Mẫn Nhi✔
Admin xinh gái
Kẻ gian có thể chuyển tiếp OTP theo thời gian thực từ trang giả mạo hoặc chiếm đoạt SIM, khiến Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) xếp OTP qua SMS vào nhóm dễ bị tấn công.
Đáng chú ý, nếu trang giả mạo chuyển tiếp dữ liệu đến dịch vụ thật theo thời gian thực, kẻ gian vẫn có thể dùng mã để chiếm tài khoản ngay cả khi OTP chưa hết hạn. Vì vậy, CISA nhận định hình thức này dễ bị tấn công bởi lừa đảo trực tuyến (phishing), chiếm đoạt SIM và lỗ hổng mạng di động.
Để khắc phục, passkeys thay thế hoàn toàn mật khẩu và OTP bằng cặp khóa mật mã, xác thực qua vân tay, khuôn mặt hoặc mã PIN. Do khóa gắn liền với tên miền dịch vụ đã đăng ký, thông tin đăng nhập không thể sử dụng trên website giả mạo.
Theo báo cáo Passkey Index 2026 của FIDO Alliance, passkeys đạt tỷ lệ đăng nhập thành công 93% trong phạm vi nghiên cứu (so với 78% của các biện pháp đa yếu tố truyền thống) và ghi nhận giảm số vụ tấn công thành công ở các đơn vị đo lường.
Chuyên gia khuyến nghị người dùng ưu tiên passkeys hoặc khóa bảo mật phần cứng FIDO2/WebAuthn cho email chính, ngân hàng và tài khoản quản trị. Người dùng không nhất thiết phải bỏ hoàn toàn OTP qua SMS, nhưng cần cảnh giác khi điện thoại đột ngột mất sóng, không chia sẻ mã cho bất kỳ ai và dùng ứng dụng xác thực khi chưa thể kích hoạt passkeys.
Rủi ro bị "chặn đầu" ngay khi mã còn hiệu lực
Dù tiện lợi và không cần cài thêm ứng dụng, OTP qua SMS tồn tại nhiều điểm yếu về bảo mật. Kẻ tấn công có thể lừa đảo chiếm đoạt SIM để nhận tin nhắn thay nạn nhân, khai thác lỗ hổng mạng viễn thông, hoặc dụ người dùng nhập mã vào website giả mạo.Đáng chú ý, nếu trang giả mạo chuyển tiếp dữ liệu đến dịch vụ thật theo thời gian thực, kẻ gian vẫn có thể dùng mã để chiếm tài khoản ngay cả khi OTP chưa hết hạn. Vì vậy, CISA nhận định hình thức này dễ bị tấn công bởi lừa đảo trực tuyến (phishing), chiếm đoạt SIM và lỗ hổng mạng di động.
Ứng dụng xác thực và cơ chế chống phishing của passkeys
Các ứng dụng như Google Authenticator hay Microsoft Authenticator tạo mã trực tiếp trên thiết bị (đổi sau 30 giây), giúp loại bỏ rủi ro trên mạng viễn thông. Dù vậy, người dùng vẫn có nguy cơ mất mã nếu bị lừa nhập vào trang giả mạo.Để khắc phục, passkeys thay thế hoàn toàn mật khẩu và OTP bằng cặp khóa mật mã, xác thực qua vân tay, khuôn mặt hoặc mã PIN. Do khóa gắn liền với tên miền dịch vụ đã đăng ký, thông tin đăng nhập không thể sử dụng trên website giả mạo.
Theo báo cáo Passkey Index 2026 của FIDO Alliance, passkeys đạt tỷ lệ đăng nhập thành công 93% trong phạm vi nghiên cứu (so với 78% của các biện pháp đa yếu tố truyền thống) và ghi nhận giảm số vụ tấn công thành công ở các đơn vị đo lường.
Giới hạn bảo vệ của passkeys
Tuy chống lừa đảo trực tuyến tốt, passkeys không loại bỏ mọi nguy cơ mà vẫn phụ thuộc vào độ an toàn của thiết bị, tài khoản đồng bộ và quy trình khôi phục.Chuyên gia khuyến nghị người dùng ưu tiên passkeys hoặc khóa bảo mật phần cứng FIDO2/WebAuthn cho email chính, ngân hàng và tài khoản quản trị. Người dùng không nhất thiết phải bỏ hoàn toàn OTP qua SMS, nhưng cần cảnh giác khi điện thoại đột ngột mất sóng, không chia sẻ mã cho bất kỳ ai và dùng ứng dụng xác thực khi chưa thể kích hoạt passkeys.
