Xác thực hai yếu tố (2FA) từng được xem là "lá chắn thép" bảo vệ tài khoản trực tuyến của bạn khỏi những kẻ xâm nhập. Tuy nhiên, hình thức nhận mã xác thực qua tin nhắn SMS quen thuộc lại đang trở thành điểm yếu chí mạng, khi hàng triệu dữ liệu bảo mật từ các nền tảng lớn như Google, Meta hay Amazon... được phát hiện đã đi qua các lỗ hổng trung gian mà người dùng hoàn toàn không hay biết.

Nhận OTP qua tin nhắn SMS là điều hàng triệu người vẫn đang sử dụng hằng ngày

Phần lớn chúng ta đều quen thuộc với việc nhập mật khẩu, sau đó chờ một dãy số gửi về điện thoại qua tin nhắn văn bản để hoàn tất quá trình truy cập. Dù mang lại cảm giác tiện lợi, điểm yếu lớn nhất của hệ thống này là người dùng không thể kiểm soát được những ai có khả năng can thiệp và nhìn thấy mã xác thực trước khi nó thực sự hạ cánh vào thiết bị cá nhân.

Theo điều tra từ Bloomberg, để tối ưu hóa chi phí vận hành, nhiều tập đoàn công nghệ hiện nay đã quyết định thuê ngoài dịch vụ 2FA cho các đối tác trung gian. Việc đặt niềm tin vào các hệ thống chuyển tiếp viễn thông này đang vô tình mở ra cánh cửa cho những rủi ro an ninh mạng cực kỳ nghiêm trọng.

Một nguồn tin nội bộ trong ngành bảo mật đã cung cấp cho Bloomberg bằng chứng về khoảng 1 triệu tin nhắn chứa mã 2FA được gửi đi trong tháng 6 năm 2023 bị rò rỉ. Đáng chú ý, toàn bộ số tin nhắn này đều đi qua một công ty viễn thông tại Thụy Sĩ có tên Fink Telecom Services. Các tin nhắn bị rò rỉ chứa đầy đủ mã đăng nhập tự động và thông tin chi tiết về đường truyền từ hệ thống máy chủ đến thiết bị người nhận.

Danh sách những "nạn nhân" của lỗ hổng này quy tụ hàng loạt tên tuổi đình đám trong làng công nghệ như Amazon, Google, Meta, Snapchat, Tinder... Mặc dù giám đốc điều hành của Fink Telecom lên tiếng khẳng định công ty bị ràng buộc bởi luật pháp, không soi mói nội dung tin nhắn và đã ngừng các hoạt động giám sát, nhưng tính xác thực của kho dữ liệu rò rỉ này đã được các chuyên gia độc lập xác nhận là hoàn toàn hợp lệ sau khi đối chiếu.

Phương thức sử dụng mã xác thực OTP qua tin nhắn SMS đang dần lỗi thời và lộ rõ nhiều điểm nguy hiểm

Những sự cố an ninh liên quan đến tin nhắn SMS liên tục gióng lên hồi chuông cảnh báo cho cộng đồng mạng. Điển hình như tháng trước, nền tảng phân phối game Valve đã phải thừa nhận tin tặc có thể tiếp cận được số điện thoại và hồ sơ SMS 2FA của một lượng lớn tài khoản. Sự cố này buộc hàng loạt game thủ phải ngay lập tức thay đổi mật khẩu Steam để bảo vệ tài sản kỹ thuật số của mình.

Để tự bảo vệ bản thân trước bối cảnh tội phạm mạng ngày càng tinh vi, các chuyên gia an ninh mạng khuyến cáo người dùng nên sớm từ bỏ thói quen nhận mã qua tin nhắn. Thay vào đó, hãy chuyển sang các phương thức bảo mật khép kín hơn như xác minh sinh trắc học hoặc sử dụng các ứng dụng tạo mã xác thực chuyên dụng. Các giải pháp như Google Authenticator hay Microsoft Authenticator có khả năng tạo mã ngay trên thiết bị cục bộ mà không cần phụ thuộc vào bất kỳ đường truyền viễn thông nào, từ đó loại bỏ hoàn toàn nguy cơ bị đánh cắp dữ liệu trên không gian mạng.