc mã xác minh)

Pháp luật Việt Nam

Điều 4 khoản 2 điểm a Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 đặt việc tự bảo vệ dữ liệu cá nhân thành nghĩa vụ của chính chủ thể dữ liệu, không phải thói quen của người kỹ tính; Điều 38 khoản 1 ghi luật có hiệu lực từ ngày 01 tháng 01 năm 2026. Điều 30 khoản 3 buộc hệ thống và dịch vụ dùng dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, điện toán đám mây phải "sử dụng phương thức xác thực, định danh phù hợp và phân quyền truy cập", nên lớp xác nhận thứ hai không phải tính năng xa xỉ mà là thứ bên cung cấp phải có. Điều 29 khoản 2 cấm nền tảng mạng xã hội và dịch vụ truyền thông trực tuyến yêu cầu người dùng cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tuỳ thân làm yếu tố xác thực tài khoản, tức các nền tảng đó không có quyền bắt bạn gửi ảnh căn cước để mở khoá. Điều 23 khoản 1 buộc bên kiểm soát dữ liệu thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện vi phạm có thể gây tổn hại, và cái hạn đó chỉ có ích cho bạn khi bạn còn giữ được đường vào tài khoản để biết chuyện gì đang xảy ra.Phần này lấy từ bản quangpao/HowToLiveBetter.

Nguồn · 1

1. Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). doi.org/10.1145/3308558.3313481