Nhiều dịch vụ chiếm đoạt tài khoản không cần thiết cho công nghệ phức tạp. Chỉ cần một mật khẩu quá dễ đoán hoặc một mật khẩu được hiển thị ở một nơi khác đã được sử dụng lại cho ngân hàng, kẻ gian đã có thể vào tài khoản.

Công an tỉnh Phú Thọ khuyến khích người dân “không sử dụng mật khẩu đơn giản hoặc sử dụng một mật khẩu cho nhiều tài khoản”. Mới đây, Cục An ninh mạng (Bộ Công an) cũng nhắc nhở người dân không cung cấp “tên đăng nhập, mật khẩu, mã OTP hay dữ liệu sinh trắc học cho bất kỳ ai”.

Dưới đây là 5 loại mật khẩu cần thay đổi ngay, chuẩn tối thiểu theo định nghĩa của Ngân hàng Nhà nước và lớp khóa thứ hai mà ai cũng nên bật.

5 kẻ mật khẩu gian lận dễ tìm nhất, không nên sử dụng

Ngày sinh của mình hoặc người. Đây là loại phổ biến vì dễ nhớ, nhưng ngày sinh thường được khai báo trên Facebook, Zalo hoặc trong ảnh chụp giấy tờ. Ngày sinh của con, vợ hay chồng cũng không an toàn hơn, vì kẻ gian có thể tìm ra cách tương tự.

Số điện thoại, số CCCD, biển số xe. Dãy số này được gắn với tài khoản chủ tài khoản và có thể nằm trong bộ dữ liệu cá nhân bị rò rỉ. Sử dụng chúng để làm mật khẩu hoặc mã PIN theo bất kỳ cách nào khác để trả khóa ngay ổ khóa cạnh.

Các số tiếp nhau hoặc lặp lại. Theo danh sách 200 mật khẩu phổ biến nhất năm 2025 do hãng bảo mật NordPass công bố vào tháng 11/2025, ba mật khẩu được sử dụng nhiều nhất thế giới là “123456”, “admin” và “12345678”. Danh sách được tổng hợp từ công khai và kho dữ liệu rò rỉ dữ liệu trên web đen trong giai đoạn 09/2024-09/2025.

Tên riêng cho việc ghép năm sinh hoặc ghép “@123”. Mật khẩu như “Hatinh@123” có đủ chữ hoa, chữ thường, số và ký tự đặc biệt, nhưng vẫn được Cổng thông tin điện tử Tỉnh Hà Tĩnh nêu làm ví dụ mật khẩu Yếu. Lý do cấu trúc này quá quen thuộc.

Một mật khẩu cho mọi tài khoản. Khi email hoặc một trang mua sắm được hiển thị dữ liệu, mật khẩu sẽ được thử ở các dịch vụ khác. Nếu tài khoản ngân hàng sử dụng mật khẩu chung, một lần rò rỉ là đủ để xảy ra lỗi.

Mật khẩu thế nào mới đạt được chuẩn?

Theo Thông tư 50/2024/TT-NHNN của Ngân hàng Nhà nước, có hiệu lực từ ngày 01/01/2025, mật khẩu dịch vụ ngân hàng trực tuyến phải dài tối thiểu 8 ký tự và bao gồm số, chữ hoa, chữ thường. Mã PIN dài tối thiểu 6 ký tự. Mật khẩu có mức tối đa hiệu lực là 12 tháng, còn mật khẩu mặc định chỉ có mức tối đa hiệu lực là 30 ngày. Thông tin cũng không cho phép ứng dụng Mobile Banking ghi nhớ truy cập mật khẩu.

8 character chỉ ở mức tối thiểu. Mật khẩu an toàn là mật khẩu không chứa thông tin cá nhân, không theo luật dễ đoán và không sử dụng lại bất kỳ dịch vụ nào khác. Người dùng cũng không nên lưu mật khẩu trong ghi chú điện thoại hoặc trong ảnh chụp màn hình.

Lớp thứ hai ai cũng nên bật

Theo Quyết định 2345/QĐ-NHNN có hiệu lực từ ngày 07/01/2024, ngân hàng phải xác thực khách hàng cá nhân khi giao dịch lần đầu trên ứng dụng hoặc khi giao dịch trên một thiết bị khác. Việc xác thực được thực hiện bằng cách đối chiếu sinh học với dữ liệu trong CCCD chip hoặc qua tài khoản điện tử. Các giao dịch chuyển tiền trên 10 triệu đồng hoặc khi tổng giao dịch trong ngày vượt quá 20 triệu đồng, phải qua bước xác thực ở mức cao hơn.

Từ ngày 01/03/2026, Thông tư 77/2025/TT-NHNN tiếp tục hoàn thiện. Ngân hàng ứng dụng phải tự động dừng hoạt động nếu điện thoại có dấu hiệu root, jailbreak, giả lập hoặc chèn mã. Khi kích hoạt trên thiết bị mới, khách hàng chỉ được sử dụng phiên bản ứng dụng mới nhất hoặc phiên bản toàn cầu đáp ứng yêu cầu mới nhất.

Với người chưa cập nhật sinh trắc học, cách phổ biến là mở ứng dụng ngân hàng, chọn bản cập nhật truy cập sinh trắc học, dán thẻ gắn CCCD chip vào điện thoại để quét, sau đó quay mặt nạ theo hướng dẫn. Người dùng nên bật tính năng đăng nhập bằng vân tay hoặc nhận diện khuôn mặt và cập nhật ứng dụng thường xuyên.