Bảo vệ tài khoản VNeID dựa trên ba việc: chỉ dùng ứng dụng tải từ kho chính thức, giữ riêng mật khẩu và mã bảo vệ, và không làm theo bất kỳ ai yêu cầu bạn cài đặt, cập nhật hay xác thực qua điện thoại. Ba việc này chặn được phần lớn cách kẻ gian chiếm tài khoản định danh hiện nay, vì hầu hết đều cần chính bạn đưa mã hoặc cài một thứ gì đó.
Tài khoản VNeID mức 2 có giá trị như giấy tờ tuỳ thân và mở ra nhiều dịch vụ khác, nên mất quyền kiểm soát nó nghiêm trọng hơn mất một tài khoản mạng xã hội. Bài này đi vào cách đặt hai lớp khoá, những yêu cầu bạn không bao giờ cần làm theo, dấu hiệu tài khoản bị can thiệp và trình tự xử lý. Chức năng bảo mật trong ứng dụng có thể thay đổi theo phiên bản, nên bạn kiểm phần cài đặt trên máy mình.
Vì sao tài khoản định danh là mục tiêu đáng giá
Với kẻ gian, một tài khoản định danh mức 2 giống chiếc chìa khoá mở nhiều cửa. Trong đó có thông tin cư trú, giấy tờ tích hợp, thông tin người thân; nó có thể dùng để đăng nhập dịch vụ công và một số ứng dụng khác có kết nối định danh. Ngay cả khi không lấy được tiền trực tiếp, thông tin trong đó đủ để dựng kịch bản lừa người thân của bạn hoặc mạo danh bạn ở nơi khác.
Cách tấn công phổ biến không phải phá mã hệ thống, mà là thuyết phục người dùng tự mở cửa. Người dùng bị dẫn cài một ứng dụng giả có giao diện giống VNeID, nhập mật khẩu vào đó; hoặc bị gọi điện hướng dẫn đọc mã, quét mặt; hoặc nhờ người lạ cài đặt hộ rồi bị ghi lại mật khẩu. Hiểu vậy để thấy phòng thủ chủ yếu nằm ở thói quen của bạn, chứ không ở thứ gì phức tạp.
Người lớn tuổi, người mới dùng điện thoại thông minh và người đang vội làm thủ tục là nhóm dễ bị nhắm nhất. Nếu bạn là người rành công nghệ trong gia đình, việc có ích nhất là ngồi với bố mẹ một buổi, đặt lại khoá cho họ và dặn kỹ những câu mà họ sẽ nghe từ kẻ gian.
Hai lớp khoá: đặt cho đúng và giữ cho riêng
Mật khẩu dài, không đoán được từ thông tin cá nhân. Không dùng ngày sinh, số định danh, tên con, biển số xe. Một câu ngắn bạn dễ nhớ, biến tấu bằng chữ hoa, số và ký tự đặc biệt theo yêu cầu của ứng dụng là cách đặt vừa an toàn vừa nhớ được.
Mã bảo vệ khác mã mở khoá điện thoại. Người thân trong nhà thường biết mã mở máy của nhau. Nếu mã bảo vệ VNeID trùng mã đó, ai cầm máy cũng mở được tài khoản định danh của bạn.
Không dùng chung mật khẩu với tài khoản khác. Khi một trang mạng nào đó bị lộ dữ liệu, kẻ gian thử chính mật khẩu đó ở nhiều nơi. Mật khẩu VNeID chỉ nên dùng cho VNeID.
Đăng nhập bằng sinh trắc trên máy nếu ứng dụng hỗ trợ. Dùng vân tay hay khuôn mặt của điện thoại để mở ứng dụng giúp bạn ít phải gõ mật khẩu nơi đông người, giảm nguy cơ bị nhìn trộm.
Cất bản ghi mật khẩu ở nơi kín, không trong điện thoại. Một tờ giấy trong tủ có khoá ở nhà an toàn hơn ghi chú trong máy. Mất máy mà mật khẩu nằm trong ghi chú là mất cả hai.
Những yêu cầu bạn không bao giờ cần làm theo
Dưới đây là các yêu cầu hay xuất hiện trong cuộc gọi, tin nhắn hoặc lời mời trên mạng. Gặp bất kỳ yêu cầu nào, cách xử lý đúng là dừng lại, không làm, tự liên hệ cơ quan qua kênh bạn tự tìm.
- Cài ứng dụng "VNeID bản mới", "dịch vụ công" hay "cập nhật định danh" qua đường dẫn trong tin nhắn, thư điện tử hoặc mạng xã hội.
- Đọc mã kích hoạt, mã xác thực gửi về điện thoại cho người đang gọi, dù người đó xưng là cán bộ công an, nhân viên ngân hàng hay tổng đài.
- Quét khuôn mặt hoặc đọc chip căn cước trong một ứng dụng theo hướng dẫn qua điện thoại của người lạ.
- Gửi ảnh chụp màn hình VNeID, ảnh mặt thẻ căn cước để "xác minh hồ sơ" hay "nhận tiền hỗ trợ".
- Bật chế độ chia sẻ màn hình hoặc cài ứng dụng điều khiển từ xa theo lời ai đó "để hỗ trợ cài đặt".
- Chuyển tiền phí để "nâng mức định danh", "tích hợp giấy tờ nhanh" hay "mở khoá tài khoản".
Các kịch bản lừa đảo dùng danh nghĩa cơ quan công an, mạo danh giọng nói người thân hay ứng dụng giả được phân tích chi tiết trên trang AI Bảo Mật. Ở đây chỉ cần nhớ một câu: cơ quan nhà nước không hướng dẫn bạn cài ứng dụng qua điện thoại và không bao giờ cần mã của bạn.
Tải đúng ứng dụng và giữ ứng dụng luôn cập nhật
Ứng dụng VNeID chính thức chỉ có trong kho ứng dụng của điện thoại, do đơn vị thuộc Bộ Công an phát hành. Khi tìm, bạn gõ tên trong kho ứng dụng, nhìn tên nhà phát triển, xem số lượt tải và đánh giá. Ứng dụng giả thường nằm ngoài kho, được gửi dưới dạng tệp cài đặt cho máy Android, kèm lời dặn "bật cho phép cài từ nguồn không xác định". Lời dặn đó đã đủ để bạn dừng lại.
Một mẹo cho máy Android: để nguyên tuỳ chọn chặn cài ứng dụng từ nguồn không xác định. Nếu từng bật để cài một thứ gì đó, hãy tắt lại. Trên iPhone, việc cài ứng dụng ngoài kho khó hơn, nhưng kẻ gian vẫn có thể dẫn người dùng vào trang web giả để nhập mật khẩu, nên nguyên tắc chỉ nhập mật khẩu trong ứng dụng chính thức vẫn giữ nguyên.
Cập nhật ứng dụng thường xuyên qua kho ứng dụng. Bản cập nhật vá lỗi bảo mật và đổi giao diện theo yêu cầu mới; bản quá cũ có thể bị hệ thống từ chối đăng nhập. Bạn bật tự động cập nhật trong kho ứng dụng là đủ, không cần ai nhắc qua điện thoại.
Khi mang điện thoại đi sửa hoặc nhờ người khác cầm máy
Một lỗ hổng ít người nghĩ tới là lúc điện thoại rời khỏi tay mình: mang đi thay màn hình, thay pin, hay đưa cho nhân viên cửa hàng "cài lại máy giúp". Tiệm sửa thường xin mã mở khoá để kiểm tra sau khi sửa. Nếu mã đó trùng mã bảo vệ VNeID, hoặc ứng dụng đang để chế độ không hỏi mã khi mở, người cầm máy có thể xem được toàn bộ thông tin định danh của bạn trong lúc bạn đi uống nước chờ.
Trước khi đưa máy đi sửa, bạn đăng xuất VNeID, ứng dụng ngân hàng và ví điện tử, hoặc ít nhất kiểm chắc các ứng dụng này đều đòi mã riêng khi mở. Với lỗi phần cứng không cần mở khoá máy, như thay pin, bạn có thể đề nghị tiệm kiểm tra khi có mặt bạn thay vì đưa mã. Sửa xong, đăng nhập lại, xem ứng dụng có báo gì bất thường về thiết bị hay không.
Quy tắc tương tự áp dụng khi cho người khác mượn máy gọi nhờ, nhờ bạn bè chụp ảnh, hay để máy ở quầy lễ tân sạc pin. Máy rời tay càng lâu thì lớp mã bảo vệ riêng của VNeID càng quan trọng.
Dấu hiệu tài khoản bị can thiệp và việc làm ngay
Một số dấu hiệu cho thấy có thể ai đó đã có quyền vào tài khoản của bạn: nhận mã xác thực mà bạn không yêu cầu, ứng dụng báo tài khoản đang đăng nhập ở thiết bị khác, thông tin trong tài khoản thay đổi mà bạn không làm, hoặc nhận thông báo về hồ sơ dịch vụ công bạn không nộp. Khi thấy dấu hiệu, làm theo thứ tự:
- Không trả lời, không đọc mã cho bất kỳ ai đang liên hệ bạn lúc đó.
- Mở ứng dụng VNeID chính thức trên máy của bạn, đổi mật khẩu và mã bảo vệ ngay nếu còn đăng nhập được.
- Nếu ứng dụng có chức năng khoá tài khoản tạm thời, dùng chức năng đó trong lúc chờ xử lý.
- Liên hệ tổng đài hỗ trợ chính thức của hệ thống định danh — số in trong ứng dụng hoặc trên trang chính thức, không dùng số do người lạ đưa — hoặc đến công an xã, phường gần nhất, mang theo thẻ căn cước.
- Kiểm các tài khoản liên quan: ngân hàng, ví điện tử, thư điện tử. Đổi mật khẩu những nơi dùng chung thông tin.
- Ghi lại thời gian, nội dung tin nhắn, số đã gọi tới để cung cấp khi trình báo.
Đừng ngại trình báo vì nghĩ "chưa mất gì". Báo sớm giúp cơ quan quản lý khoá kịp tài khoản và ghi nhận dấu hiệu, có ích cho chính bạn nếu sau này phát sinh khoản vay hay hồ sơ đứng tên bạn.
Dùng trợ lý AI để kiểm một tin nhắn nghi ngờ
Khi nhận một tin nhắn có vẻ từ cơ quan nhà nước mà bạn không chắc, trợ lý AI là người đọc thứ hai khá tốt. Bạn chép nội dung tin, thay mọi họ tên, số điện thoại, số tài khoản và đường dẫn bằng chữ như [tên], [số], [đường dẫn], rồi hỏi: "Tin nhắn sau tự nhận là từ cơ quan quản lý định danh: [nội dung đã che]. Chỉ ra những dấu hiệu đáng ngờ, so với cách cơ quan nhà nước Việt Nam thường liên hệ người dân, và gợi ý mình nên kiểm qua kênh chính thức nào."
AI giỏi nhận ra các dấu hiệu chung như thúc giục, đường dẫn lạ, yêu cầu cài ứng dụng, đòi phí. Nhưng nó không biết tin nhắn này có thật hay không; kết luận cuối cùng vẫn đến từ việc bạn tự liên hệ cơ quan qua kênh bạn tự tìm. Nếu AI nói "có vẻ an toàn", đừng coi đó là giấy phép để bấm vào đường dẫn.
Không bấm vào đường dẫn trong tin để "xem thử" trước khi hỏi AI, và không dán đường dẫn đầy đủ vào chatbot. Chỉ cần mô tả là có đường dẫn lạ; điều đó đã đủ để nhận định.
Câu hỏi thường gặp
Cán bộ công an có gọi điện hướng dẫn cập nhật VNeID không?
Cơ quan công an có thể thông báo, tuyên truyền về định danh, nhưng không hướng dẫn người dân cài ứng dụng qua đường dẫn gửi qua tin nhắn hay đọc mã xác thực qua điện thoại. Gặp cuộc gọi như vậy, cúp máy và tự liên hệ công an xã, phường.
Lỡ đọc mã xác thực cho người lạ thì làm gì?
Mở ngay ứng dụng chính thức, đổi mật khẩu và mã bảo vệ, khoá tài khoản tạm thời nếu có chức năng đó. Liên hệ tổng đài hỗ trợ chính thức hoặc công an gần nhất, đồng thời kiểm tài khoản ngân hàng và ví điện tử.
Có nên cho con cháu biết mật khẩu VNeID của ông bà không?
Một người thân tin cậy nhất biết mật khẩu có thể giúp khi ông bà quên, nhưng nên hạn chế ở một người và ghi trên giấy cất ở nhà. Không gửi mật khẩu qua tin nhắn, không để nhiều người cùng biết.
Ứng dụng VNeID có tự hỏi mật khẩu qua tin nhắn không?
Ứng dụng chỉ hỏi mật khẩu trong giao diện của nó khi bạn mở ứng dụng. Mọi tin nhắn đề nghị bạn trả lời mật khẩu hay nhập mật khẩu vào một trang web đều là giả.
Đổi mật khẩu VNeID định kỳ có cần thiết không?
Không bắt buộc đổi theo lịch nếu mật khẩu đủ mạnh và chưa từng lộ. Nên đổi ngay khi nghi lộ, sau khi nhờ người khác cài đặt hộ, hoặc khi bán, cho máy cũ mà chưa đăng xuất kỹ.
Đăng nhập dịch vụ khác bằng VNeID có an toàn không?
Đăng nhập qua định danh ở dịch vụ chính thức có kết nối là bình thường. Rủi ro nằm ở trang giả mạo nút đăng nhập VNeID để lấy mật khẩu. Chỉ xác nhận đăng nhập khi chính bạn vừa chủ động thao tác trên dịch vụ đó.