Một mã đến cho một việc bạn không hề làm. Bản thân tin nhắn không nói cho bạn biết vì sao nó được gửi, và đó chính là chỗ khó: cùng một tin SMS ấy lại tương thích với vài tình huống rất khác nhau.
TL;DR: Đừng chuyển tiếp mã cho bất kỳ ai liên hệ với bạn về nó, và đừng làm theo các liên kết hay số điện thoại nằm trong tin nhắn. Hướng dẫn của Google cho một mã không ai yêu cầu là bỏ qua và xoá nó đi, và không chia sẻ nó. Ngoài chuyện đó ra, việc gì đáng làm tiếp còn tuỳ vào những thứ khác bạn quan sát được — mã có nêu tên một dịch vụ bạn thật sự dùng hay không, có thêm mã nào đến nữa không, trên tài khoản đó có gì khác lạ không, và dịch vụ di động của bạn có chạy bình thường không.
Ba việc cần làm trước tiên
- Đừng chuyển tiếp mã. Nếu có ai liên hệ với bạn để xin một mã đăng nhập, đăng ký hay khôi phục — qua cuộc gọi, chat hay tin nhắn — đừng đưa cho họ. Chỉ dùng luồng do chính bạn bắt đầu, bên trong ứng dụng hoặc trang chính thức của dịch vụ đó.
- Đừng làm theo các liên kết hay số điện thoại nằm trong chính tin nhắn. Việc một mã đến không làm cho phần chữ xung quanh nó trở thành thật.
- Nếu mã nêu tên một dịch vụ bạn có dùng, hãy tự mình mở dịch vụ đó — ứng dụng chính thức của nó, hoặc địa chỉ do bạn tự gõ — rồi xem tài khoản từ đó.
Trang trợ giúp của Google về mã xác minh không ai yêu cầu nêu rằng bạn có thể bỏ qua và xoá tin nhắn đó và không nên chia sẻ mã, đồng thời chỉ sang phần Kiểm tra bảo mật để rà soát rộng hơn.
Nó có thể có nghĩa là gì
Riêng tin nhắn thì không phân biệt được những khả năng này. Trang xử lý sự cố của Microsoft cho mã không ai yêu cầu nêu thẳng ba khả năng:
- Ai đó đang tìm cách truy cập một tài khoản.
- Ai đó nhập nhầm số điện thoại hoặc email khi đăng nhập.
- Một mã bạn đã yêu cầu trước đó bị chậm và bây giờ mới đến. Nếu bạn không chắc lần yêu cầu trước đó đi theo kênh nào, mã xác minh thực sự được gửi đi đâu nói về cách đọc đích tới.
Có thêm hai khả năng nữa đáng ghi nhớ:
- Tin nhắn có thể là mồi nhử. Một tin nhắn mang hình dạng mã xác minh có thể đi kèm một mưu toan khiến bạn gọi vào một số, bấm vào một liên kết, hoặc đọc mã cho ai đó.
- Số điện thoại có thể đang mang lịch sử của người giữ trước. Số được cấp lại, và đó cũng chính là cơ chế đứng sau một số về tay bạn khi đã đăng ký WhatsApp sẵn.
Đây đều là khả năng, không phải chẩn đoán. Muốn phân biệt chúng thì cần thứ gì đó ngoài tin SMS, chẳng hạn chính tài khoản đó.
Nên xem gì, theo những thứ bạn quan sát được
| Thứ bạn quan sát được | Nó tương thích với | Phản ứng tương xứng |
|---|---|---|
| Một mã, cho một dịch vụ bạn không dùng | Ai đó nhập nhầm số, một tin nhắn đến chậm, hoặc một mưu toan nhắm vào tài khoản không phải của bạn | Bỏ qua và xoá đi; đừng nhập nó vào đâu cả |
| Một mã, cho một dịch vụ bạn có dùng | Bất kỳ khả năng nào ở trên, kể cả một mưu toan | Tự mở dịch vụ đó và xem trang bảo mật của nó |
| Thêm nhiều mã tiếp tục đến | Các lần thử lặp lại, hoặc một dịch vụ đang gửi lại | Xem lại thiết lập bảo mật của tài khoản được nêu tên và củng cố bước đăng nhập |
| Có người liên hệ để xin mã | Một mưu toan lấy mã từ bạn | Đừng đưa; kết thúc liên lạc; báo qua kênh chính thức của dịch vụ đó |
| Có thứ lạ trên tài khoản — một phiên, một thiết bị, hay một phương thức khôi phục bị đổi | Có khả năng đã có người truy cập | Dùng các công cụ của chính dịch vụ đó, bắt đầu từ phương thức khôi phục |
| Dịch vụ di động đột ngột ngừng hoạt động | Sự cố mạng, lỗi SIM hoặc thiết bị, hoặc một thay đổi trên thuê bao | Liên hệ nhà mạng của bạn — xem bên dưới |
Phương thức khôi phục đáng soi kỹ nhất
Nếu sau một mã bất ngờ bạn chỉ kiểm tra đúng một phần của tài khoản, hãy chọn phần này.
Quyền truy cập vào một tài khoản có thể được làm cho bền vững bằng cách đổi phương thức khôi phục của nó — email dự phòng, số điện thoại khôi phục, thiết bị tin cậy, phiên đã liên kết. Đặt lại mật khẩu không nhất thiết hoàn tác được chuyện đó, vì đường quay vào đã bị trỏ sang chỗ khác.
Vậy nên trên trang bảo mật của tài khoản, hãy tìm cụ thể:
- một email khôi phục bạn không còn nhận ra hoặc không mở được;
- một số điện thoại khôi phục không phải của bạn;
- thiết bị đã liên kết hoặc phiên đang hoạt động mà bạn không nhận ra;
- ứng dụng đã kết nối hoặc mật khẩu ứng dụng, vốn có cách hành xử sau khi đổi mật khẩu khác nhau tuỳ dịch vụ — hãy xem tài liệu của chính dịch vụ đó thay vì mặc định rằng chúng đã bị thu hồi.
Google có ghi rõ cách xem lại hoạt động và thiết bị của tài khoản đối với tài khoản của họ.
Nếu điện thoại của bạn mất sóng
Mất dịch vụ di động có những nguyên nhân bình thường: sự cố mạng, SIM hỏng hoặc bị xê dịch, lỗi thiết bị, vấn đề về cước.
Nó cũng có thể đi kèm một thay đổi trên chính thuê bao. Thứ khiến chuyện này đáng gọi cho nhà mạng ngay là tổ hợp — dịch vụ ngừng hoạt động mà không có lý do thông thường nào, nhất là khi đi kèm với những thông báo về thay đổi tài khoản, chuyển số hay yêu cầu chuyển mạng mà bạn không hề khởi tạo.
Hãy liên hệ nhà mạng qua một số bạn tự tra ra, đừng dùng số lấy từ một tin nhắn. Lấy một nhà mạng làm ví dụ, hướng dẫn của AT&T tại Mỹ đề nghị khách hàng nghi ngờ có một vụ chuyển số trái phép hãy liên hệ ngay với họ; các nhà mạng khác có quy trình và kênh liên hệ riêng, nên hãy dùng của chính nhà cung cấp bạn đang dùng. Riêng việc mất sóng không chứng minh rằng một số đã bị chuyển đi; nó là lý do để kiểm tra nhanh, vì quyền kiểm soát một thuê bao quyết định việc đăng nhập và khôi phục dựa trên SMS.
Hai tình huống đáng đi qua từng bước
Đây là minh hoạ, không phải báo cáo về tài khoản có thật.
Một mã từ dịch vụ bạn chưa bao giờ dùng. Nó nêu tên một sàn thương mại điện tử mà bạn không có tài khoản. Chẳng có gì của bạn cần bảo vệ ở đó. Hãy bỏ qua và xoá nó, và đừng tạo tài khoản ở đó để điều tra — làm vậy là biến một tin nhắn lạc thành một dấu chân có thật. Nếu có thêm tin từ cùng dịch vụ đó, kênh bảo mật hoặc trợ giúp của chính họ là nơi để báo; các sàn có công bố hướng dẫn, ví dụ trang trợ giúp về bảo mật tài khoản của Shopee Indonesia. WhatsApp cũng công bố hướng dẫn cho một mã bạn không yêu cầu.
Một mã từ dịch vụ bạn có dùng, hai lần trong mười phút. Ở đây thì có thứ để kiểm tra. Hãy mở ứng dụng chính thức của dịch vụ đó, vào trang bảo mật, và đọc lần lượt hoạt động đăng nhập, danh sách thiết bị, rồi các phương thức khôi phục, theo đúng thứ tự ấy. Nếu mọi thứ khớp với những gì bạn dự kiến, củng cố bước đăng nhập là phản ứng hợp lý. Còn nếu ngược lại, tài khoản đang từ chối một số bạn định thêm vào, thì đó là chuyện khác — xem thông báo từ chối số điện thoại của Google nghĩa là gì. Nếu có một phương thức khôi phục bạn không nhận ra thì đó chính là phát hiện, và các công cụ khôi phục cùng bảo mật của chính dịch vụ đó là nơi để xử lý.
Nếu bạn đã lỡ đưa mã cho ai đó
Chuyện này vẫn xảy ra, và áp lực mà người ta tạo ra vốn được thiết kế để có hiệu quả. Việc cần làm phụ thuộc vào việc bạn còn vào được tài khoản hay không.
Nếu bạn vẫn còn quyền truy cập:
- Mở thẳng dịch vụ đó — ứng dụng của nó, hoặc địa chỉ do bạn tự gõ.
- Xem các phương thức khôi phục trước tiên và khôi phục lại những cái đã bị đổi.
- Xem thiết bị đã liên kết và phiên đang hoạt động. Đăng xuất những cái bạn không nhận ra; hãy cẩn thận khi đăng xuất tất cả cùng lúc nếu phiên bạn đang giữ là đường vào duy nhất của bạn.
- Đổi thứ thông tin xác thực mà dịch vụ đó thật sự dùng. Không phải dịch vụ nào cũng dùng mật khẩu theo kiểu thông thường — WhatsApp chẳng hạn được tổ chức quanh số đăng ký và mã PIN hoặc mật khẩu hai bước do ứng dụng cung cấp — nên hãy dùng đúng thứ mà trang bảo mật của dịch vụ đó đưa ra.
- Bật yếu tố thứ hai mạnh nhất hiện có, lưu ý rằng một yếu tố đăng nhập không tự động trở thành phương thức khôi phục.
Nếu bạn đã mất quyền truy cập: hãy đi thẳng tới quy trình khôi phục tài khoản chính thức của dịch vụ đó. Đừng tiếp tục thử các cách đăng nhập khác, và đừng tiếp chuyện người đã liên hệ với bạn.
Nếu có tiền đã bị chuyển hoặc có hành động đã được thực hiện, hãy báo thẳng vào kênh xử lý chính thức của dịch vụ đó — một đơn vị thanh toán, một ngân hàng hay một sàn thương mại điện tử đều có quy trình riêng cho việc này.
Không có trình tự nào bảo đảm rằng mọi hậu quả đều được hoàn tác. Mục tiêu là đóng lại các đường quay vào.
Nếu bạn muốn báo cáo
Hãy báo qua kênh chính thức của dịch vụ mà tin nhắn tự nhận là nơi gửi. Những thứ hữu ích nên kèm theo:
- rằng bạn đã nhận được một mã xác minh mà bạn không yêu cầu;
- ngày giờ áng chừng;
- tên dịch vụ hoặc tên người gửi hiển thị;
- số của bạn đã che bớt, chỉ để lại vài chữ số cuối.
Hãy giữ ở ngoài mọi báo cáo: bản thân mã, mật khẩu, và mã khôi phục. Bằng chứng đã che bớt — ví dụ một ảnh chụp màn hình với phần mã bị bôi đen — là một thứ khác với bản thân mã. Hãy làm theo yêu cầu về bằng chứng của biểu mẫu bạn đang dùng, đồng thời vẫn giữ mã, mật khẩu và mã khôi phục ở ngoài.
Nếu bạn thuê một hộp thư từ chúng tôi, hãy nhớ rằng một số thuê có thể mang theo những liên kết cũ và có thể được cấp cho người khác sau đó, nên một tin nhắn chẳng liên quan gì tới bạn là chuyện bình thường chứ không phải tín hiệu về tài khoản của bạn. Riêng một tin nhắn bất ngờ thì không xác lập được rằng có thứ gì của bạn bị ảnh hưởng. Nhưng nếu mã nêu tên một dịch vụ bạn thật sự dùng, hãy đối xử với nó như bất kỳ tài khoản nào khác của bạn và kiểm tra như bình thường. Nếu bạn tin rằng một đơn hàng có vấn đề, một ticket hỗ trợ kèm Order ID là đường đi, và FAQ nêu rõ một đơn hàng xác lập được gì và không xác lập được gì.
Giới hạn của hướng dẫn này
- Một tin nhắn đơn lẻ không xác lập được ai đã yêu cầu mã hay vì sao. Chúng tôi không thể nhận diện người khởi tạo từ một tin SMS đã nhận; dịch vụ đích có thể lưu nhật ký hoạt động, và ngay cả những nhật ký đó cũng không xác lập danh tính của một người.
- Những khả năng liệt kê ở đây là khả năng. Phân biệt được chúng thì cần tới tài khoản, không phải tin nhắn.
- Các công cụ bảo mật và tên gọi của chúng khác nhau giữa các dịch vụ và thay đổi theo thời gian. Trang bảo mật của chính dịch vụ đó mới là thứ có hiệu lực.
- Không trình tự nào bảo đảm rằng một vụ xâm nhập được đảo ngược hoàn toàn.
FAQ
Một mã bất ngờ có nghĩa là tài khoản của tôi đã bị truy cập không?
Không — nó tương thích với nhiều tình huống, trong đó có việc ai đó nhập nhầm số, một yêu cầu cũ bị chậm, và một mưu toan không thành công. Với một mã đơn lẻ, hướng dẫn của Google là bỏ qua và xoá nó đi mà không chia sẻ.
Có người nói họ gửi nhầm và nhờ tôi chuyển tiếp mã. Tôi có nên không?
Không. Đừng chuyển tiếp mã đăng nhập, đăng ký hay khôi phục cho bất kỳ ai liên hệ với bạn. Nếu yêu cầu của họ là thật, họ có thể tự bắt đầu lại luồng đó.
Các bạn tìm ra được ai đã yêu cầu mã không?
Chúng tôi không tìm ra được. Một tin SMS đã nhận không mang theo thông tin đó, và chúng tôi không nhìn thấy được gì ở phía dịch vụ đã yêu cầu. Bản thân dịch vụ đó có thể lưu nhật ký hoạt động, nhưng nhật ký cho thấy các yêu cầu và thiết bị, chứ không xác lập danh tính của một người.
Tôi liên tục nhận được mã từ cùng một dịch vụ. Giờ sao?
Nếu đó là tài khoản bạn dùng, hãy mở thẳng nó và xem hoạt động đăng nhập, thiết bị và phương thức khôi phục, rồi củng cố bước đăng nhập. Nếu đó không phải tài khoản của bạn thì chẳng có gì của bạn cần bảo vệ; hãy báo qua kênh chính thức của dịch vụ đó thay vì đăng ký tài khoản để điều tra.
Điện thoại tôi mất sóng vào khoảng cùng lúc đó. Có liên quan không?
Có thể có, mà cũng có thể chỉ là sự cố mạng, lỗi SIM hay lỗi thiết bị. Tổ hợp đáng xử lý nhanh là mất dịch vụ không rõ nguyên nhân đi cùng với thông báo về thay đổi tài khoản hay chuyển số mà bạn không hề khởi tạo. Hãy gọi nhà mạng qua một số bạn tự tra ra.
Đổi sang số điện thoại khác có chấm dứt được chuyện này không?
Không, nếu xem như một câu trả lời chung — số nào cũng có thể nhận một mã lạc, và thứ bảo vệ một tài khoản nằm ở chính các công cụ của tài khoản đó. Đổi số là quyết định cho những hoàn cảnh cụ thể, chẳng hạn khi bị liên lạc quấy rầy kéo dài, chứ không phải phản ứng thường quy cho một tin nhắn.
Tôi nhận được mã trên một số đi thuê. Có phải điềm xấu không?
Tự nó thì không. Một số thuê có thể mang theo những liên kết cũ và có thể được cấp cho người khác về sau, nên những tin nhắn không liên quan là chuyện bình thường. Đừng nhập chúng vào đâu cả. Nếu mã nêu tên một dịch vụ chính bạn có dùng, hãy kiểm tra tài khoản đó như bình thường.