Đăng ký ứng dụng giao đồ ăn: nhập số điện thoại. Tạo tài khoản sàn thương mại điện tử: lại số điện thoại. Nơi nào cũng hỏi số rồi gửi về một dãy sáu chữ số: mã OTP.
Mã OTP qua SMS là gì?
OTP là viết tắt của one-time password — mật khẩu dùng một lần: dãy 4–6 chữ số, chỉ có giá trị vài phút và dùng được đúng một lần.
Mục đích của nó không phải chứng minh bạn là ai, mà chứng minh bạn đang cầm chiếc SIM gắn với số đó.
Quy trình diễn ra thế nào?
- Bạn nhập số điện thoại vào form.
- Máy chủ tạo mã ngẫu nhiên, lưu kèm số của bạn và hạn dùng, thường 60 giây đến 5 phút.
- Cổng SMS chuyển mã qua nhà mạng về máy bạn.
- Bạn gõ lại mã vào ứng dụng.
- Máy chủ đối chiếu: mã đúng chưa, còn hạn không, đã dùng chưa. Sai hoặc quá hạn thì phải xin mã mới, và chỉ được thử vài lần.
Vì sao ứng dụng nào cũng dùng SMS?
Lý do thực dụng, chứ không phải vì SMS an toàn nhất. Ai cũng nhận được tin nhắn, kể cả máy phổ thông, và chi phí rất rẻ. Quan trọng nhất, số điện thoại là tài nguyên có giới hạn: muốn 10.000 tài khoản ảo thì cần 10.000 số, nên SMS chặn được phần lớn bot.
Nếu bạn đang thử luồng đăng ký của chính mình mà không muốn dùng số cá nhân, dịch vụ số điện thoại ảo nhận SMS miễn phí của 1mail.lt giúp kiểm tra chặng gửi mã.
Điểm yếu có thật của SMS
Tráo SIM (SIM swap)
Kẻ gian mạo danh bạn để xin cấp lại SIM. Khi thành công, mọi mã OTP về thẳng máy họ — cách phổ biến nhất để chiếm tài khoản ngân hàng.
Chặn tin nhắn ở tầng mạng
Giao thức SS7 mà nhà mạng dùng để chuyển tin nhắn ra đời từ thời chưa ai nghĩ đến bảo mật. Kẻ truy cập được hạ tầng viễn thông có thể chặn hoặc chuyển hướng SMS.
Lừa đảo chuyển tiếp mã
Rủi ro dễ gặp nhất. Kẻ gian dựng trang đăng nhập giả giống hệt ngân hàng; bạn nhập tài khoản, chúng lập tức đăng nhập vào trang thật, hệ thống gửi OTP về máy bạn, rồi bạn tự tay gõ mã vào trang giả.
Mã hiện trên màn hình khóa, và tin nhắn không tới
Ai cầm máy của bạn cũng đọc được mã mà không cần mở khóa, nên hãy tắt hiển thị nội dung tin nhắn ở màn hình khóa. SMS cũng không bảo đảm tới nơi: roaming, nghẽn mạng hay cổng quốc tế bị lọc đều khiến tin chậm hoặc mất, và bạn bị khóa ngoài tài khoản.
Khi nào SMS là đủ?
SMS ổn với tài khoản mất đi thì bực chứ không thiệt hại nặng: diễn đàn, ứng dụng giao hàng, mua sắm nhỏ. Có vẫn hơn chỉ dùng mật khẩu.
Nhưng với email chính, ngân hàng, ví tiền mã hóa hay thứ gì dùng được để đặt lại mật khẩu của tài khoản khác, hãy chuyển sang ứng dụng xác thực sinh mã TOTP. Mã sinh ngay trên thiết bị, không qua nhà mạng, nên tráo SIM và chặn SS7 đều vô hiệu. Bài mã TOTP là gì và hoạt động ra sao giải thích cơ chế phía sau; còn so sánh ứng dụng xác thực với SMS 2FA giúp bạn chọn đúng.
Số của bạn không chỉ để nhận mã
Số điện thoại là mã định danh gần như vĩnh viễn — đổi email thì dễ, đổi số thì không. Nhiều công ty dùng nó để ghép hồ sơ giữa các dịch vụ hoặc bán cho bên quảng cáo; khi rò rỉ, số của bạn ra ngoài kèm tên và địa chỉ. Chỉ nên đưa số thật cho ngân hàng, cơ quan nhà nước và dịch vụ y tế; với trang dùng một lần, hãy cân nhắc số ảo nhận mã OTP hoặc email tạm thời của 1mail.lt.
Cảnh báo quan trọng nhất
Không bao giờ đọc mã OTP cho bất kỳ ai — kể cả người xưng là nhân viên ngân hàng, shipper, công an hay bộ phận hỗ trợ của chính ứng dụng đó. Không tổ chức hợp pháp nào cần mã của bạn — mã chỉ để bạn tự nhập. Ai hỏi mã đều đang lừa đảo. Nhận mã mà không hề yêu cầu nghĩa là ai đó đang thử đăng nhập — hãy đổi mật khẩu ngay.
Câu hỏi thường gặp
Không nhận được mã OTP thì làm sao?
Đợi 2–3 phút rồi mới bấm gửi lại, vì yêu cầu liên tiếp có thể khiến hệ thống tạm khóa. Kiểm tra sóng, mục tin nhắn rác và danh sách chặn. Ở nước ngoài nhớ bật roaming. Vẫn không được thì chọn cách nhận mã khác như gọi thoại.
SMS có kém hơn ứng dụng xác thực nhiều không?
Có, nhưng đừng vì thế mà tắt SMS. Ứng dụng xác thực tốt hơn rõ rệt vì mã sinh ngay trên máy. Dù vậy SMS vẫn chặn được đa số tấn công dùng mật khẩu bị lộ. Ưu tiên: ứng dụng xác thực cho tài khoản quan trọng, SMS cho phần còn lại.
Có nên dùng số ảo cho mọi thứ không?
Không. Số ảo công khai rất hợp để thử nghiệm, đăng ký một lần hay tránh spam quảng cáo, nhưng người khác cũng xem được tin nhắn tới số đó. Đừng dùng cho ngân hàng, ví điện tử hay email chính.
