Vì sao không nên nhận mã OTP qua tin nhắn?

Theo CNBC, mã OTP (mật khẩu dùng một lần) hiện vẫn là một trong những phương thức đăng nhập tiện lợi và phổ biến nhất với người dùng điện thoại. Thông thường, mã này được gửi qua tin nhắn văn bản (SMS), người dùng chỉ cần nhập đúng là có thể xác thực giao dịch mà không phải tải thêm ứng dụng hay thực hiện các bước phức tạp.

Tuy nhiên, ngày càng nhiều chuyên gia an ninh mạng cho rằng OTP, cũng như mật khẩu truyền thống, không còn đủ an toàn và cần sớm được thay thế. Thực tế đã ghi nhận không ít vụ tấn công chiếm đoạt tài khoản bắt nguồn từ lỗ hổng của phương thức này, gây thiệt hại nghiêm trọng cho cả người dùng lẫn doanh nghiệp.

Người dùng cũng cần hiểu rõ rằng OTP không chỉ có một loại, và mức độ an toàn giữa các phương thức có thể chênh lệch rất lớn. Ant Allan, Phó Chủ tịch phân tích tại Gartner Research, nhấn mạnh: “Kinh nghiệm cho thấy luôn có cách để vượt qua các biện pháp xác thực, nhưng một số phương thức vẫn an toàn hơn. Không có phương pháp nào tuyệt đối an toàn”.

Trong số các hình thức OTP, OTP qua SMS được đánh giá là dễ bị khai thác nhất. Theo Tracy C. Kitten, Giám đốc phụ trách an ninh tại Javelin Strategy & Research, kẻ gian có thể dùng nhiều thủ đoạn như lừa đảo qua email, đánh cắp SIM hoặc chặn tin nhắn bằng các công cụ chuyên dụng. Đáng lo hơn, ngay cả khi điện thoại vẫn nằm trong tay người dùng, tin nhắn OTP vẫn có thể bị đọc trộm từ xa thông qua các lỗ hổng của mạng di động.

Một rủi ro khác là người dùng rất khó phát hiện tài khoản bị xâm nhập ngay lập tức. Kitten cảnh báo: “Bạn có thể yêu cầu ngân hàng gửi lại mã OTP mà không biết rằng kẻ gian đang nhận mã đó. Có thể mất 45 phút để nhận ra sự cố và khi đó thì đã quá muộn”.

Để tăng cường bảo mật, các chuyên gia khuyến nghị nên sử dụng ứng dụng xác thực (authenticator app) như Google Authenticator hoặc Microsoft Authenticator. Những ứng dụng này tạo mã dùng một lần (TOTP) trực tiếp trên thiết bị và tự động hết hạn sau 30–60 giây. Vì không đi qua mạng di động, nguy cơ bị đánh cắp cũng giảm đáng kể.

Ant Allan cho biết, dù các ứng dụng này vẫn có thể bị tấn công theo kiểu “kẻ trung gian”, chúng vẫn an toàn hơn nhiều so với OTP qua SMS. Kitten cũng bổ sung rằng nếu điện thoại được bảo vệ bằng mật khẩu mạnh hoặc xác thực sinh trắc học như vân tay, khuôn mặt, nguy cơ bị xâm nhập sẽ tiếp tục giảm thêm một mức.

Theo Cedric Thevenet, Phó Chủ tịch kiêm Trưởng bộ phận an ninh mạng tại Capgemini Americas, một lựa chọn bảo mật cao hơn là xác thực qua thông báo ứng dụng. Với cách này, khi đăng nhập, người dùng không cần nhập mã mà chỉ cần xác nhận thông báo hiển thị trên ứng dụng điện thoại. Phương thức này không phụ thuộc vào thiết bị đăng nhập và có khả năng chống lại nhiều hình thức tấn công hơn.

Dù vậy, ngay cả giải pháp này cũng không hoàn toàn miễn nhiễm với rủi ro. Hacker có thể thực hiện kiểu tấn công gửi liên tục nhiều yêu cầu đăng nhập giả mạo, khiến người dùng vô tình nhấn “xác nhận”, từ đó trao quyền truy cập cho kẻ xấu.

Ngoài hai phương thức trên, một số chuyên gia khuyến nghị người dùng nên dần làm quen với các giải pháp mới như khóa phần cứng (hardware key) hoặc passkeys — công nghệ xác thực không cần mật khẩu đang được nhiều tập đoàn lớn triển khai. Passkeys sử dụng cơ chế mã hóa khóa công khai, giúp loại bỏ nguy cơ bị lừa đảo qua các trang web giả mạo, đồng thời khiến quá trình đăng nhập an toàn và thuận tiện hơn.

Rõ ràng, OTP qua SMS không còn là lựa chọn tối ưu trong bối cảnh các mối đe dọa mạng ngày càng tinh vi. Dù vẫn phổ biến và dễ sử dụng, người dùng nên chủ động chuyển sang các biện pháp bảo mật mạnh hơn như ứng dụng xác thực, thông báo qua app, khóa phần cứng hoặc passkeys.

Các chuyên gia nhấn mạnh rằng không có phương pháp nào tuyệt đối an toàn. Nhưng khi hiểu rõ rủi ro, áp dụng nhiều lớp bảo mật và luôn cảnh giác trước các chiêu thức lừa đảo ngày càng tinh vi, người dùng hoàn toàn có thể giảm đáng kể nguy cơ mất tài khoản và tránh những thiệt hại không đáng có.

Công Tơ Điện Hunonic Entec - Giải Pháp Tiết Kiệm Năng Lượng Thông Minh Điều Khiển

Chi tiết Địa chỉ tổ chức chịu trách nhiệm hàng hóa Tên tổ chức chịu trách nhiệm hàng hóa Khu vực xuất xứ Thời hạn bảo hành Điện áp đầu vào (V) Công suất (W) Loại bảo hành Thương hiệu 750 KIM GIANG HUNONIC HÀ NộI Việt Nam 12 tháng 220v 14000 Bảo hành