Xác thực đa yếu tố (MFA) giúp giảm rủi ro khi mật khẩu bị lộ, nhưng không phải mọi phương thức MFA đều chống được lừa đảo. Mã OTP qua ứng dụng, tin nhắn hoặc cuộc gọi vẫn có thể bị kẻ gian đánh cắp nếu người dùng nhập mã vào một trang giả mạo hoặc đọc mã cho đối tượng tự xưng là nhân viên hỗ trợ. Một tình huống thường gặp là người dùng nhận được email cảnh báo tài khoản sắp bị khóa. Liên kết trong email dẫn đến trang đăng nhập có giao diện giống dịch vụ thật. Sau khi nạn nhân nhập mật khẩu, trang giả mạo yêu cầu mã OTP. Kẻ tấn công dùng thông tin đó để đăng nhập vào trang thật trong thời gian ngắn. Nếu nạn nhân còn bấm chấp thuận liên tục trên ứng dụng xác thực, họ có thể mắc phải kiểu lừa đảo lợi dụng sự mệt mỏi vì thông báo. Lựa chọn mạnh hơn là passkey hoặc khóa bảo mật theo chuẩn FIDO2/WebAuthn. Cơ chế này dùng cặp khóa mật mã và gắn việc xác thực với đúng tên miền, nên thông tin bí mật không được gửi cho trang giả mạo. Passkey có thể nằm trên điện thoại, máy tính hoặc thiết bị phần cứng. Tuy vậy, đây vẫn không phải giải pháp tự động hoàn hảo: quy trình đăng ký, khôi phục và hỗ trợ người dùng phải được thiết kế an toàn. Khi triển khai MFA chống lừa đảo, doanh nghiệp nên: - Ưu tiên bảo vệ tài khoản quản trị, email doanh nghiệp, hệ thống VPN và công cụ quản lý mã nguồn. - Bật passkey hoặc khóa bảo mật cho nhóm quản trị trước, sau đó mở rộng theo từng phòng ban. - Hạn chế SMS như phương án chính; nếu buộc phải dùng, hãy coi đây là lớp chuyển tiếp và đặt kế hoạch nâng cấp. - Tắt hoặc giới hạn các yêu cầu chấp thuận đăng nhập bất thường, đồng thời hiển thị thông tin thiết bị và vị trí để người dùng dễ nhận biết. - Chuẩn bị ít nhất một phương án dự phòng an toàn, chẳng hạn khóa thứ hai được cất giữ trong tủ kiểm soát, thay vì dùng quy trình đặt lại qua email cá nhân. - Huấn luyện bộ phận hỗ trợ không tắt MFA chỉ dựa trên một cuộc gọi. Việc khôi phục phải yêu cầu xác minh danh tính theo quy trình độc lập. Ngoài công nghệ, hãy kiểm tra định kỳ danh sách thiết bị và phương thức MFA đang liên kết với từng tài khoản. Khi nhân viên nghỉ việc, mất điện thoại hoặc nghi ngờ bị lừa, cần thu hồi phiên đăng nhập, vô hiệu hóa khóa đã mất và cấp lại phương thức xác thực theo quy trình được ghi nhận. MFA hiệu quả không chỉ là bật một công tắc, mà là giảm cả khả năng bị lừa lẫn hậu quả khi người dùng gặp sự cố.