Chuyên gia cảnh báo: Xác thực qua SMS có thể khiến bạn mất trắng

Xác thực hai yếu tố (2FA) là một phương thức được thiết kế để tăng cường bảo mật, giúp người dùng hạn chế nguy cơ bị truy cập trái phép vào tài khoản. Cơ chế này yêu cầu người dùng cung cấp thêm một lớp xác minh bên cạnh mật khẩu, phổ biến nhất là mã OTP gửi qua tin nhắn SMS.

Xác thực hai yếu tố (2FA) là một phương thức được thiết kế để tăng cường bảo mật

Tuy nhiên, phương thức 2FA qua SMS lại tiềm ẩn nhiều rủi ro. Một trong những điểm yếu lớn nhất của SMS là người dùng không thể kiểm soát được ai đã đọc hoặc can thiệp vào mã OTP trước khi nó đến điện thoại. Theo Bloomberg, nhiều công ty hiện đang thuê ngoài dịch vụ 2FA cho các bên trung gian nhằm giảm chi phí. Việc lựa chọn nhầm đối tác có thể dẫn đến những hậu quả nghiêm trọng về bảo mật.

Một ví dụ điển hình được Bloomberg ghi nhận là một người tố giác trong ngành đã cung cấp khoảng một triệu tin nhắn chứa mã 2FA được gửi trong tháng 6 năm 2023. Các tin nhắn này đều đi qua công ty Thụy Sĩ Fink Telecom Services, bao gồm mã đăng nhập và thông tin về đường truyền từ người gửi đến người nhận. Danh sách các doanh nghiệp liên quan có nhiều tên tuổi lớn như Amazon, Google, Meta, Snapchat, Tinder, Signal và WhatsApp. Dữ liệu này đã được Bloomberg xác minh cùng các chuyên gia độc lập và cho thấy độ tin cậy cao.

Đáp lại, CEO Fink Telecom, ông Andreas Fink, cho biết công ty của mình chịu các ràng buộc pháp lý và không xem xét nội dung tin nhắn. Ông cũng khẳng định Fink Telecom hiện không còn tham gia hoạt động giám sát.

Trước thực trạng trên, người dùng được khuyến cáo chuyển sang các giải pháp xác thực an toàn hơn như sinh trắc học hoặc sử dụng ứng dụng xác thực. Các ứng dụng này tạo mã OTP trực tiếp trên thiết bị, giúp loại bỏ nguy cơ bị chặn hoặc đánh cắp trong quá trình gửi qua SMS.

Đây không phải lần đầu tiên 2FA qua SMS gặp vấn đề. Trước đó, vào tháng trước, Valve xác nhận rằng tin tặc đã xâm nhập được vào kho dữ liệu số điện thoại và hồ sơ SMS 2FA của phần lớn tài khoản người dùng. Nếu bạn chưa thay đổi mật khẩu tài khoản Steam, đây là thời điểm nên làm điều đó.

>> Cảnh báo quan trọng của Google tới 2,5 tỷ người dùng Gmail