Tin tức

Thông số kĩ thuật

Chi tiết sản phẩm

Sự chấm dứt của kỷ nguyên xác thực qua SMS

Trong nhiều năm qua, việc nhận mã xác thực qua tin nhắn SMS được coi là tiêu chuẩn cơ bản cho xác thực đa yếu tố (2FA). Tuy nhiên, với sự trỗi dậy mạnh mẽ của trí tuệ nhân tạo (AI), phương thức này đã bộc lộ những lỗ hổng bảo mật nghiêm trọng. Các cuộc tấn công như đánh cắp SIM (SIM swapping) hay lừa đảo tinh vi dựa trên AI đã khiến mã OTP qua tin nhắn không còn là 'lá chắn' an toàn.

Nhận thấy mối đe dọa này, Microsoft đã chính thức công bố lộ trình ngừng hỗ trợ hoàn toàn xác thực qua SMS. Cụ thể, bắt đầu từ ngày 1.2.2027, các quản trị viên IT sẽ không thể sử dụng phương thức này để đăng nhập vào Microsoft Entra ID. Đây là một động thái quyết liệt nhằm ép buộc các tổ chức và cá nhân chuyển sang các tiêu chuẩn bảo mật cao cấp hơn.

Tại sao SMS không còn là lựa chọn an toàn?

Các chuyên gia bảo mật từ lâu đã khuyến cáo rằng xác thực 2FA qua SMS dễ bị tổn thương bởi các cuộc tấn công trung gian. Tin tặc có thể sử dụng AI để thao túng người dùng, tạo ra các trang web giả mạo hoặc thực hiện tấn công phi kỹ thuật để lấy mã OTP trong thời gian thực.

Những hạn chế của SMS trong bảo mật hiện đại:

• Dễ bị chặn: Mã SMS được gửi qua mạng viễn thông, vốn không có cơ chế mã hóa đầu cuối mạnh mẽ như các ứng dụng xác thực chuyên dụng.
• Tấn công SIM Swapping: Tin tặc có thể chiếm quyền điều khiển số điện thoại của người dùng để nhận mã xác thực thay cho chủ sở hữu.
• Lừa đảo dựa trên AI: Các mô hình AI có khả năng tạo ra các kịch bản lừa đảo cá nhân hóa, khiến người dùng vô tình cung cấp mã xác thực cho kẻ gian.

Tương lai với công nghệ Passkey và sinh trắc học

Để thay thế cho SMS, Microsoft đang thúc đẩy mạnh mẽ việc sử dụng passkey (khóa mật mã) và các phương thức sinh trắc học. Khác với mật khẩu truyền thống hay mã OTP, passkey lưu trữ thông tin xác thực trực tiếp trên thiết bị của người dùng, giúp loại bỏ hoàn toàn nguy cơ rò rỉ dữ liệu từ máy chủ.

Lộ trình chuyển đổi cho người dùng:

Từ ngày 1.9, hệ thống Entra sẽ chủ động yêu cầu người dùng thiết lập các phương thức đăng nhập mới thay thế cho SMS. Mặc dù passkey mang lại độ bảo mật vượt trội, các chuyên gia cũng lưu ý rằng việc bảo vệ thiết bị cá nhân vẫn là ưu tiên hàng đầu, bởi mã độc vẫn có thể tìm cách khai thác thông tin từ bộ nhớ trình duyệt nếu thiết bị bị nhiễm virus.

Lời khuyên từ chuyên gia cho người dùng cá nhân

Mặc dù lộ trình hiện tại tập trung vào đối tượng doanh nghiệp (Entra ID), nhưng xu hướng này sẽ sớm áp dụng cho tất cả người dùng Windows Home và Professional. Để chủ động bảo vệ dữ liệu cá nhân, bạn nên thực hiện các bước sau ngay từ bây giờ:

• Chuyển sang ứng dụng xác thực: Hãy bắt đầu sử dụng các ứng dụng như Microsoft Authenticator, Google Authenticator hoặc các trình quản lý mật khẩu có hỗ trợ passkey thay vì nhận SMS.
• Kích hoạt sinh trắc học: Tận dụng tối đa cảm biến vân tay hoặc nhận diện khuôn mặt (Windows Hello) trên thiết bị của bạn.
• Cảnh giác với mọi yêu cầu mã OTP: Tuyệt đối không cung cấp mã xác thực cho bất kỳ ai, kể cả khi họ tự xưng là nhân viên hỗ trợ kỹ thuật.

Việc Microsoft 'khai tử' SMS là một bước đi tất yếu trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi. Việc sớm thích nghi với công nghệ bảo mật mới không chỉ giúp tài khoản của bạn an toàn hơn mà còn là cách để chúng ta cùng xây dựng một môi trường số lành mạnh hơn.