Xác thực 2 yếu tố (2FA) là cách đăng nhập yêu cầu 2 loại bằng chứng khác nhau, thường là mật khẩu bạn biết cộng với chiếc điện thoại bạn đang cầm, hoặc khuôn mặt, vân tay của bạn. Đó là câu trả lời ngắn cho câu hỏi xác thực 2 yếu tố là gì. Kẻ gian lấy được mật khẩu vẫn kẹt ở bước thứ hai. Facebook ghi "xác thực 2 yếu tố", Gmail ghi "Xác minh 2 bước", app ngân hàng ghi OTP, Smart OTP hay xác thực khuôn mặt, nhiều người gọi chung là bảo mật 2 lớp. Tên gọi không quan trọng bằng việc bước thứ hai dùng cái gì.
3 nhóm yếu tố xác thực, kèm ví dụ quen thuộc
Yếu tố xác thực là loại bằng chứng bạn đưa ra khi đăng nhập, gồm 3 nhóm: thứ bạn biết, thứ bạn có và thứ bạn là. Cơ quan an ninh mạng Mỹ CISA chia đúng 3 nhóm này. Hai bằng chứng phải thuộc 2 nhóm khác nhau, hai mật khẩu vẫn chỉ là 1 nhóm.
| Nhóm | Nghĩa | Ví dụ ở Việt Nam | Điểm yếu |
|---|---|---|---|
| Thứ bạn biết | Bí mật nằm trong đầu bạn | Mật khẩu Facebook, mã PIN đăng nhập app ngân hàng, câu hỏi bí mật | Bị lừa gõ vào trang giả, dùng lại ở nhiều nơi |
| Thứ bạn có | Thiết bị bạn đang giữ | Điện thoại nhận OTP SMS, app Smart OTP, khóa bảo mật cắm USB hoặc chạm NFC | Mất máy, bị chiếm số điện thoại |
| Thứ bạn là | Đặc điểm cơ thể | Khuôn mặt đối chiếu với CCCD gắn chip khi chuyển khoản lớn, vân tay mở app | Không đổi được nếu bị sao chép, phải đi kèm thiết bị |
Xác thực sinh trắc học có một điểm hay bị hiểu sai. Tài liệu NIST SP 800-63B-4 của Viện Tiêu chuẩn và Công nghệ Mỹ ghi rõ đặc điểm sinh trắc học không được công nhận là một yếu tố xác thực khi đứng một mình. Khi bạn chạm vân tay để mở app, vân tay chỉ mở khóa chiếc điện thoại. Sau đó điện thoại mới chứng minh "thứ bạn có" với máy chủ.
Xác thực 2 yếu tố và xác minh 2 bước khác nhau thế nào?
Xác minh 2 bước chỉ cần 2 bước, và 2 bước đó có thể cùng một loại, ví dụ mật khẩu rồi câu hỏi bí mật. Xác thực 2 yếu tố bắt buộc 2 bước thuộc 2 nhóm khác nhau. Mọi lần đăng nhập 2 yếu tố đều là 2 bước. Chiều ngược lại thì chưa chắc.
| Tình huống | 2 bước hay 2 yếu tố? | Vì sao |
|---|---|---|
| Mật khẩu + câu hỏi bí mật ("Tên trường cấp 1 của bạn?") | 2 bước, 1 yếu tố | Cả hai đều là thứ bạn biết, câu trả lời thường lộ trên mạng xã hội |
| Mật khẩu + mã gửi về email | 2 bước, yếu tố thứ hai yếu | Mã chứng minh bạn mở được hộp thư, mà hộp thư lại chỉ được giữ bằng một mật khẩu khác |
| Mật khẩu + mã 6 số trong app xác thực | 2 yếu tố | Mã sinh ra trên chiếc điện thoại bạn đang giữ |
| Mã PIN mở app ngân hàng + quét khuôn mặt khi chuyển trên 10 triệu đồng | Nhiều yếu tố | Mã PIN là thứ bạn biết, điện thoại đã đăng ký là thứ bạn có, khuôn mặt là thứ bạn là |
Gmail là ví dụ dễ gây nhầm nhất. Trang trợ giúp của Google viết "Xác minh 2 bước (còn gọi là xác thực hai yếu tố)", tức Google dùng 2 tên cho cùng một tính năng. Khi bước thứ hai là lời nhắc trên điện thoại hay khóa bảo mật, Xác minh 2 bước của Google đúng là xác thực 2 yếu tố theo định nghĩa.
OTP SMS có an toàn không? Vì sao nên chuyển sang Smart OTP hoặc app
OTP SMS vẫn tính là yếu tố "thứ bạn có" vì nó chứng minh bạn giữ số điện thoại, nhưng đây là loại yếu nhất. NIST SP 800-63B-4 xếp việc gửi mã qua mạng điện thoại vào diện bị hạn chế ("restricted"). Google cũng ghi mã gửi qua tin nhắn hoặc cuộc gọi "có thể dễ bị tấn công qua số điện thoại".
Điểm yếu nằm ở số điện thoại, không nằm ở chiếc máy. Người dùng ở Việt Nam hay gặp các rủi ro sau:
- Bị gọi điện lừa đọc mã OTP. Kẻ gian xưng là nhân viên ngân hàng, công an hoặc nhà mạng rồi xin mã "để xác minh".
- Tin nhắn giả lọt vào cùng luồng với tin nhắn mang tên ngân hàng (SMS brandname), trông như ngân hàng thật gửi.
- Kẻ gian tìm cách chiếm số điện thoại của bạn. Khi đó mã OTP đi theo số về SIM của họ.
Smart OTP là mã sinh ngay trong app ngân hàng trên chiếc điện thoại bạn đã đăng ký, thường phải nhập mã PIN riêng để lấy mã. Mã không đi qua mạng SMS nên không bị ảnh hưởng khi ai đó chiếm số điện thoại. App xác thực như Google Authenticator dùng cùng nguyên lý cho email và mạng xã hội. Dù vậy, có OTP SMS vẫn hơn chỉ có mật khẩu: CISA viết "any MFA is better than no MFA".
Ngân hàng ở Việt Nam đang xác thực giao dịch như thế nào?
Từ 01/7/2024, ngân hàng và trung gian thanh toán phải xác thực sinh trắc học khách hàng cá nhân, đối chiếu với dữ liệu căn cước công dân gắn chip hoặc tài khoản VNeID. Quy định này nằm trong Quyết định 2345/QĐ-NHNN ngày 18/12/2023 của Ngân hàng Nhà nước và áp dụng cho 3 trường hợp:
- Giao dịch trên 10 triệu đồng một lần.
- Tổng giá trị giao dịch trong ngày trên 20 triệu đồng.
- Đổi thiết bị dùng Mobile Banking.
Ghép lại, một lần chuyển khoản lớn cần mã PIN hoặc mật khẩu app (thứ bạn biết), điện thoại đã đăng ký (thứ bạn có) và khuôn mặt (thứ bạn là). Đó là xác thực nhiều yếu tố, mạnh hơn hẳn OTP SMS.
Thông tư 50/2024/TT-NHNN ngày 31/10/2024, có hiệu lực từ 01/01/2025, thêm hai điểm người dùng nên nhớ. Ngân hàng không gửi tin nhắn SMS hay email có đường link cho khách, trừ khi khách yêu cầu. Tin nhắn "ngân hàng" kèm đường link mà bạn không hề yêu cầu nên coi là lừa đảo. Thông tư cũng yêu cầu bước đối khớp sinh trắc học phải phát hiện được hàng giả như ảnh tĩnh, video, mặt nạ 3D và deepfake.
Thông tư 77/2025/TT-NHNN sửa đổi Thông tư 50, được NHNN công bố ngày 31/12/2025 và có hiệu lực từ 01/03/2026. Theo thông cáo báo chí của NHNN, khách hàng tổ chức giao dịch trên 50 triệu đồng một lần, hoặc tổng trong ngày vượt 100 triệu đồng, phải đối khớp sinh trắc học hoặc dùng chữ ký điện tử an toàn. Quy định có thể còn thay đổi. Hãy đọc thông báo trong app ngân hàng bạn đang dùng.
Các cách xác thực 2 yếu tố phổ biến, từ yếu đến mạnh
Năm cách phổ biến, xếp từ yếu đến mạnh, là OTP qua SMS hoặc cuộc gọi, mã gửi qua email, app xác thực, thông báo đẩy hoặc Smart OTP, rồi khóa bảo mật hoặc passkey (khóa truy cập). Thước đo quan trọng nhất là cách đó có chống được trang đăng nhập giả hay không.
| Cách | Ví dụ | Chống được trang giả? | Máy nhận mã cần sóng hoặc mạng? |
|---|---|---|---|
| OTP qua SMS, cuộc gọi | Mã ngắn, thường 6 số, gửi về số điện thoại | Không | Cần sóng di động |
| Mã qua email | Mã hoặc đường link gửi vào hộp thư | Không | Cần vào được hộp thư |
| App xác thực | App tạo mã mới mỗi 30 giây theo chuẩn TOTP | Không | Không cần |
| Thông báo đẩy, Smart OTP | Bấm xác nhận hoặc lấy mã trong app trên máy đã đăng ký | Không hoàn toàn | Tùy app |
| Khóa bảo mật, passkey | Chạm khóa USB/NFC hoặc mở passkey bằng vân tay, mã PIN của máy | Có | Không cần |
"Chống được trang giả" có định nghĩa rõ trong NIST SP 800-63B-4: phương thức không để bí mật lọt tới kẻ mạo danh trang thật "without relying on the vigilance of the claimant", tức không phụ thuộc người dùng có tỉnh táo hay không. Mã OTP dù đến từ SMS hay app đều không đạt. Bạn gõ mã vào trang giả là kẻ gian dùng được ngay trên trang thật.
Khóa bảo mật và passkey đạt chuẩn này vì chúng kiểm tra tên miền trước khi trả lời. CISA ghi: "The only widely available phishing-resistant authentication is FIDO/WebAuthn authentication". FIDO/WebAuthn là nền tảng của khóa bảo mật và passkey, và là cách chống trang giả duy nhất đang phổ biến.
Cách bật xác thực 2 yếu tố cho Facebook và Gmail
Facebook đặt tính năng này trong Trung tâm tài khoản, còn Gmail đặt trong trang Tài khoản Google, mục Bảo mật và đăng nhập. Với cả hai, nên chọn app xác thực hoặc khóa bảo mật làm cách chính, để SMS làm dự phòng. Ngay khi bật xong, lưu mã dự phòng ra giấy.
Bật xác thực 2 yếu tố Facebook
Tính năng xác thực 2 yếu tố Facebook nằm trong Trung tâm tài khoản, mục Mật khẩu và bảo mật. Các bước:
- Mở Facebook, vào Cài đặt, chọn Trung tâm tài khoản.
- Chọn Mật khẩu và bảo mật, rồi chọn Xác thực 2 yếu tố và tài khoản cần bật.
- Chọn app xác thực hoặc khóa bảo mật. Chỉ chọn tin nhắn SMS khi không dùng được hai cách kia.
- Với app xác thực, quét mã QR Facebook hiện ra rồi nhập mã 6 số đầu tiên để xác nhận.
- Lưu mã khôi phục Facebook đưa ra vào nơi khác ngoài chiếc điện thoại đó.
Bật Xác minh 2 bước cho Gmail
Gmail dùng chung bảo mật với Tài khoản Google, nên bật một lần là áp dụng cho Gmail, YouTube và các dịch vụ Google khác. Các bước:
- Mở myaccount.google.com, chọn mục Bảo mật và đăng nhập.
- Ở phần cách bạn đăng nhập vào Google, chọn Xác minh 2 bước và bật.
- Thêm khóa truy cập hoặc khóa bảo mật vật lý nếu máy hỗ trợ. Google khuyên dùng lời nhắc của Google làm bước thứ hai.
- Nếu muốn dùng mã, cài Google Authenticator hoặc app tạo mã xác minh khác.
- Tạo bộ mã dự phòng 8 chữ số, in hoặc tải xuống rồi cất ở nơi an toàn.
Mất điện thoại, đổi máy hay không nhận được mã thì làm sao?
Mất điện thoại thì đăng nhập bằng mã dự phòng hoặc phương thức thứ hai, rồi gỡ máy cũ khỏi danh sách thiết bị tin cậy. Đổi máy thì chuyển app xác thực sang máy mới trước khi xóa máy cũ. App ngân hàng trên máy mới sẽ yêu cầu xác thực khuôn mặt.
- Mã dự phòng: in ra giấy, cất cùng giấy tờ quan trọng. Không lưu ảnh chụp mã trong chính chiếc điện thoại đó.
- Đăng ký 2 phương thức cho tài khoản quan trọng, ví dụ app xác thực cộng một khóa bảo mật.
- Gọi nhà mạng khóa SIM ngay khi mất máy để OTP SMS không về máy đang nằm trong tay người khác, rồi làm lại SIM tại cửa hàng nhà mạng.
- App ngân hàng trên máy mới: chuẩn bị CCCD gắn chip nếu app yêu cầu quét lại để đối chiếu khuôn mặt.
Không nhận được OTP SMS thì kiểm tra sóng, xem mục tin nhắn rác hoặc tin nhắn bị chặn, rồi khởi động lại máy. Vẫn không có thì gọi ngân hàng hoặc nhà mạng qua số in trên thẻ, trên website hay trong app chính thức. Đừng gọi vào số ghi trong tin nhắn lạ.
Xác thực 2 yếu tố không chặn được những gì?
Xác thực 2 yếu tố chặn được người chỉ có mật khẩu của bạn. Nó không chặn được kẻ gian khiến chính bạn đưa ra bước thứ hai, hoặc kẻ gian nắm được email, số điện thoại dùng để khôi phục tài khoản. Người dùng Việt hay gặp các lỗ hổng sau:
- Trang đăng nhập giả chuyển tiếp mật khẩu và mã OTP sang trang thật ngay lúc bạn gõ. Cách kẻ gian chen vào giữa bạn và trang thật nằm trong bài về tấn công man in the middle.
- Bạn tự đọc mã cho người gọi điện. Không hệ thống nào chặn được bước này thay bạn.
- Kẻ gian chiếm email hoặc số điện thoại khôi phục, đặt lại mật khẩu rồi tắt luôn lớp bảo vệ.
Quy tắc giữ an toàn rất ngắn. Không đọc mã OTP cho bất kỳ ai, kể cả người xưng là nhân viên ngân hàng hay công an. Nhìn kỹ tên miền trên thanh địa chỉ trước khi nhập mã. Email chính và tài khoản có tiền nên dùng khóa truy cập hoặc khóa bảo mật. Khi nhận cảnh báo đăng nhập lạ, hãy tra cứu IP lạ đăng nhập để biết nhà mạng và quốc gia của địa chỉ đó. Kết quả chỉ cho biết khu vực gần đúng, lý do có trong bài IP có lộ vị trí không.
Câu hỏi thường gặp
Xác thực 2 yếu tố Facebook không nhận được mã thì làm sao?
Trên màn hình nhập mã, chọn cách xác thực khác, ví dụ nhập mã khôi phục đã lưu hoặc xác nhận từ một thiết bị đang đăng nhập sẵn Facebook. Không còn cách nào thì làm theo quy trình khôi phục tài khoản chính thức của Facebook. Đừng nhờ các trang hay nhóm nhận "mở khóa Facebook", vì bạn sẽ phải đưa mật khẩu và mã cho người lạ.
Có nên tắt xác thực 2 yếu tố cho đỡ phiền không?
Không nên. Tắt đi thì tài khoản chỉ còn mật khẩu, lộ một lần là mất. Muốn bớt phiền, hãy đánh dấu máy của bạn là thiết bị tin cậy để không phải nhập mã mỗi lần, hoặc chuyển sang passkey: chạm vân tay là đăng nhập xong.
Xác thực 2 yếu tố có bị hack không?
Có thể. Kẻ gian dựng trang giả để lấy mật khẩu và mã OTP rồi dùng ngay, hoặc gọi điện lừa bạn đọc mã. Mã từ app xác thực cũng bị lấy theo cách này. Khóa bảo mật và passkey chống được trang giả vì chỉ trả lời đúng tên miền thật, và chúng không có mã nào để bạn đọc cho người khác.
Xác thực khuôn mặt khi chuyển khoản có phải xác thực 2 yếu tố không?
Riêng khuôn mặt chỉ là một yếu tố, thuộc nhóm "thứ bạn là". Khi chuyển khoản, nó thường đi cùng điện thoại đã đăng ký với ngân hàng (thứ bạn có) và mã PIN hoặc mật khẩu app (thứ bạn biết). Cả lượt chuyển khoản như vậy là xác thực nhiều yếu tố, đủ cả 3 nhóm.
2FA và MFA khác gì?
MFA (xác thực đa yếu tố) là đăng nhập dùng từ 2 yếu tố trở lên, còn 2FA là trường hợp dùng đúng 2 yếu tố. Mọi 2FA đều là MFA. Lượt chuyển khoản lớn trên app ngân hàng, với mã PIN, điện thoại và khuôn mặt, là MFA 3 yếu tố. App và website có thể ghi tên khác nhau cho cùng một kiểu bảo vệ.
Mã OTP là gì?
Mã OTP (one-time password) là mật khẩu dùng một lần, thường gồm 6 chữ số, chỉ có hiệu lực trong thời gian ngắn và hết giá trị sau khi dùng. Mã có thể đến qua SMS, email, hoặc sinh trong app xác thực hay Smart OTP. Hãy giữ mã OTP như giữ mật khẩu: không đọc cho ai qua điện thoại hay tin nhắn.
