Bảo mật email, số điện thoại gắn tài khoản sàn thế nào?

Tài khoản sàn thường có ba cửa: mật khẩu, lớp xác thực hai lớp (2FA) (bằng chứng thứ hai ngoài mật khẩu) và đường đặt lại mật khẩu. Đường thứ ba gần như luôn đi qua email hoặc số điện thoại, nên ai chiếm được hai thứ này có thể vòng qua mật khẩu bạn đặt kỹ đến đâu.

Bảo vệ tài khoản sàn vì thế bắt đầu từ hộp thư và SIM: một email riêng khóa bằng ứng dụng xác thực (ứng dụng sinh mã trên điện thoại) hoặc khóa bảo mật (thiết bị nhỏ cắm hoặc chạm vào máy), một số điện thoại ít lộ, và bớt dựa vào mã gửi qua tin nhắn.

Vì sao email và số điện thoại là chìa khóa thật của tài khoản sàn?

Vì đó là nơi nhận lệnh đặt lại mật khẩu và mã xác nhận. Ai đọc được hộp thư hoặc nhận được tin nhắn của bạn thì có thể bấm “quên mật khẩu” thay bạn.

Mã OTP (mã dùng một lần, gửi qua tin nhắn, email hoặc sinh trong ứng dụng) chỉ an toàn bằng kênh nhận nó. Nếu mã đi qua SMS, kẻ gian cần chiếm số điện thoại. Nếu mã đi qua email, kẻ gian cần chiếm hộp thư.

Kẻ gian chiếm được	Có thể làm gì với tài khoản sàn	Chặn bằng
Mật khẩu sàn (lộ, đoán, trang giả)	Đăng nhập nếu sàn chưa bật 2FA	2FA bằng ứng dụng hoặc khóa bảo mật
Hộp thư email	Đặt lại mật khẩu sàn, đọc email xác nhận rút tiền	Email riêng, 2FA mạnh cho email
Số điện thoại (chiếm SIM)	Nhận OTP qua SMS, khôi phục email nếu email dùng số đó	Bỏ SMS ở nơi cho chọn, giữ số kín
Cả email lẫn số điện thoại	Vượt gần hết các lớp dựa trên mã gửi tới bạn	Khóa bảo mật hoặc passkey (đăng nhập bằng vân tay, khuôn mặt, mã PIN của máy) cho email

Mắt xích yếu nhất thường là chuỗi “số điện thoại khôi phục email, email khôi phục sàn”. Chiếm SIM xong, kẻ gian đặt lại email, rồi từ email đặt lại tài khoản sàn.

Microsoft thông báo sẽ bắt đầu bỏ dần SMS làm cách xác thực và khôi phục tài khoản Microsoft cá nhân, thay bằng passkey và email đã xác minh. Lý do hãng nêu: “SMS authentication is vulnerable to phishing and SIM-swap attacks” (xác thực qua SMS dễ bị lừa đảo giả mạo và chiếm SIM).

Kiểm nhanh trong 10 phút: email và số của bạn đang mở những cửa nào?

Trả lời 6 câu dưới đây, câu nào “có” là chỗ cần sửa trước. Làm trên thiết bị bạn tin là sạch.

1. Email dùng cho sàn có đang dùng chung cho mạng xã hội, mua sắm, nhóm chat không?
2. Email đó có còn đăng nhập bằng mật khẩu cộng mã SMS, chưa có ứng dụng xác thực, khóa bảo mật hay passkey không?
3. Số điện thoại khôi phục email có trùng số nhận OTP của sàn không?
4. Bạn chưa từng tạo, in mã dự phòng của email?
5. Hộp thư có quy tắc chuyển tiếp hoặc bộ lọc mà bạn không nhớ đã đặt?
6. Số điện thoại của bạn có đang nằm công khai trên trang cá nhân, nhóm mua bán, ảnh chụp màn hình?

Danh sách đầy đủ cho cả ví và tài khoản sàn ở bài checklist bảo mật ví và tài khoản sàn. Bài này đi sâu riêng vào email và số điện thoại.

Bảo mật email dùng cho sàn từng bước

Dùng một email riêng cho tài khoản tài chính, khóa bằng ứng dụng xác thực, khóa bảo mật hoặc passkey, rồi dọn sạch các lối vào phụ. Các bước dưới đây theo trang trợ giúp chính thức của Google và Microsoft, đọc ngày 31/10/2026. Tên mục có thể đổi theo phiên bản.

1. Tách một email riêng cho sàn

Tạo một địa chỉ chỉ dùng cho sàn và tài khoản tài chính, không đăng lên mạng, không dùng để đăng ký dịch vụ khác. Địa chỉ càng ít người biết, email lừa đảo càng khó nhắm trúng.

Microsoft cũng khuyên nên có hai địa chỉ email khác nhau, “một làm địa chỉ bạn thường sử dụng và một làm địa chỉ sao lưu”. Email khôi phục của hộp thư dùng cho sàn nên là một địa chỉ khác, cũng được bảo vệ tốt.

2. Bật xác minh 2 bước bằng cách không phụ thuộc SMS

Thứ tự nên chọn, từ chắc nhất:

• Passkey hoặc khóa bảo mật. Passkey (khóa truy cập) là cách đăng nhập bằng vân tay, khuôn mặt hoặc mã PIN của máy, không có mã nào để đọc cho ai. Khóa bảo mật là thiết bị nhỏ cắm hoặc chạm vào máy. Google viết cả hai “sẽ bảo vệ Tài khoản Google của bạn khỏi các cuộc tấn công giả mạo”.
• Lời nhắc trên điện thoại đã đăng nhập. Google cho biết lời nhắc “có thể giúp bảo vệ bạn khỏi chiêu thức hoán đổi SIM”. Chỉ bấm cho phép khi chính bạn đang đăng nhập.
• Ứng dụng xác thực (authenticator: ứng dụng sinh mã 6 số đổi liên tục trên điện thoại) như Google Authenticator, Microsoft Authenticator. Mã nằm trong máy, không đi qua nhà mạng.
• SMS chỉ để làm phương án cuối, ở dịch vụ không cho chọn cách khác.

Với Gmail: vào Tài khoản Google, mục “Bảo mật và đăng nhập”, phần “Cách bạn đăng nhập vào Google”, bật Xác minh 2 bước rồi làm theo màn hình. Với Outlook.com: vào account.microsoft.com/security, chọn “Quản lý cách tôi đăng nhập”, ở mục “Bảo mật bổ sung” và “Xác minh hai bước” chọn Bật.

Cách mỗi loại 2FA hoạt động và loại nào chống được trang giả ở bài xác thực hai lớp 2FA.

3. In mã dự phòng, cất trên giấy

Mã dự phòng là lối vào khi bạn mất điện thoại hoặc mất số. Theo Google, mỗi bộ có 10 mã 8 chữ số, mỗi mã dùng được một lần, tạo bộ mới thì bộ cũ tự mất hiệu lực. Google viết: “Google không bao giờ yêu cầu mã dự phòng ngoài lúc đăng nhập”.

Microsoft có mã khôi phục tài khoản, tạo ở trang “Quản lý cách tôi đăng nhập”, mục “Mã phục hồi”. Hãng khuyên in ra, giữ ở nơi an toàn và “không lưu trữ mã trên thiết bị được sử dụng để đăng nhập vào tài khoản của bạn”.

4. Xem lại số điện thoại và email khôi phục

Thông tin khôi phục là đường lấy lại email khi bạn quên mật khẩu, nhưng cũng là đường kẻ gian dùng. Giữ ở đó số và email bạn còn kiểm soát, gỡ những thứ đã cũ.

Google lưu ý khi bạn đổi thông tin khôi phục, hãng có thể gửi mã tới thông tin cũ trong vòng 7 ngày, và có thể cần tới 7 ngày để tin một số điện thoại mới thêm vào Xác minh 2 bước. Đổi số nên làm sớm, đừng đợi lúc gấp.

5. Kiểm quy tắc chuyển tiếp và bộ lọc

Chiếm được hộp thư, kẻ gian hay đặt chuyển tiếp hoặc bộ lọc để thư của sàn tự đi sang địa chỉ khác hoặc bị xóa, bạn không thấy cảnh báo. Trang trợ giúp của Google về tài khoản bị tấn công khuyên xóa mọi nhãn, bộ lọc, quy tắc chuyển tiếp bạn không tự đặt.

• Gmail: Cài đặt, “Xem tất cả chế độ cài đặt”, mục “Chuyển tiếp” để xem và tắt chuyển tiếp. Xem tiếp danh sách bộ lọc. Google cũng liệt kê các mục cần kiểm: ủy quyền thư, trả lời tự động, địa chỉ gửi đi, quyền cho phần mềm thư khác đọc hộp thư qua IMAP (giao thức đọc thư từ xa) hoặc POP (giao thức tải thư về máy).
• Outlook.com: trang “Chuyển tiếp và IMAP” trong phần cài đặt thư, cùng các quy tắc hộp thư đến. Sau khi tài khoản bị xâm phạm, Microsoft khuyên kiểm tài khoản liên kết, chuyển tiếp và trả lời tự động.

Theo Google, thấy thông báo chuyển tiếp mà bạn chưa từng bật thì đổi mật khẩu ngay vì “Một người nào khác có thể đã có quyền truy cập”, rồi tắt chuyển tiếp.

6. Xem thiết bị và phiên đang đăng nhập

Google có trang liệt kê thiết bị, phiên đã đăng nhập “trong vài tuần qua”, cho phép đăng xuất phiên bạn không nhận ra. Microsoft có trang hoạt động gần đây cho 30 ngày, kèm vị trí và cách truy cập, với nút “This wasn’t me” ở mục hoạt động bất thường.

Làm việc này vài tháng một lần, và ngay sau khi dùng máy lạ hay đổi điện thoại.

Số điện thoại: SIM swap và quy định đổi SIM ở Việt Nam

SIM swap là kẻ gian khiến nhà mạng chuyển số của bạn sang SIM do chúng giữ, để nhận OTP thay bạn. Cách chúng làm và dấu hiệu nhận biết có ở bài SIM swap là gì.

Phía cơ quan quản lý, Thông tư 08/2026/TT-BKHCN của Bộ Khoa học và Công nghệ (Điều 8, hiệu lực 15/6/2026) buộc nhà mạng, chậm nhất 02 giờ sau khi số thuê bao chuyển sang thiết bị khác, tạm dừng chiều gọi đi, nhắn tin đi và yêu cầu xác thực lại khuôn mặt.

Điều 8 chỉ tạm dừng chiều đi trước. Chiều đến, gồm tin nhắn OTP, chỉ bị dừng khi quá 30 ngày không xác thực lại (khoản 3). Quy định làm SIM swap khó hơn chứ không thay được 2FA không dựa vào SMS.

Giữ số điện thoại kín và sạch

Số càng ít người biết và càng ít việc phụ thuộc vào nó, chiếm SIM càng ít lợi.

• Dùng một số riêng cho tài khoản tài chính nếu có thể, không in trên trang cá nhân, nhóm mua bán, danh thiếp.
• Không đọc OTP cho ai, kể cả người xưng nhân viên nhà mạng, sàn, công an. Mã OTP chỉ để bạn tự nhập trên trang hoặc ứng dụng bạn tự mở.
• Không bấm cú pháp lạ theo hướng dẫn qua điện thoại. VinaPhone (25/3/2022) cảnh báo kẻ gian bảo khách bấm **21*số điện thoại# để chuyển cuộc gọi, kể cả cuộc gọi đọc mã OTP, sang máy chúng. Bấm ##21# để hủy chuyển hướng.
• Thay SIM, xác thực thuê bao tự làm qua VNeID, ứng dụng nhà mạng hoặc điểm giao dịch, không qua đường dẫn gửi tới.
• Hỏi nhà mạng về lớp khóa thêm. Khi tìm trên viettel.vn, vinaphone.com.vn và mobifone.vn ngày 31/10/2026, VietnamBit chưa thấy nhà mạng nào công bố tính năng mã PIN riêng để chặn đổi SIM. Hỏi tổng đài nhà mạng của bạn xem họ có lớp bảo vệ nào cho việc đổi SIM, eSIM.

Mất sóng lâu bất thường kèm thông báo đăng nhập lạ là dấu hiệu cần xử lý ngay, các bước ở phần cuối bài.

Trên tài khoản sàn nên bật những gì?

Bật 2FA mạnh nhất mà sàn cho phép, mã chống lừa đảo nếu có, và thông báo đăng nhập, rút tiền. Tên và vị trí cài đặt khác nhau tùy sàn.

• 2FA bằng ứng dụng xác thực hoặc khóa bảo mật thay cho SMS, nếu sàn có.
• Mã chống lừa đảo (anti-phishing code): chuỗi bạn tự đặt, email thật của sàn sẽ chèn chuỗi này, thiếu là thư giả. Cách dùng và giới hạn của nó ở bài phishing là gì (phishing: lừa đảo giả mạo để lấy mật khẩu, mã OTP).
• Danh sách trắng địa chỉ rút nếu sàn có: chỉ rút được về địa chỉ đã duyệt trước.
• Thông báo qua email cho đăng nhập, đổi mật khẩu, rút tiền, gửi về email riêng đã khóa kỹ ở trên.

Tính đến 31/10/2026, chưa sàn nào được cấp phép. Chưa thấy văn bản nào quy định riêng các lớp bảo mật tài khoản bắt buộc cho người dùng sàn tài sản mã hóa trong nước, nên hãy tự đặt các lớp trên dù dùng sàn nào.

Nghi email hoặc SIM bị chiếm thì làm gì?

Dùng một thiết bị sạch, giành lại email trước, rồi khóa tài khoản sàn qua kênh chính thức. Email là nơi mọi lệnh đặt lại đi qua, nên phải lấy lại nó trước khi đổi mật khẩu ở chỗ khác.

1. Quét máy hoặc dùng máy khác. Microsoft khuyên quét toàn bộ máy tính bằng phần mềm chống vi rút trước khi đổi mật khẩu. Máy còn mã độc thì mật khẩu mới cũng lộ.
2. Giành lại email. Đổi mật khẩu, đăng xuất mọi phiên lạ, xóa chuyển tiếp, bộ lọc lạ, kiểm lại số và email khôi phục. Không đăng nhập được thì dùng trang khôi phục tài khoản của Google hoặc công cụ trợ giúp đăng nhập của Microsoft.
3. Khóa tài khoản sàn. Dùng chức năng khóa khẩn cấp trong ứng dụng hoặc liên hệ hỗ trợ qua kênh trên trang chính thức. Kiểm địa chỉ rút, khóa API (khóa cho phần mềm bên ngoài truy cập tài khoản) vừa được thêm.
4. Xử lý số điện thoại. Gọi tổng đài nhà mạng từ máy khác để hỏi có yêu cầu đổi SIM, đổi thiết bị nào vừa xảy ra.
5. Đổi mật khẩu các nơi dùng chung mật khẩu. Google khuyên đổi ngay ở các ứng dụng, trang web dùng mật khẩu giống tài khoản bị chiếm.
6. Giữ bằng chứng (giờ mất sóng, email cảnh báo, giao dịch lạ). Mất tiền thì trình báo công an, cách làm ở bài tố giác lừa đảo tiền ảo.

Nếu tài sản trên sàn đã bị rút, các bước tiếp theo ở bài ví bị hack, tài khoản bị chiếm phải làm gì.