Phần lớn chúng ta đều có một "bẫy cảnh báo" trong đầu cho việc "tài khoản của mình bị hack": một email đặt lại mật khẩu mà ta không hề yêu cầu, một tin nhắn báo có đăng nhập từ một thành phố lạ, một tài khoản bỗng nhiên bị khóa. Bẫy cảnh báo đó từng rất hợp lý khi mối đe dọa chính là ai đó đoán hoặc dò mật khẩu của bạn. Nhưng nó gần như vô dụng trước các phương thức truy cập xuất hiện trong những vụ việc gần đây, vốn được thiết kế đặc biệt để không kích hoạt nó.
Hai ví dụ trong vài tuần qua minh họa cho khuôn mẫu này. Malwarebytes đã ghi nhận một vụ lừa đảo qua WhatsApp (công bố ngày 3 tháng 8 năm 2026), trong đó nạn nhân được dẫn dắt qua thứ trông giống như "thiết lập WhatsApp Web" — đôi khi ngay trên tên miền wa.me chính chủ — và cuối cùng nhập một mã liên kết thiết bị của kẻ tấn công với tài khoản của họ. Không có mật khẩu nào được gõ vào bất cứ đâu, nên không có email đặt lại mật khẩu nào được gửi đi và không có cảnh báo đăng nhập thất bại nào được kích hoạt. Thiết bị của kẻ tấn công chỉ đơn giản trở thành một mục âm thầm khác trong danh sách thiết bị liên kết của tài khoản, với đầy đủ quyền đọc và gửi tin, thứ mà chúng sau đó dùng để thực hiện chính trò lừa đảo này với danh bạ của nạn nhân. Riêng biệt, Microsoft đã cảnh báo về một chiến dịch mà họ gọi là "CaptiveCrunch", chặn bắt những người đi công tác trên các cổng Wi-Fi captive portal của khách sạn và hội nghị, chuyển hướng họ tới các trang đăng nhập giả mạo nhằm thu thập không chỉ mật khẩu mà cả mã thiết bị và token OAuth — những thông tin xác thực cấp quyền truy cập mà không bao giờ tạo ra loại thông báo "đăng nhập mới" như khi đổi mật khẩu.
Điểm chung: cả hai kiểu tấn công đều nhắm vào cơ chế phiên và ủy quyền — thiết bị liên kết, cấp quyền OAuth, mã thiết bị — thay vì bản thân mật khẩu. Hệ thống cảnh báo tích hợp sẵn của tài khoản bạn được thiết kế để canh chừng cửa trước. Còn những phương thức này lại đi vào qua cửa sau mà nó không hề giám sát.
Vậy thực sự nên làm gì
Bạn không thể ngồi chờ một thông báo sẽ chẳng bao giờ đến. Thay vào đó, hãy coi việc tự kiểm tra các thiết bị liên kết và ứng dụng được cấp quyền trên tài khoản của mình như một thói quen định kỳ tự thực hiện, giống như cách bạn kiểm tra pin của máy báo khói. Dưới đây là một quy trình cụ thể, theo thứ tự:
1. Kiểm tra thiết bị liên kết/đang hoạt động trên các ứng dụng nhắn tin
- WhatsApp: Cài đặt → Thiết bị liên kết. Bất cứ thiết bị nào bạn không nhận ra, hãy nhấn vào và chọn "Đăng xuất."
- Telegram: Cài đặt → Thiết bị. Tương tự — kết thúc mọi phiên không phải là thiết bị đang thực sự nằm trong tay bạn lúc này.
- Signal: Cài đặt → Thiết bị liên kết, kiểm tra tương tự.
2. Kiểm tra các phiên đang hoạt động và quyền truy cập của ứng dụng bên thứ ba trên các tài khoản chính của bạn
- Google: myaccount.google.com/security → "Thiết bị của bạn" và "Ứng dụng bên thứ ba có quyền truy cập tài khoản." Thu hồi bất cứ thứ gì lạ, và đặc biệt chú ý đến những ứng dụng bạn đã cấp quyền từ nhiều tháng hoặc nhiều năm trước rồi quên mất — một lượt cấp quyền cũ vẫn có thể bị kẻ tấn công lợi dụng y như một lượt cấp quyền mới.
- Microsoft: account.microsoft.com/security → "Hoạt động đăng nhập" và "Quyền ứng dụng."
- Apple ID: Cài đặt → [tên của bạn] → kiểm tra danh sách thiết bị ở cuối trang.
- Facebook/Instagram: Cài đặt → "Nơi bạn đã đăng nhập" / "Phiên đang hoạt động," cùng với "Ứng dụng và trang web" để kiểm tra quyền truy cập của bên thứ ba đã kết nối.
3. Cảnh giác với bất kỳ quy trình nào yêu cầu bạn nhập mã thay vì mật khẩu
Các quy trình "liên kết thiết bị này" hợp lệ vẫn dùng mã — điều đó tự nó không phải là dấu hiệu đáng ngờ. Điều cần khiến bạn dừng lại là nguyên nhân xuất hiện: nếu một lời nhắc nhập mã xuất hiện vì một tin nhắn từ người quen ("bình chọn cho tôi," "xem cái này"), một cổng Wi-Fi công cộng, hoặc bất kỳ liên kết nào bạn không tự mình khởi tạo, hãy coi đó là nguy hiểm cho đến khi chứng minh được điều ngược lại. Đóng nó lại và tự mở ứng dụng hoặc tài khoản trực tiếp thay vì tiếp tục từ liên kết đó.
4. Kiểm tra xem email của bạn có từng xuất hiện trong một vụ rò rỉ dữ liệu đã biết hay không
Have I Been Pwned (haveibeenpwned.com), do nhà nghiên cứu bảo mật Troy Hunt vận hành, là một dịch vụ miễn phí, đã được thiết lập uy tín từ lâu để kiểm tra xem địa chỉ email của bạn có xuất hiện trong các vụ rò rỉ dữ liệu đã biết hay không — nó đủ đáng tin cậy đến mức các chính phủ quốc gia cũng dùng nó cho tên miền của chính họ (trung tâm an ninh mạng quốc gia của Nepal đã trở thành chính phủ thứ 47 tham gia, theo tin tức tuần này). Nó sẽ không phát hiện được việc thiết bị liên kết bị xâm nhập, nhưng đây là một cách kiểm tra nhanh, miễn phí, đáng thực hiện với các địa chỉ email chính của bạn, và là bước đầu tiên nên làm nếu bạn nghi ngờ có vấn đề với tài khoản nhưng không biết bắt đầu từ đâu.
5. Trên các mạng không đáng tin cậy — Wi-Fi khách sạn, Wi-Fi hội nghị, Wi-Fi sân bay — tránh đăng nhập vào bất cứ thứ gì nhạy cảm ngay trên chính trang captive portal
Nếu trang đăng nhập Wi-Fi của khách sạn hay địa điểm nào đó yêu cầu cập nhật phần mềm, hiện hộp thoại "kiểm tra bảo mật," hoặc yêu cầu đăng nhập Microsoft/Google trước khi cho phép truy cập internet, hãy cẩn trọng — kết nối trước, rồi thực hiện các lượt đăng nhập thực sự trên kết nối di động của điện thoại hoặc qua VPN, thay vì qua bất kỳ trang nào mà mạng đó đưa cho bạn.
Đưa việc này vào lịch
Một lượt dọn dẹp duy nhất chỉ giải quyết vấn đề hôm nay, chứ không phải vấn đề của quý tới. Hãy chọn một lời nhắc định kỳ — hàng quý là một nhịp độ hợp lý, hoặc gắn nó với việc gì đó bạn đã làm đều đặn, như đổi mùa hay một hóa đơn định kỳ — rồi thực hiện lại bước 1 và 2 ở trên cho hai hoặc ba tài khoản quan trọng nhất của bạn: email chính, ứng dụng nhắn tin bạn dùng nhiều nhất, và bất kỳ tài khoản nào liên quan đến tài chính. Việc này mất chưa đến mười lăm phút một khi bạn đã biết các menu nằm ở đâu, và đó là cách đáng tin cậy duy nhất để phát hiện những truy cập được thiết kế đặc biệt để không cảnh báo bạn.
