Ứng dụng xác thực hay mã SMS: cách nào an toàn hơn?

Trả lời ngắn: mã từ ứng dụng xác thực an toàn hơn mã gửi qua tin nhắn SMS. Không có gì được gửi qua mạng điện thoại, nên người chiếm được số điện thoại của bạn cũng không lấy được mã. Tuy vậy, cả hai đều là mã dùng một lần do bạn tự nhập, và một trang đăng nhập giả đủ thuyết phục có thể đánh cắp cả hai loại. Nếu trang web có hỗ trợ mã khóa hoặc khóa bảo mật, đó là cách mạnh hơn cả hai.

Vì sao mã SMS là lựa chọn yếu hơn

Tin nhắn được gửi tới số điện thoại của bạn, không phải tới chiếc điện thoại. Ai kiểm soát số đó sẽ nhận được mã.

• Chiếm đoạt SIM (SIM swap) và gian lận chuyển mạng. Kẻ lừa đảo thuyết phục nhà mạng chuyển số của bạn sang SIM của chúng, hoặc sang một nhà mạng khác. FCC giải thích rằng khi đó kẻ lừa đảo sẽ kiểm soát "the victim's private texts and calls" (tin nhắn và cuộc gọi riêng của nạn nhân) (FCC). FBI cảnh báo rằng sau khi SIM bị chiếm đoạt, "calls, texts, and other data are diverted to the criminal's device" (cuộc gọi, tin nhắn và dữ liệu khác bị chuyển sang thiết bị của kẻ gian) (FBI IC3).
• Hướng dẫn của chính phủ Mỹ hạn chế cách này. Hướng dẫn về danh tính số của NIST (SP 800-63B-4, tháng 7 năm 2025) xếp mã dùng một lần gửi qua mạng điện thoại vào nhóm phương thức xác thực bị hạn chế. Các dịch vụ dùng chúng cần theo dõi việc thay SIM và chuyển mạng giữ số, và phải cung cấp cho mọi người dùng một lựa chọn khác (NIST).
• Các nhà cung cấp lớn đang rời bỏ SMS. Microsoft cho biết họ sẽ "start phasing out SMS" (bắt đầu loại bỏ dần SMS) cho việc đăng nhập và khôi phục tài khoản Microsoft cá nhân (Microsoft).

Vì sao mã từ ứng dụng xác thực tốt hơn

Ứng dụng xác thực tạo từng mã ngay trên điện thoại của bạn từ hai thứ: một khóa cài đặt bạn đã quét một lần, và thời gian hiện tại. Mã không bao giờ được gửi tới bạn, nên:

• chiếm được số điện thoại của bạn cũng chẳng giúp được kẻ tấn công,
• không có tin nhắn nào để chặn bắt hay để đọc trên màn hình khóa, và
• mã vẫn hoạt động khi hoàn toàn không có sóng. Như Google nói, "you can still generate codes without an internet connection or mobile service" (bạn vẫn tạo được mã khi không có kết nối internet hay dịch vụ di động) (Google).

FBI khuyến nghị "strong multi-factor authentication methods" (các phương thức xác thực đa yếu tố mạnh), trong đó có "standalone authentication applications" (các ứng dụng xác thực độc lập) (FBI IC3).

Điều mà cả hai đều không chống được: lừa đảo giả mạo (phishing)

Cả hai loại mã đều do bạn tự nhập, và đó là điểm yếu. Một trang đăng nhập giả có thể hỏi mật khẩu và mã hiện tại của bạn, rồi chuyển cả hai sang trang web thật chỉ trong vài giây. NIST nói thẳng: "OTP authentication is not phishing-resistant" (xác thực bằng OTP không chống được lừa đảo giả mạo) (NIST, mục 3.1.4).

Những điều có ích:

• Luôn kiểm tra thanh địa chỉ trước khi nhập mã.
• Đừng bao giờ đọc mã cho bất kỳ ai gọi điện, nhắn tin hay gửi email cho bạn, dù họ nghe có vẻ chính thức đến đâu.
• Ở nơi có hỗ trợ, hãy dùng mã khóa hoặc khóa bảo mật phần cứng. Chúng gắn với địa chỉ của trang web thật, nên không hoạt động trên trang giả. NIST xếp kiểu đăng nhập bằng mật mã học này vào loại chống được lừa đảo giả mạo.

So sánh song song

Tắt phương án SMS dự phòng nếu có thể

Một số trang web vẫn giữ SMS làm phương án dự phòng ngay cả khi bạn đã thiết lập ứng dụng xác thực. Nếu con đường SMS vẫn mở, người chiếm được số của bạn có thể dùng nó thay thế. Sau khi đã thiết lập ứng dụng và mã dự phòng, hãy gỡ số điện thoại khỏi các tùy chọn 2FA nếu trang web cho phép.

Trong Authenticator App - Novaz

Novaz tạo mã theo thời gian tiêu chuẩn ngay trên iPhone của bạn. Các khóa cài đặt nằm trong Chuỗi khóa của iPhone trên chính thiết bị đó, và không bao giờ được gửi tới Novaz. Một bản sao chỉ lên iCloud nếu bạn bật Sao lưu iCloud (PRO), và khi đó nó được Apple mã hóa đầu cuối trong Chuỗi khóa iCloud. Bạn cũng có thể lưu một tệp sao lưu được mã hóa (miễn phí). Bạn có thể khóa ứng dụng bằng Face ID hoặc mật mã. Giống mọi ứng dụng xác thực khác, mã của Novaz không chống được lừa đảo giả mạo. Nếu bạn mất điện thoại và không có bản sao lưu Novaz, chính các mã dự phòng mà mỗi trang web cung cấp sẽ giúp bạn vào lại tài khoản, nên dù thế nào cũng hãy giữ chúng. Chi tiết hơn có trong Novaz Authenticator có an toàn không?