An toàn trên mạng: bảo mật tài khoản, chống lừa đảo cho cả nhà

An toàn trên mạng bắt đầu từ một tin nhắn làm cả nhà hoảng

Tối chủ nhật, mẹ đưa điện thoại cho bạn: "Ngân hàng nhắn tài khoản bị khoá, bấm vào đây mới mở được, con xem giúp mẹ." Đó là lúc chuyện an toàn trên mạng không còn là lý thuyết, vì chỉ cần một cái bấm là có thể mất tiền.

Bài này là bản đồ toàn tập cho cả nhà, từ bố mẹ tới em nhỏ, theo thứ tự nên làm. Mỗi phần tóm gọn ý chính và dẫn sang bài chi tiết để bạn làm theo từng bước.

• Khoá chặt tài khoản: mật khẩu và xác thực 2 lớp
• Nhận ra lừa đảo trước khi bấm
• Wifi công cộng, quyền ứng dụng, cập nhật phần mềm
• Làm gì khi lỡ bị lừa, và cách dặn dò bố mẹ

Bảo mật tài khoản: mật khẩu dài, mỗi nơi một cái

Theo Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA), nên dùng mật khẩu dài ít nhất 16 ký tự và mỗi tài khoản một mật khẩu riêng. Lý do rất đời thường: nếu một trang nhỏ bị lộ dữ liệu, kẻ gian sẽ thử đúng mật khẩu đó ở email và ngân hàng của bạn.

Tiêu chuẩn NIST SP 800-63B-4 còn đi xa hơn: không nên ép người dùng nhồi chữ hoa, số, ký tự đặc biệt, và không nên bắt đổi mật khẩu định kỳ nếu chưa có dấu hiệu bị lộ. Độ dài mới là thứ quan trọng.

• Mật khẩu email phải khác hoàn toàn mọi nơi khác, vì email là chìa khoá lấy lại các tài khoản còn lại
• Đừng dùng ngày sinh, số điện thoại, tên người thân
• Nhớ bằng cụm 4 đến 7 từ không liên quan nhau (gợi ý của CISA)

Ví dụ, một cụm như "xe đạp mưa cà phê sáng" dài và dễ nhớ hơn nhiều so với "Mk@123!". Hãy tự nghĩ ra cụm của riêng bạn, đừng dùng câu thơ, câu hát hay khẩu hiệu quen thuộc.

Nhiều tài khoản quá không nhớ nổi? Trình quản lý mật khẩu sẽ tạo, lưu và tự điền giúp, bạn chỉ nhớ một mật khẩu chính. Cách hoạt động và 4 lưu ý khi dùng nằm ở bài này:

Bật xác thực 2 lớp: lộ mật khẩu vẫn chưa mất tài khoản

Xác thực 2 lớp nghĩa là ngoài mật khẩu, bạn phải qua thêm một bước nữa mới đăng nhập được. Theo Google, bước này bảo vệ tài khoản ngay cả khi mật khẩu bị đánh cắp.

CISA xếp khoá bảo mật vật lý và ứng dụng xác thực mạnh hơn mã gửi qua tin nhắn. Mã tin nhắn là lựa chọn yếu nhất, nhưng có vẫn hơn không.

Cụ thể, CISA xếp ứng dụng xác thực cao hơn mã gửi qua tin nhắn hoặc email, còn khoá bảo mật vật lý ở bậc cao nhất vì chống lừa đảo tốt nhất. Với bố mẹ, cách thực tế là bắt đầu bằng thứ làm được ngay hôm nay, rồi nâng cấp dần.

Google cũng nhắc không chia sẻ mã xác minh với bất kỳ ai, vì kẻ gian có thể dùng nó để chiếm tài khoản. Nghĩa là xác thực 2 lớp chỉ có tác dụng khi mã nằm trong tay bạn.

• Bật trước cho email chính, rồi tới Zalo, Facebook và ứng dụng ngân hàng
• Nếu thiết bị hỗ trợ, dùng passkey: mở bằng vân tay, khuôn mặt hoặc khoá màn hình
• Mã xác thực chỉ để bạn tự nhập vào ứng dụng thật, không đọc cho ai

Bộ năm bước làm một lần cho Zalo, email, ngân hàng, viết sẵn để ngồi cài cùng bố mẹ trong khoảng 15 phút:

Chống lừa đảo: dấu hiệu nhận ra trước khi bấm link

Kịch bản lừa đảo đổi liên tục, nhưng dấu hiệu thì lặp lại. Theo CISA, lời lẽ khẩn cấp, doạ hậu quả nếu không phản hồi ngay và link rút gọn không rõ nguồn là dấu hiệu điển hình. CISA cũng lưu ý tin viết đúng chính tả không chứng minh là thật, vì AI giờ viết được tin rất trơn tru.

Ở Việt Nam, Bộ Công an cảnh báo nhiều chiêu quen thuộc: tin giả ngân hàng đòi cập nhật tài khoản, cuộc gọi tự xưng công an, tin "phạt nguội" kèm link nộp phạt. Cơ quan Công an không làm việc qua điện thoại và không yêu cầu chuyển tiền phục vụ điều tra.

• Có doạ hoặc giục làm ngay không?
• Có đòi mật khẩu, OTP, thông tin thẻ không?
• Có link lạ hoặc bắt cài ứng dụng ngoài kho chính thức không?
• Có bắt chuyển tiền vào tài khoản lạ "để xác minh" không?

Chỉ cần dính một dấu hiệu là dừng lại. Muốn kiểm tra, tự mở ứng dụng ngân hàng hoặc gọi số tổng đài bạn biết chắc là thật, đừng dùng số hay link trong tin. Ba kịch bản phổ biến nhất, kèm việc cần làm ngay, có trong bài này:

Wifi quán cà phê, sân bay, trường học: dùng sao cho yên tâm

Theo Ủy ban Thương mại Liên bang Hoa Kỳ (FTC), điểm phát wifi không có mật khẩu thì không an toàn, vì người dùng chung mạng có thể thấy dữ liệu chưa mã hoá bạn gửi đi. Nhiều trang lớn đã dùng HTTPS nên rủi ro đã giảm, nhưng không biến mất, và HTTPS không giúp bạn nhận ra mình đang nối vào một mạng giả.

FTC cũng cho biết điểm phát wifi chỉ đòi mật khẩu kiểu WPA mới được coi là có bảo vệ, còn mạng mở hoặc dùng chuẩn WEP cũ thì nên coi như không an toàn. Vì vậy, quán nào dán mật khẩu ngay trên bàn vẫn chưa chắc yên tâm tuyệt đối.

Bốn thói quen không tốn tiền:

• Kiểm tra có "https" và ổ khoá trên thanh địa chỉ suốt phiên dùng
• Đăng xuất khi xong việc
• Hỏi nhân viên quán hay xem thông báo để biết đúng tên mạng trước khi kết nối
• Việc nhạy cảm như chuyển tiền, nhập thẻ: tắt wifi, dùng dữ liệu di động 4G/5G

Bài chi tiết còn nói khi nào nên bật VPN và vài mẹo cài đặt cho máy:

Kiểm tra quyền ứng dụng: app đèn pin không cần danh bạ của bạn

Bạn tải một ứng dụng nhỏ, hộp thoại hiện ra xin vị trí, danh bạ, ảnh, và bạn bấm Cho phép cho nhanh. Một nghiên cứu tại hội nghị SOUPS năm 2012 trên người dùng Android cho thấy chỉ khoảng 17% người được khảo sát chú ý đến quyền khi cài ứng dụng, nên bạn không hề đơn độc.

Tin tốt: theo Apple và Google, quyền đã cấp có thể đổi lại bất cứ lúc nào trong Cài đặt.

• iPhone: Cài đặt, Quyền riêng tư & Bảo mật, xem từng loại dữ liệu và app đang truy cập
• Android: Cài đặt, Bảo mật & quyền riêng tư, Trình quản lý quyền (tên menu có thể khác tuỳ hãng máy)
• Vị trí: ưu tiên mức "khi dùng ứng dụng" thay vì "luôn luôn"
• Game hay app đèn pin mà xin danh bạ: từ chối, hoặc gỡ nếu nó không chạy nếu thiếu quyền ấy

Hướng dẫn từng bước cho cả iPhone và Android, làm một lượt khoảng 10 phút:

Lỡ bấm link hoặc lỡ đọc OTP: việc cần làm ngay

Đừng xấu hổ hay giấu, càng báo sớm càng dễ chặn thiệt hại. Theo khuyến cáo của Bộ Công an, nếu đã đưa thông tin thẻ, mật khẩu, OTP hoặc chuyển tiền, hãy gọi ngay ngân hàng qua số tổng đài chính thức để khoá tài khoản, rồi báo cơ quan công an.

• Chỉ bấm link hoặc mở file: FTC khuyên cập nhật phần mềm bảo mật, quét thiết bị và gỡ những gì nó báo có vấn đề
• Đã gõ mật khẩu vào trang lạ: đổi mật khẩu đó, và cả những nơi dùng chung mật khẩu, bằng ứng dụng hoặc trang chính thức
• Lỡ cài ứng dụng lạ: gỡ ra, nhờ người rành công nghệ hoặc nhân viên ngân hàng kiểm tra máy
• Chụp lại tin nhắn, số gửi, link và số tài khoản nhận tiền để làm bằng chứng

Nếu đã lộ tiền hay OTP, ưu tiên gọi ngân hàng và báo công an trước, các việc còn lại làm sau.

Còn khi nghi ngờ tin nhắn là lừa đảo mà chưa phản hồi, FTC khuyên báo cáo rồi xoá tin đi. Đừng bấm vào link, kể cả để "huỷ đăng ký".

Thoả thuận gia đình: 3 quy tắc để bố mẹ và em nhỏ không bị lừa

Cục Cảnh sát hình sự khuyên mọi người hướng dẫn người lớn tuổi nhận biết và từ chối cuộc gọi lừa đảo. Cách dễ nhất là cả nhà thống nhất vài quy tắc, dán ở chỗ dễ thấy.

• Tin hay cuộc gọi nào nhắc tới tiền, tài khoản, công an, tiền phạt thì dừng lại và hỏi người nhà trước khi làm gì
• Không đọc OTP, mật khẩu cho bất kỳ ai, kể cả người xưng là ngân hàng hay công an
• Không bấm link trong tin nhắn từ số lạ; người quen nhắn mượn tiền thì gọi điện xác nhận

Một buổi cuối tuần, cả nhà ngồi cùng làm ba việc: đổi mật khẩu email, bật xác thực 2 lớp, rà quyền ứng dụng. Mỗi vài tháng rà lại một lần là đủ.

Với em nhỏ, đừng chỉ cấm. Hãy ngồi cạnh khi các em tạo tài khoản mới, cùng đặt mật khẩu dài và nói rõ một điều: gặp tin nhắn lạ hay lời mời kết bạn lạ thì báo ngay cho bố mẹ, sẽ không bị mắng.

Với bố mẹ, cách hiệu quả là tập tình huống thật. Bạn thử gửi một tin nhắn giả "ngân hàng khoá tài khoản" rồi hỏi bố mẹ sẽ làm gì, sau đó cùng nhau đối chiếu với bốn câu hỏi ở mục chống lừa đảo phía trên.

Người trong nhà nào cũng nên có sẵn số tổng đài chính thức của ngân hàng, lưu trong danh bạ điện thoại hoặc viết ra giấy dán gần chỗ ngồi. Khi hoảng, cả nhà chỉ cần gọi đúng số đó thay vì tìm trên mạng.

Phần mềm cũng nên để tự cập nhật, vì bản mới thường vá các lỗi bảo mật đã biết. Cách bật nằm ở bài này:

Câu hỏi thường gặp về an toàn trên mạng

Nên làm gì trước nếu chỉ có 15 phút?

Đổi mật khẩu email chính thành cụm từ dài và bật xác thực 2 lớp cho nó. Email là chìa khoá để lấy lại mọi tài khoản khác, nên đây là việc đáng làm đầu tiên.

Ngân hàng hay công an có bao giờ hỏi mã OTP không?

Không. Google cảnh báo không chia sẻ mã xác minh với ai, và Bộ Công an nêu rõ cơ quan Công an không yêu cầu chuyển tiền hay cung cấp thông tin tài khoản qua điện thoại hoặc đường link.

Tin nhắn viết đúng chính tả, nhắc đúng tên ngân hàng thì có phải thật không?

Chưa chắc. CISA cho biết AI giờ viết được tin không lỗi chính tả, nên đừng yên tâm chỉ vì tin trông chỉn chu. Hãy tự mở ứng dụng chính thức để kiểm tra.

Dùng wifi công cộng có cần tránh hoàn toàn không?

Không cần. Lướt web, học bài thì dùng được kèm các thói quen cơ bản; còn ngân hàng và thanh toán thì nên dùng dữ liệu di động.