Mọi tài khoản có thể chi tiền, lập hoá đơn, nộp tờ khai hoặc đọc dữ liệu tài chính nên bật xác thực hai lớp: ngoài mật khẩu, người đăng nhập phải có thêm một thứ trong tay, như mã một lần trên ứng dụng xác thực, thiết bị xác thực hoặc xác nhận trên điện thoại đã đăng ký. Kẻ lấy được mật khẩu qua trang giả mạo, qua mã độc, vẫn không vào được nếu thiếu lớp thứ hai.
Vấn đề ở doanh nghiệp nhỏ thường không phải thiếu tính năng mà là chưa ai bật, hoặc bật nhưng lớp thứ hai lại nằm trên điện thoại cá nhân của một người duy nhất. Phần dưới là danh sách tài khoản nên bật, cách chọn phương thức, và cách tránh bị khoá ngoài khi người giữ thiết bị vắng mặt.
Tài khoản nào phải bật trước
| Tài khoản | Vì sao ưu tiên |
|---|---|
| Ngân hàng điện tử | Chi tiền trực tiếp; ngân hàng thường đã bắt buộc xác thực cho lệnh chi, cần kiểm tra cả lúc đăng nhập |
| Hộp thư của doanh nghiệp, hộp thư nhận hoá đơn | Chiếm được hộp thư là đặt lại được mật khẩu nhiều hệ thống khác, và giả mạo được thư đổi số tài khoản |
| Phần mềm hoá đơn điện tử | Lập được hoá đơn nhân danh doanh nghiệp |
| Phần mềm kế toán | Sửa được số liệu, xem được lương, công nợ |
| Trang quản trị sàn, cổng thanh toán | Đổi được tài khoản nhận tiền |
| Kho lưu trữ đám mây | Chứa chứng từ, sao lưu |
Hộp thư đứng thứ hai trong bảng nhưng hay bị bỏ qua nhất. Nhiều vụ mất tiền bắt đầu bằng việc kẻ gian vào được hộp thư, đọc trao đổi với nhà cung cấp, rồi gửi một thư “thông báo đổi số tài khoản” trông y như thật.
Chọn phương thức lớp thứ hai
- Ứng dụng xác thực sinh mã một lần: chạy không cần mạng, khó bị đánh cắp từ xa. Phù hợp cho phần lớn tài khoản.
- Thiết bị xác thực vật lý: an toàn cao, phù hợp tài khoản quản trị và ngân hàng; cần nơi cất và người giữ rõ ràng.
- Xác nhận trên ứng dụng của nhà cung cấp (bấm đồng ý trên điện thoại): tiện, nhưng người dùng dễ bấm đồng ý theo thói quen khi bị dồn yêu cầu.
- Mã qua tin nhắn: tốt hơn không có gì, nhưng yếu hơn các cách trên vì số điện thoại có thể bị chiếm.
Không cần chọn cách mạnh nhất cho mọi thứ. Dùng cách mạnh cho ngân hàng, hộp thư quản trị; cách tiện cho phần mềm dùng hằng ngày.
Ai giữ lớp thứ hai
Lớp thứ hai gắn với một thiết bị, và thiết bị gắn với một người. Nguyên tắc:
- Tài khoản cá nhân (mỗi nhân viên một tài khoản phần mềm kế toán): lớp thứ hai trên thiết bị của chính người đó.
- Tài khoản của doanh nghiệp (tài khoản thuế điện tử, tài khoản quản trị): đăng ký bằng số điện thoại, email của doanh nghiệp, lớp thứ hai trên thiết bị của doanh nghiệp hoặc có ít nhất hai người được giao.
- Lưu mã dự phòng (các mã dùng một lần do hệ thống cấp khi bật xác thực) trong kho mật khẩu hoặc phong bì niêm phong ở tủ khoá, giám đốc giữ.
Lỗi hay gặp nhất: tài khoản quan trọng của doanh nghiệp gắn lớp thứ hai vào điện thoại cá nhân của một kế toán. Người đó nghỉ phép, đổi máy hay nghỉ việc là cả doanh nghiệp bị khoá ngoài.
Mật khẩu vẫn quan trọng
- Mỗi hệ thống một mật khẩu riêng. Dùng chung một mật khẩu cho phần mềm kế toán, hộp thư và tài khoản thuế thì một chỗ lộ là lộ cả.
- Dùng kho mật khẩu cho doanh nghiệp thay cho sổ tay, tệp văn bản trên máy, hay nhóm chat.
- Không lưu mật khẩu tài khoản ngân hàng, tài khoản thuế trong trình duyệt của máy dùng chung.
- Đổi mật khẩu ngay khi có dấu hiệu lạ, khi có người nghỉ việc, khi máy bị nhiễm mã độc.
Nhận ra các chiêu vượt xác thực
Xác thực hai lớp chặn phần lớn tấn công, nhưng kẻ gian vẫn tìm cách lừa người dùng tự đưa lớp thứ hai:
- Gọi điện xin mã, tự xưng nhân viên ngân hàng, cán bộ thuế, bộ phận kỹ thuật. Không cơ quan, ngân hàng nào cần người dùng đọc mã xác thực qua điện thoại.
- Trang đăng nhập giả hỏi cả mật khẩu lẫn mã một lần. Luôn vào trang từ địa chỉ đã lưu, không bấm từ đường dẫn trong thư hoặc tin nhắn.
- Dồn yêu cầu xác nhận liên tục cho tới khi người dùng bấm đồng ý cho xong. Có yêu cầu xác nhận mà mình không đăng nhập thì từ chối và đổi mật khẩu.
- Thư giả mạo cơ quan thuế kèm tệp đính kèm hoặc đường dẫn “tra cứu thông báo”. Thông báo thật xem trong tài khoản thuế điện tử hoặc ứng dụng thuế chính thức.
Kiểm tra định kỳ
Mỗi quý, rà danh sách tài khoản quan trọng: đã bật xác thực hai lớp chưa, lớp thứ hai đang ở thiết bị của ai, mã dự phòng còn và cất ở đâu, số điện thoại, email khôi phục còn đúng không. Kiểm tra cả nhật ký đăng nhập nếu hệ thống cung cấp: đăng nhập từ nơi lạ, giờ lạ là dấu hiệu cần xem ngay.
Câu hỏi thường gặp
Tài khoản thuế điện tử có hỗ trợ xác thực hai lớp không?
Cơ quan thuế có các phương thức xác thực tuỳ theo từng dịch vụ và từng thời kỳ. Kiểm tra phần cài đặt bảo mật trong tài khoản, và cập nhật số điện thoại, email nhận thông báo là của doanh nghiệp.
Nhân viên không muốn cài ứng dụng xác thực trên điện thoại cá nhân thì sao?
Có thể cấp thiết bị xác thực vật lý hoặc điện thoại công ty. Đây là yêu cầu hợp lý của nhân viên, và giải pháp thiết bị riêng còn giúp thu hồi dễ khi nghỉ việc.
Mất điện thoại có lớp xác thực thì làm gì trước?
Dùng mã dự phòng để đăng nhập, gỡ thiết bị cũ và đăng ký thiết bị mới cho từng tài khoản. Báo ngân hàng nếu thiết bị có ứng dụng ngân hàng điện tử.
Xác thực hai lớp có làm chậm công việc hằng ngày không?
Chỉ thêm vài giây mỗi lần đăng nhập, và nhiều hệ thống cho ghi nhớ thiết bị tin cậy trong một thời gian. So với rủi ro mất tiền, mất dữ liệu, chi phí này rất nhỏ.
Doanh nghiệp rất nhỏ có cần kho mật khẩu không?
Nên có, kể cả bản miễn phí. Kho mật khẩu thay thế sổ tay và tệp văn bản, cho phép giám đốc truy cập khi người giữ vắng mặt.
