2FA (xác thực 2 yếu tố) thật sự an toàn? Những rủi ro có thể gặp phải và giải pháp giảm thiểu (Phần 3)

Kaspersky sẽ tiếp tục chuỗi bài viết bảo mật về 2FA. Trong bài viết trước, chúng ta đã được biết về 2FA (xác thực 2 yếu tố) là gì, phương thức hoạt động cũng như một số ưu nhược điểm của hình thức bảo mật này. Trong bài viết này chúng ta sẽ tiếp tục phân tích những rủi ro có thể gặp phải và giải pháp để giảm thiểu rủi ro từ 2FA nhé!

Bạn có thể xem lại 2 bài viết trước tại đây:

Xác thực 2 yếu tố (2FA) bằng ứng dụng xác thực là gì? Mức độ an toàn của hình thức bảo mật này (Phần 1)

2FA an toàn như thế nào với mã một lần? Ưu nhược điểm của hình thức xác thực 2 yếu tố này (Phần 2)

Những rủi ro có thể gặp phải khi sử dụng 2FA và giải pháp giảm thiểu

Trang web lừa đảo

Hầu hết các trang web lừa đảo được thiết kế để tấn công hàng loạt đều khá thô sơ. Những người tạo ra chúng thường hài lòng với việc đánh cắp thông tin đăng nhập và mật khẩu, sau đó bán chúng với giá sỉ rẻ bèo ở đâu đó trên dark web. Tất nhiên, xác thực hai yếu tố là biện pháp bảo vệ hoàn hảo trước những tin tặc như vậy: ngay cả khi ai đó lấy được thông tin đăng nhập của bạn, họ hoàn toàn vô dụng nếu không có mã một lần từ ứng dụng.

Tuy nhiên, trên các trang web lừa đảo được tạo thủ công cẩn thận và hợp lý hơn, đặc biệt là những trang được thiết kế cho các cuộc tấn công có mục tiêu, những kẻ lừa đảo cũng có thể bắt chước cơ chế xác minh xác thực hai yếu tố. Trong trường hợp này, họ sẽ không chỉ chặn thông tin đăng nhập và mật khẩu mà còn cả mã dùng một lần. Sau đó, những kẻ tấn công sẽ nhanh chóng đăng nhập vào tài khoản thực của nạn nhân, trong khi trang web lừa đảo có thể đưa ra thông báo lỗi và đề nghị thử lại.

Thật không may, mặc dù có vẻ đơn giản, lừa đảo vẫn là một mánh khóe cực kỳ hiệu quả đối với tội phạm và có thể khó tự bảo vệ bạn trước các phiên bản lừa đảo tinh vi. Lời khuyên chung ở đây là như sau:

Không nhấp vào các liên kết trong e-mail — đặc biệt là những liên kết nhận được từ các địa chỉ không xác định hoặc đáng ngờ.

Kiểm tra cẩn thận địa chỉ của các trang mà bạn đang nhập thông tin tài khoản của mình.

Sử dụng một giải pháp đáng tin cậy với tính năng chống lừa đảo tự động.

Phần mềm độc hại

Nói một cách nhẹ nhàng, mọi người không thực sự thích trải qua quá trình xác thực đầy đủ. Do đó, các dịch vụ cố gắng không làm phiền người dùng của họ một cách không cần thiết. Trên thực tế, trong hầu hết các trường hợp, bạn chỉ phải được xác thực đầy đủ bằng mật khẩu và mã xác nhận khi đăng nhập vào tài khoản của mình trên mỗi thiết bị lần đầu tiên. Hoặc có thể là một thời gian nữa — nếu bạn vô tình xóa cookie khỏi trình duyệt của mình.

Sau khi đăng nhập thành công, dịch vụ sẽ lưu một cookie nhỏ trên máy tính của bạn, cookie này chứa một số dài và rất bí mật. Tệp này là những gì trình duyệt của bạn sẽ hiển thị cho dịch vụ để xác thực kể từ bây giờ. Vì vậy, nếu ai đó đánh cắp được tệp này, tệp đó có thể được sử dụng để đăng nhập vào tài khoản của bạn. Không cần mật khẩu hoặc mã dùng một lần cho việc này.

Những tệp như vậy (cùng với một loạt thông tin khác như mật khẩu được lưu trong trình duyệt, khóa ví tiền điện tử và các tính năng tương tự khác) có thể bị đánh cắp bởi những kẻ đánh cắp Trojan. Nếu bạn không may bị một kẻ ăn cắp trên máy tính của mình, thì rất có thể tài khoản của bạn sẽ bị chiếm đoạt, ngay cả khi đã thực hiện tất cả các biện pháp phòng ngừa khác.

Để ngăn điều này xảy ra:

Không cài đặt chương trình từ các nguồn đáng ngờ.

Hãy chắc chắn sử dụng bảo vệ đáng tin cậy cho tất cả các thiết bị của bạn.

Thiếu bản sao lưu xác thực

Quyền truy cập vào tài khoản của bạn cũng có thể bị mất do bảo vệ quá mạnh. Giống như nếu sau khi bạn cấm truy cập vào tài khoản của mình mà không có mã từ ứng dụng, bằng cách nào đó, bạn sẽ mất trình xác thực. Trong trường hợp này, bạn có thể mất vĩnh viễn tài khoản và thông tin trong đó. Hoặc ít nhất bạn yên tâm về một vài ngày thư từ vui vẻ đầy nước mắt với sự hỗ trợ khôi phục quyền truy cập.

Trên thực tế, có khá nhiều trường hợp bạn có thể mất trình xác thực của mình:

Điện thoại thông minh có thể bị hỏng theo cách mà bạn không thể lấy bất kỳ thông tin nào từ nó. Bạn có thể mất nó. Và tất nhiên, nó có thể bị đánh cắp. Tất cả đều là những sự kiện không thể đoán trước, vì vậy tốt hơn hết bạn nên chuẩn bị trước cho chúng để tránh mọi hậu quả khó chịu:

Đảm bảo sao lưu dữ liệu xác thực. Nhiều ứng dụng cho phép sao lưu vào đám mây; một số cũng có thể lưu nó dưới dạng tệp cục bộ.

Bạn nên cài đặt trình xác thực trên hai thiết bị khác nhau hoặc thậm chí sử dụng một số ứng dụng khác nhau. Điều này bảo vệ bạn khỏi bị khóa khỏi bản sao lưu nếu cơ sở hạ tầng đám mây của một trình xác thực duy nhất không khả dụng vào thời điểm không thích hợp nhất.

Làm thế nào để giữ an toàn bằng 2FA?

Bản thân xác thực hai yếu tố làm giảm nghiêm trọng nguy cơ tài khoản của bạn bị xâm nhập, nhưng nó không đảm bảo bảo mật hoàn toàn. Do đó, đáng để thực hiện các biện pháp phòng ngừa bổ sung:

Đảm bảo đặt mật khẩu để đăng nhập vào thiết bị đã cài đặt trình xác thực.

Sử dụng ứng dụng xác thực biết cách ẩn mã dùng một lần khỏi những con mắt không mong muốn và cho phép bạn đặt mật khẩu để đăng nhập vào chính ứng dụng đó.

Đừng quên sao lưu trình xác thực.

Không sử dụng mật khẩu đơn giản và không sử dụng cùng một mật khẩu cho các tài khoản khác nhau. Trình quản lý mật khẩu sẽ giúp bạn tạo và ghi nhớ các chuỗi ký tự duy nhất và an toàn.

Đề phòng rò rỉ và kịp thời thay đổi mật khẩu từ các dịch vụ bị ảnh hưởng, đặc biệt nếu đó là e-mail mà các tài khoản khác được liên kết tới. Ngẫu nhiên, Kaspersky Password Manager theo dõi rò rỉ mật khẩu và cảnh báo bạn về chúng.

Để bảo vệ bạn khỏi lừa đảo và đánh cắp phần mềm độc hại, hãy cài đặt một giải pháp bảo mật đáng tin cậy trên tất cả các thiết bị của bạn.

Cảnh giác với các nỗ lực đăng nhập vào tài khoản của bạn và phản hồi nhanh chóng với hoạt động đáng ngờ.

Hương