Xác thực hai yếu tố (2FA) từ lâu được xem là lớp phòng thủ quan trọng bên cạnh mật khẩu. Tuy nhiên, phương thức phổ biến nhất là nhận mã OTP qua tin nhắn SMS đang bộc lộ nhiều điểm yếu. Vấn đề không chỉ nằm ở chiếc điện thoại của người dùng mà còn xuất hiện trong cả chuỗi trung gian vận chuyển tin nhắn, nơi mã xác thực có thể đi qua nhiều hệ thống trước khi đến tay chủ tài khoản. Điều này khiến người dùng gần như không thể biết mã đăng nhập của mình đang được xử lý ở đâu và ai có khả năng tiếp cận nó.

Xác thực bằng mã OTP qua SMS vẫn được sử dụng rộng rãi nhưng ngày càng bộc lộ nhiều rủi ro bảo mật.

Một cuộc điều tra được Bloomberg dẫn lại từng cho thấy quy mô đáng lo ngại của vấn đề. Khoảng 1 triệu tin nhắn chứa mã xác thực hai yếu tố được gửi trong một tháng vào năm 2023 đã bị lộ thông qua một hệ thống trung gian viễn thông tại Thụy Sĩ. Dữ liệu bị rò rỉ không chỉ bao gồm mã đăng nhập mà còn có thông tin liên quan đến quá trình chuyển tiếp tin nhắn từ máy chủ đến thiết bị nhận. Đáng chú ý, danh sách các dịch vụ liên quan có nhiều tên tuổi lớn như Google, Amazon, Meta, Snapchat hay Tinder. Vụ việc cho thấy ngay cả khi người dùng không mắc sai lầm, thông tin xác thực vẫn có thể gặp rủi ro ở những mắt xích nằm ngoài khả năng kiểm soát.

Điểm yếu của xác thực SMS nằm ở chính cách thức hoạt động của nó. Sau khi nhập mật khẩu, người dùng phải chờ hệ thống gửi mã OTP qua mạng di động. Tin nhắn này có thể phải đi qua nhà mạng hoặc các nhà cung cấp dịch vụ trung gian trước khi đến điện thoại. Nếu một mắt xích trong chuỗi bị xâm nhập, quản lý lỏng lẻo hoặc để lộ dữ liệu, mã xác thực có nguy cơ bị đánh cắp. Ngoài ra, SMS còn phải đối mặt với những hình thức tấn công khác như chiếm đoạt SIM, chuyển hướng số điện thoại hoặc giả mạo nhà mạng. Khi đó, kẻ xấu có thể nhận được mã OTP mà không cần trực tiếp kiểm soát chiếc điện thoại của nạn nhân.

Đó là lý do các chuyên gia an ninh mạng ngày càng khuyến nghị người dùng chuyển sang những phương thức xác thực tài khoản an toàn hơn. Một lựa chọn tương đối dễ sử dụng là ứng dụng tạo mã xác thực như Google Authenticator hoặc Microsoft Authenticator. Thay vì gửi mã qua mạng di động, các ứng dụng này tạo mã ngay trên thiết bị dựa trên cơ chế mật mã đã được thiết lập trước. Kẻ tấn công vì thế khó có thể đánh cắp mã chỉ bằng cách can thiệp vào hệ thống chuyển tiếp SMS.

Tuy nhiên, người dùng không nên hiểu rằng mọi phương thức 2FA đều có mức bảo vệ giống nhau. Nếu dịch vụ hỗ trợ passkey, khóa bảo mật vật lý hoặc xác thực sinh trắc học, đây thường là những lựa chọn đáng cân nhắc hơn SMS. Passkey đặc biệt hữu ích vì người dùng không cần ghi nhớ mật khẩu hay nhập mã OTP, trong khi quá trình xác thực được thiết kế để chống nhiều hình thức lừa đảo giả mạo trang đăng nhập. Với những tài khoản quan trọng như email chính, ngân hàng, mạng xã hội hay tài khoản lưu trữ dữ liệu, việc bật thêm một lớp bảo vệ mạnh là điều rất đáng làm.

SMS vì thế chưa biến mất ngay lập tức và vẫn tốt hơn nhiều so với việc chỉ sử dụng mật khẩu. Nhưng trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi, việc coi OTP SMS là lớp bảo mật cuối cùng không còn phù hợp. Nếu một dịch vụ cung cấp tùy chọn xác thực bằng ứng dụng, passkey hoặc khóa bảo mật, người dùng nên ưu tiên các phương án này thay vì tiếp tục phụ thuộc hoàn toàn vào một tin nhắn có thể phải đi qua nhiều hệ thống trung gian trước khi đến chiếc điện thoại của mìn