Bảo mật tài khoản Zalo, email, ngân hàng: 5 bước dễ cho bố mẹ

Điện thoại rung: "Tài khoản của bạn bị khoá, bấm vào đây để xác nhận"

Tin nhắn trông giống hệt tin của ngân hàng về bảo mật tài khoản, có cả đường link và giọng điệu rất gấp. Nhiều người lớn tuổi hoảng lên và bấm ngay vì sợ mất tiền.

Bài này gom lại 5 việc làm một lần, dùng lâu dài. Con cái có thể gửi cho bố mẹ, hoặc ngồi cùng cài đặt trong 15 phút.

Bước 1: Mật khẩu dài và mỗi tài khoản một khác

Theo Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA), nên dùng mật khẩu ít nhất 16 ký tự và mỗi tài khoản một mật khẩu riêng. Nếu dùng chung một mật khẩu, kẻ gian lấy được ở nơi này có thể vào cả email lẫn ngân hàng.

CISA gợi ý một cách dễ nhớ: dùng cụm từ gồm 4 đến 7 từ không liên quan nhau, ghép thành một câu lạ chỉ mình bạn hiểu. Tiêu chuẩn NIST SP 800-63B cũng ưu tiên độ dài, không bắt buộc phải có chữ hoa, số, ký tự đặc biệt, và không cần đổi mật khẩu định kỳ nếu chưa có dấu hiệu bị lộ.

• Mật khẩu email và ngân hàng phải khác nhau hoàn toàn
• Đừng dùng ngày sinh, số điện thoại, tên người thân
• Muốn nhiều tài khoản mà không phải nhớ hết, dùng trình quản lý mật khẩu: nó tạo, lưu và tự điền giúp, bạn chỉ nhớ một mật khẩu chính (CISA gợi ý dùng cụm từ cho mật khẩu này)

Bước 2: Bật xác thực 2 lớp để lộ mật khẩu cũng chưa mất tài khoản

Xác thực 2 lớp nghĩa là ngoài mật khẩu, bạn phải qua thêm một bước nữa mới đăng nhập được. Theo Google, bước này bảo vệ tài khoản ngay cả khi mật khẩu bị đánh cắp.

CISA xếp khoá bảo mật vật lý và ứng dụng xác thực mạnh hơn mã gửi qua tin nhắn hay email. Mã tin nhắn là cách yếu nhất, nên chỉ dùng khi tài khoản đó không có lựa chọn tốt hơn. Dù vậy, có vẫn hơn không.

• Bật trước cho email chính (Gmail), vì đây là chìa khoá để lấy lại mọi tài khoản khác
• Bật tiếp cho Zalo, Facebook và ứng dụng ngân hàng
• Nếu thiết bị hỗ trợ, dùng passkey: đăng nhập bằng vân tay, khuôn mặt hoặc khoá màn hình, không phải gõ hay đọc mã cho ai

Bước 3: Không đọc mã OTP cho bất kỳ ai, kể cả người xưng là ngân hàng

Google cảnh báo rõ: đừng chia sẻ mã xác minh với bất kỳ ai, vì kẻ lừa đảo có thể dùng nó để chiếm tài khoản của bạn. Google cũng không gọi điện để hỏi mã.

Tại Việt Nam, bài của Bảo hiểm tiền gửi Việt Nam (DIV) dẫn lời các ngân hàng: không bao giờ yêu cầu khách cung cấp thông tin đăng nhập, mật khẩu hay OTP qua đường link trong tin nhắn. Ai hỏi mã OTP, dù xưng là nhân viên ngân hàng, công an hay người quen nhắn Zalo mượn tiền, đều đáng ngờ.

• Mã OTP chỉ dành cho một mình bạn nhập vào ứng dụng thật
• Người quen nhờ chuyển tiền qua tin nhắn: gọi điện trực tiếp để xác nhận trước

Bước 4: 4 dấu hiệu của tin nhắn hoặc cuộc gọi lừa đảo

Theo CISA, tin lừa đảo thường có chung vài dấu hiệu, và DIV bổ sung thêm cách nhận biết link giả. Chỉ cần thấy một dấu hiệu là dừng lại, đừng bấm.

• Thúc giục, doạ hậu quả: tài khoản bị khoá, bị đăng ký dịch vụ có phí, có thiết bị lạ đăng nhập
• Đòi thông tin cá nhân, thẻ hoặc OTP
• Đường link rút gọn hoặc tên miền na ná tên ngân hàng; DIV lưu ý ngân hàng Việt Nam dùng tên miền đuôi .vn, còn link giả có thể kết thúc bằng đuôi lạ như .top
• Văn phong chỉn chu không có nghĩa là an toàn, vì CISA cho biết AI giờ tạo tin nhắn không lỗi chính tả rất dễ

Cách kiểm tra an toàn nhất: không bấm link, không gọi số trong tin nhắn. Tự mở ứng dụng ngân hàng, hoặc tự gõ địa chỉ website, hoặc gọi tổng đài in trên mặt thẻ để hỏi.

Bước 5: Lỡ bấm link rồi thì làm gì ngay

Bình tĩnh trước, rồi dừng lại ngay. Đừng nhập thêm bất cứ thứ gì vào trang đó, và đừng đăng nhập tài khoản ngân hàng qua link đó.

• Đóng trang, xoá tin nhắn, không trả lời
• Nếu đã nhập mật khẩu hoặc OTP: gọi ngay tổng đài ngân hàng để khoá thẻ, tài khoản, rồi đổi mật khẩu từ ứng dụng chính thức
• Nếu mật khẩu đó dùng ở chỗ khác, đổi luôn ở những chỗ đó
• Nếu lỡ tải file hay cài ứng dụng lạ, gỡ ra và quét máy bằng phần mềm diệt virus
• Báo tin nhắn lừa đảo bằng nút báo cáo spam của ứng dụng để giúp người khác

Câu hỏi thường gặp về bảo mật tài khoản

Mật khẩu thế nào là đủ mạnh?

CISA khuyên dùng mật khẩu ít nhất 16 ký tự, mỗi tài khoản một mật khẩu riêng. Một cụm 4 đến 7 từ không liên quan nhau vừa dài vừa dễ nhớ.

Xác thực 2 lớp nên bật cho tài khoản nào trước?

Bật trước cho email chính, vì đây là chìa khoá để lấy lại mọi tài khoản khác, rồi tới Zalo, Facebook và ứng dụng ngân hàng.

Ngân hàng có bao giờ hỏi mã OTP không?

Không. Các ngân hàng không bao giờ yêu cầu khách cung cấp mật khẩu hay OTP qua đường link trong tin nhắn, nên ai hỏi mã OTP đều đáng ngờ.

Lỡ nhập OTP vào trang lạ thì làm gì?

Gọi ngay tổng đài ngân hàng để khoá thẻ, tài khoản, rồi đổi mật khẩu từ ứng dụng chính thức. Nếu mật khẩu đó dùng ở chỗ khác, đổi luôn ở những chỗ đó.

Mẹo nhỏ để cả nhà cùng bảo mật tài khoản

Con cái nên ngồi cùng bố mẹ cài một lần: đổi mật khẩu email, bật xác thực 2 lớp, rồi cùng xem thử một tin nhắn giả để bố mẹ nhận ra dấu hiệu.

Thống nhất một quy tắc đơn giản trong nhà: có ai nhắn hay gọi nói về tiền hoặc tài khoản thì dừng lại, hỏi con trước khi làm gì.