Ảnh minh họa
Mã OTP gửi qua tin nhắn SMS từng là lớp bảo vệ phổ biến cho tài khoản ngân hàng, mạng xã hội và các dịch vụ trực tuyến. Tuy nhiên, trước những thủ đoạn đánh cắp SIM, giả mạo trang đăng nhập và chiếm đoạt thông tin xác thực ngày càng tinh vi, các chuyên gia an ninh mạng khuyến nghị người dùng chuyển dần sang những phương thức bảo mật mạnh hơn, đặc biệt là passkeys.
Theo báo cáo Passkey Index 2026 công bố ngày 15/10/2026 của Liên minh FIDO (FIDO Alliance), passkeys chiếm 36% lượt đăng nhập thành công trong phạm vi nghiên cứu, tăng từ khoảng 26% năm 2025. Tỷ lệ đăng nhập thành công bằng phương thức này đạt 93%, so với 78% ở các phương thức xác thực đa yếu tố truyền thống. Các đơn vị tham gia nghiên cứu có đo lường tình trạng lừa đảo cũng ghi nhận số vụ tấn công thành công giảm sau khi triển khai passkeys.
Những số liệu này cho thấy xu hướng bảo mật đang chuyển từ việc bổ sung mã xác nhận sang các công nghệ có khả năng chống lừa đảo ngay từ khâu đăng nhập.
OTP (One-Time Password) là mật khẩu dùng một lần, thường được sử dụng để xác minh danh tính khi đăng nhập hoặc xác nhận giao dịch. OTP qua SMS được ưa chuộng vì dễ sử dụng, không cần cài thêm ứng dụng và tương thích với nhiều loại điện thoại.
Tuy nhiên, phương thức này tồn tại nhiều lỗ hổng. Kẻ gian có thể chiếm đoạt SIM bằng cách đánh cắp thông tin cá nhân, giả mạo giấy tờ hoặc lừa nhà mạng chuyển số điện thoại của nạn nhân sang SIM do chúng kiểm soát. Khi đó, tin nhắn chứa mã xác thực có thể rơi vào tay kẻ tấn công.
Ngoài ra, các lỗ hổng trong hệ thống viễn thông có thể bị khai thác để theo dõi hoặc chuyển hướng liên lạc trong những điều kiện nhất định. Người dùng cũng có thể vô tình tiết lộ OTP khi nhập mã vào website giả mạo ngân hàng hoặc làm theo hướng dẫn của kẻ gian qua điện thoại.
Đáng lo ngại, OTP vẫn có thể bị đánh cắp ngay cả khi mã chưa hết hạn. Nếu người dùng nhập mã vào trang web giả mạo đang chuyển tiếp thông tin đến dịch vụ thật theo thời gian thực, kẻ tấn công có thể sử dụng mã để chiếm quyền đăng nhập.
Theo Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA), OTP qua SMS dễ bị tấn công bằng lừa đảo trực tuyến, chiếm đoạt SIM và khai thác lỗ hổng mạng viễn thông.
Passkeys và ứng dụng xác thực: Đâu là lựa chọn tốt hơn?
Một phương án thay thế phổ biến là sử dụng ứng dụng xác thực như Google Authenticator hoặc Microsoft Authenticator. Các ứng dụng này tạo mã OTP trực tiếp trên thiết bị, thường thay đổi sau 30 giây, thay vì gửi mã qua mạng di động.
Nhờ đó, người dùng giảm được rủi ro bị chiếm đoạt SIM hoặc chặn tin nhắn. Tuy nhiên, mã xác thực vẫn có thể bị đánh cắp nếu người dùng nhập vào website giả mạo. Vì vậy, ứng dụng xác thực an toàn hơn SMS trong nhiều trường hợp nhưng chưa thể ngăn chặn hoàn toàn các cuộc tấn công phishing.
Trong khi đó, passkeys được đánh giá cao nhờ khả năng chống lừa đảo trực tuyến Công nghệ này sử dụng cặp khóa mật mã gồm khóa công khai và khóa riêng, thay vì yêu cầu người dùng nhập mật khẩu hoặc mã OTP. Khóa riêng được bảo vệ trên thiết bị hoặc trong môi trường lưu trữ an toàn; người dùng thường xác nhận đăng nhập bằng vân tay, nhận diện khuôn mặt hoặc mã PIN.
Do passkeys gắn với website hoặc dịch vụ đã đăng ký, thông tin xác thực không thể được sử dụng đơn giản trên một trang giả mạo có tên miền khác. Đây là khác biệt quan trọng so với mật khẩu và OTP, vốn có thể bị người dùng cung cấp cho kẻ gian.
Theo FIDO Alliance, báo cáo Passkey Index 2026 cho thấy tỷ lệ đăng nhập thành công bằng passkeys đạt 93% trong phạm vi nghiên cứu. Công nghệ này đang được nhiều nền tảng và doanh nghiệp triển khai nhằm giảm sự phụ thuộc vào mật khẩu truyền thống.
Dù vậy, passkeys không loại bỏ mọi nguy cơ. Người dùng vẫn cần bảo vệ thiết bị, tài khoản đồng bộ và quy trình khôi phục tài khoản. Khóa bảo mật phần cứng theo tiêu chuẩn FIDO2/WebAuthn cũng là lựa chọn đáng cân nhắc đối với những tài khoản quan trọng.
Người dùng cần làm gì để bảo vệ tài khoản?
Người dùng không nhất thiết phải ngừng sử dụng OTP qua SMS, nhưng nên ưu tiên phương thức mạnh hơn nếu dịch vụ hỗ trợ. Với tài khoản email chính, ngân hàng và tài khoản quản trị, passkeys hoặc khóa bảo mật phần cứng là những lựa chọn đáng cân nhắc. Nếu chưa thể sử dụng, ứng dụng xác thực thường là phương án tốt.
Bên cạnh đó, cần đặt mã khóa mạnh cho điện thoại, cập nhật hệ điều hành, bật cảnh báo đăng nhập bất thường và thường xuyên kiểm tra các thiết bị đang truy cập tài khoản. Tuyệt đối không cung cấp OTP cho người gọi tự xưng là nhân viên ngân hàng, nhà mạng hoặc bộ phận hỗ trợ.
Nếu điện thoại đột ngột mất sóng không rõ nguyên nhân, người dùng nên liên hệ nhà mạng để kiểm tra nguy cơ bị chiếm đoạt SIM. Khi phát hiện đăng nhập bất thường, cần sử dụng thiết bị an toàn để đổi thông tin xác thực, đăng xuất các phiên lạ và liên hệ nhà cung cấp dịch vụ hoặc ngân hàng.
OTP qua SMS vẫn có thể hữu ích trong một số trường hợp, nhưng không còn là lựa chọn tối ưu cho mọi tài khoản. Chuyển sang phương thức chống lừa đảo, kết hợp bảo vệ thiết bị và cảnh giác với các yêu cầu đăng nhập bất thường sẽ giúp người dùng giảm đáng kể nguy cơ mất tài khoản.
