Mã PIN, mật khẩu và mã gửi về điện thoại: chỗ không chọn theo sở thích

Với số tài khoản hay số điện thoại, chọn con số mình thích là chuyện vô hại. Nhưng có một nhóm số khác mà chọn theo sở thích lại là chỗ yếu nhất: mã PIN, mật khẩu, và mã xác thực.

Bài này nói rõ ranh giới: chỗ nào chọn theo ý thích được, chỗ nào tuyệt đối không.

Ba loại số, ba mức khác nhau

1. Số hiển thị — số tài khoản, số điện thoại, biển số. Ai cũng thấy, chọn theo ý thích thoải mái.
2. Số bí mật — mã PIN thẻ, mật khẩu, mã mở khoá điện thoại. Không chọn theo ý thích.
3. Mã dùng một lần — mã gửi về tin nhắn hoặc ứng dụng. Không ai được biết ngoài bạn, kể cả trong một giây.

Trộn ba nhóm này là gốc của phần lớn rắc rối. Một dãy số vừa đẹp vừa dễ nhớ thì cũng dễ đoán.

Mã PIN: đừng dùng mấy thứ sau

• Năm sinh của bạn, vợ chồng, con cái.
• Ngày tháng sinh hoặc ngày cưới.
• Bốn số cuối của số điện thoại hay số nhà.
• Dãy liên tiếp hoặc lặp: 1234, 1111, 2580.
• Con số may mắn bạn hay nhắc tới — nếu người quen biết bạn thích số nào, thì đó là số đầu tiên họ thử.

Điểm cuối đáng nhớ nhất: phần lớn vụ mất tiền từ thẻ không đến từ người lạ, mà đến từ người biết bạn đủ nhiều để đoán.

Mã gửi về điện thoại

Nguyên tắc chỉ có một câu, và không có ngoại lệ: không đọc cho ai, không chụp gửi cho ai, không nhập vào đường dẫn người khác gửi tới.

1. Ngân hàng, ví điện tử, sàn thương mại không bao giờ hỏi mã này — không qua điện thoại, không qua tin nhắn, không qua nhân viên tới tận nhà.
2. Ai hỏi mã ấy thì đó là lừa đảo, bất kể họ xưng là ai và nói chuyện lễ phép thế nào.
3. Đọc kỹ nội dung tin nhắn — nhiều tin ghi rõ mã này dùng để làm gì; nếu không phải việc bạn vừa làm thì đừng nhập.
4. Nhận mã mà không yêu cầu gì — dấu hiệu có người đang thử đăng nhập; đổi mật khẩu ngay.

Mấy kiểu dụ quen thuộc

Người lừa đảo không đoán mã của bạn — họ làm bạn tự đọc ra. Mấy kịch bản hay gặp:

1. "Anh/chị trúng thưởng, đọc mã để nhận."
2. "Tài khoản của anh/chị có giao dịch lạ, đọc mã để chúng tôi khoá giúp."
3. "Em chuyển nhầm tiền cho anh/chị, đọc mã để hoàn lại."
4. "Em bên giao hàng, đơn bị lỗi, bấm vào đường dẫn này để cập nhật."
5. Gọi từ số trông giống số tổng đài, và giục gấp.

Điểm chung: tạo gấp gáp rồi xin mã hoặc xin bấm vào một đường dẫn. Cách gỡ luôn giống nhau — cúp máy, rồi tự gọi lại tổng đài bằng số lấy từ mặt sau thẻ.

Người lớn tuổi trong nhà

• Nói trước một câu duy nhất, dễ nhớ: không đọc mã trong tin nhắn cho bất kỳ ai, kể cả con cháu.
• Thống nhất một quy ước: có ai gọi xin tiền hoặc xin mã thì gác máy và gọi lại cho người nhà.
• Đừng để mã PIN trong ví cùng với thẻ.
• Bật hạn mức giao dịch thấp cho tài khoản dùng hằng ngày.

Phần lớn ca mất tiền ở nhóm này không phải vì thiếu hiểu biết công nghệ — mà vì bị gọi đúng lúc đang lo, và không ai dặn trước một câu.

Mật khẩu

• Dài quan trọng hơn phức tạp. Một câu bốn năm chữ dễ nhớ mà dài thì mạnh hơn một chuỗi ngắn nhiều ký hiệu.
• Mỗi nơi một mật khẩu khác, ít nhất là với ngân hàng và thư điện tử.
• Thư điện tử là chìa khoá của mọi thứ — ai vào được hộp thư thì lấy lại được hầu hết tài khoản khác.
• Bật xác thực hai bước ở những nơi quan trọng.
• Đừng lưu mật khẩu trong tin nhắn hoặc trong ghi chú không khoá.

Khi vẫn muốn con số có ý nghĩa

Nếu bạn quý một con số, hãy dùng nó ở đúng chỗ dùng được: số tài khoản, số điện thoại, biển số, số hoá đơn, mã đơn hàng. Những chỗ ấy vốn công khai, nên chọn theo ý thích không làm bạn yếu đi.

Còn ở nhóm bí mật, hãy coi con số như một cái chìa khoá: chìa khoá đẹp không có giá trị gì nếu ai cũng cắt được một cái giống hệt.

Nhớ mã mà không viết ra bừa bãi

1. Dùng trình quản lý mật khẩu nếu bạn quen dùng — đây là cách gọn nhất hiện nay.
2. Nếu viết ra giấy thì viết dạng gợi nhớ, không viết nguyên mã, và cất chỗ khoá được.
3. Đừng dán lên thẻ, lên máy, lên mặt sau điện thoại.
4. Cho một người tin cậy biết cách truy cập trong trường hợp khẩn cấp — nhưng qua một cách có kiểm soát, không phải nhắn mã qua tin nhắn.

Khi nghi ngờ đã lộ

• Đổi mật khẩu ngay, bắt đầu từ thư điện tử rồi tới ngân hàng.
• Khoá thẻ qua ứng dụng hoặc gọi tổng đài của chính ngân hàng — số lấy từ mặt sau thẻ hoặc trang chính thức, không lấy từ tin nhắn vừa nhận.
• Kiểm lịch sử giao dịch và các thiết bị đang đăng nhập.
• Báo cho ngân hàng bằng văn bản nếu đã mất tiền, càng sớm càng tốt.

Ba điều gọn lại

1. Số hiển thị thì chọn theo ý thích thoải mái; số bí mật thì không.
2. Không ai được biết mã gửi về điện thoại — ngân hàng không bao giờ hỏi, ai hỏi là lừa đảo.
3. Thư điện tử là chìa khoá của mọi thứ; đặt mật khẩu riêng và bật xác thực hai bước cho nó trước tiên.