SIM swap là việc kẻ gian lừa nhà mạng chuyển số điện thoại của bạn sang SIM do chúng kiểm soát. Khi đó, cuộc gọi và SMS, gồm cả mã OTP, có thể đến tay kẻ gian thay vì điện thoại của bạn. Cách phòng tránh thực tế là đặt mã PIN riêng cho tài khoản nhà mạng, khóa chuyển số, giảm phụ thuộc vào SMS và chuẩn bị sẵn quy trình xử lý khi điện thoại đột ngột mất sóng.
Bài viết phù hợp với người dùng cá nhân, freelancer và người làm việc online muốn giữ số chính cho ngân hàng, email hoặc liên lạc gia đình. Số phụ và SMS OTP có thể phục vụ mục đích khác, nhưng không nên xem số tạm thời là kênh khôi phục lâu dài.
SIM swap là gì và vì sao mất sóng đột ngột?
Kẻ tấn công thường giả danh chủ thuê bao khi liên hệ bộ phận hỗ trợ. Chúng dùng những dữ liệu đã lộ như họ tên, ngày sinh hoặc thông tin tài khoản để yêu cầu chuyển số sang SIM mới hoặc chuyển mạng. TechCrunch mô tả rằng sau khi chuyển hoàn tất, kẻ gian có thể gọi, gửi và nhận tin nhắn như chủ số; dấu hiệu dễ nhận ra nhất đôi khi chỉ là điện thoại mất dịch vụ không rõ lý do.[Nguồn TechCrunch]
Rủi ro nằm ở chỗ số điện thoại thường được dùng cho đăng nhập, đặt lại mật khẩu và xác thực hai bước. Nếu email cũng dùng số đó để khôi phục, một cuộc tấn công có thể nối tiếp thành nhiều lần chiếm quyền. Vì vậy, đừng chờ đến lúc mất sóng mới kiểm tra bảo mật.
Cách bảo vệ số điện thoại khỏi SIM swap
1. Đặt PIN riêng cho tài khoản nhà mạng
Mã PIN của nhà mạng khác mã mở khóa màn hình. Hãy tạo một chuỗi ngẫu nhiên, không dùng ngày sinh, mã bưu chính hoặc bốn số cuối giấy tờ. Nếu nhà mạng có “mật khẩu tài khoản”, “mã chuyển mạng” hoặc lớp xác minh bổ sung, hãy bật chúng trong ứng dụng hoặc cổng khách hàng chính thức.
Ví dụ, nếu nhân viên hỗ trợ hỏi thông tin để đổi SIM, PIN riêng tạo thêm một bước kiểm tra mà dữ liệu công khai không thay thế được. Không gửi PIN qua tin nhắn cho người tự xưng là nhân viên hỗ trợ.
2. Khóa chuyển số và bật cảnh báo
Một số nhà mạng gọi tính năng này là khóa chuyển mạng, khóa chuyển SIM hoặc bảo vệ số. Tên gọi khác nhau theo quốc gia, nên hãy tìm trong phần bảo mật tài khoản thay vì đoán theo tên dịch vụ. Bật cảnh báo qua email hoặc ứng dụng cho các thay đổi về SIM, thiết bị và chuyển mạng.
Hãy kiểm tra ngay cả khi bạn chưa từng gặp sự cố. TechCrunch ghi nhận AT&T, T-Mobile và Verizon đều đã cung cấp các tùy chọn ngăn chuyển SIM hoặc chuyển số trái phép cho khách hàng tại Mỹ, nhưng cách bật và quyền của chủ tài khoản không giống nhau.[1]
3. Đổi SMS OTP cho tài khoản quan trọng
SMS tiện lợi nhưng phụ thuộc vào số điện thoại. Với email chính, ngân hàng, trình quản lý mật khẩu và tài khoản công việc, hãy ưu tiên ứng dụng tạo mã TOTP, khóa bảo mật hoặc mã dự phòng nếu dịch vụ hỗ trợ. Sau khi đổi, đăng xuất các phiên lạ và xóa số khỏi phương thức khôi phục không còn cần thiết.
Đừng xóa phương thức cũ trước khi thử phương thức mới. Mở một cửa sổ riêng, đăng nhập lại và xác nhận mã dự phòng hoạt động. Cách kiểm tra này mất vài phút nhưng tránh tình huống tự khóa tài khoản.
Có nên dùng số điện thoại ảo để giảm lộ số không?
Có thể, nhưng phải chọn đúng vai trò. Số tạm thời hoặc số dùng một lần phù hợp với biểu mẫu, dịch vụ ít quan trọng và những trường hợp bạn không muốn công khai số chính. Không nên dùng số dùng một lần cho ngân hàng, email chính, tài khoản quản trị hoặc bất kỳ nơi nào có thể yêu cầu mã khôi phục sau nhiều tháng.
Số dùng chung còn có rủi ro riêng: người khác có thể nhìn thấy tin nhắn, số có thể bị tái sử dụng và nền tảng đích có thể từ chối loại số đó. Khi cần thuê SIM nhận OTP, hãy kiểm tra quyền riêng tư của hộp thư, thời gian giữ số, chính sách hoàn tiền và việc số có dùng chung hay không.
Quy tắc đơn giản là: số tạm thời dành cho xác minh ngắn hạn, số kiểm soát lâu dài dành cho khôi phục. Nếu dịch vụ cho phép, sau lần xác minh đầu tiên hãy chuyển sang ứng dụng xác thực hoặc khóa bảo mật.
Điện thoại mất sóng: xử lý theo thứ tự nào?
Đừng vội khởi động lại nhiều lần rồi chờ. Hãy dùng một điện thoại khác gọi đường dây chống gian lận của nhà mạng, yêu cầu kiểm tra thay đổi SIM hoặc chuyển mạng, khóa tài khoản và khôi phục số nếu có giao dịch trái phép. Sau đó đổi mật khẩu email, ngân hàng và trình quản lý mật khẩu từ thiết bị đáng tin cậy.
- Ghi lại thời điểm mất sóng và mọi email cảnh báo.
- Kiểm tra hoạt động đăng nhập, thiết bị mới và yêu cầu đặt lại mật khẩu.
- Liên hệ ngân hàng nếu tài khoản dùng SMS để xác thực giao dịch.
- Đổi sang ứng dụng xác thực, khóa bảo mật hoặc mã dự phòng.
- Không đọc mã OTP cho người gọi đến, kể cả khi họ biết tên và nhà mạng của bạn.
Nếu phát hiện giao dịch lạ, báo ngay cho ngân hàng và nhà mạng; tốc độ phản hồi ảnh hưởng trực tiếp đến khả năng khóa thay đổi và điều tra. Sau khi xử lý xong, rà lại các tài khoản từng dùng số đó để tìm kênh khôi phục còn bỏ sót.
Danh sách kiểm tra mỗi sáu tháng
Đặt lịch hai lần mỗi năm để xem lại PIN nhà mạng, khóa chuyển số, email cảnh báo, thiết bị đăng nhập và phương thức MFA. Xóa số chính khỏi các biểu mẫu công khai không còn cần. Với công việc tự do, có thể tách số điện thoại công việc và cá nhân, nhưng số phục vụ tài khoản quan trọng vẫn cần được kiểm soát lâu dài.
Bảo vệ số điện thoại không phải là che giấu tuyệt đối. Mục tiêu là giảm nơi số xuất hiện, làm khó việc chuyển SIM và bảo đảm kẻ gian không thể dùng một mã SMS để mở khóa toàn bộ tài khoản. Hãy bắt đầu bằng PIN nhà mạng và một phương thức MFA không phụ thuộc SMS.