Cách tạo và quản lý mật khẩu an toàn (hiểu đúng để làm đúng)

Lời khuyên “đặt mật khẩu mạnh” được nhắc khắp nơi, nhưng hiếm ai giải thích vì sao. Khi hiểu mật khẩu thực sự bị lộ bằng cách nào, bạn sẽ thấy nhiều “quy tắc” quen thuộc là sai hoặc thừa, và biết tập trung công sức vào đúng chỗ. Bài này đi từ cơ chế đến hành động cụ thể.

Mật khẩu bị lộ bằng những cách nào?

Có ba con đường phổ biến, và mỗi con đường gợi ý một cách phòng vệ khác nhau:

1. Rò rỉ dữ liệu hàng loạt. Một dịch vụ bạn từng đăng ký bị hack, lộ cả kho email + mật khẩu. Đây là cách phổ biến nhất — và nó không liên quan đến việc mật khẩu của bạn mạnh hay yếu.
2. Dùng lại mật khẩu (credential stuffing). Sau khi có email + mật khẩu lộ từ chỗ A, kẻ xấu thử đúng cặp đó trên hàng loạt dịch vụ khác (ngân hàng, email, mạng xã hội). Nếu bạn dùng chung một mật khẩu, mất một là mất tất.
3. Dò mật khẩu (brute force) và lừa đảo (phishing). Máy tính thử hàng loạt khả năng cho đến khi trúng; hoặc bạn bị dụ tự nhập mật khẩu vào trang giả.

Nhìn vào đây, hai bài học quan trọng nhất hiện ra ngay: đừng dùng lại mật khẩu (chặn đường số 2) và mật khẩu phải khó dò (chặn đường số 3). Ta sẽ giải quyết lần lượt.

Vì sao “độ dài” quan trọng hơn “ký tự đặc biệt”?

Quy tắc “phải có hoa, thường, số, ký tự đặc biệt” đã ăn sâu, nhưng nó đánh lạc hướng. Lý do nằm ở toán học của việc dò mật khẩu: mỗi ký tự bạn thêm vào làm số tổ hợp cần thử tăng theo cấp số nhân. Tăng độ dài giúp ích nhiều hơn hẳn việc nhồi vài ký hiệu vào một mật khẩu ngắn.

So sánh thực tế:

• P@ss1! — ngắn, rắc rối, khó nhớ với người nhưng dễ dò với máy.
• ngua-pin-bien-mua-tao — một cụm từ dài gồm các từ ngẫu nhiên: dễ nhớ với bạn, nhưng số khả năng lớn đến mức việc dò cạn trở nên bất khả thi trong thực tế.

Đây chính là phương pháp passphrase (cụm mật khẩu): ghép 4–5 từ ngẫu nhiên, không liên quan đến nhau và không liên quan đến bạn. Tránh các cụm đoán được như tên, ngày sinh, “matkhau123”. Một passphrase tốt vừa mạnh vừa dễ gõ — bạn không phải đánh đổi.

Đừng dùng lại mật khẩu — nhưng làm sao nhớ hết?

Nếu mỗi dịch vụ cần một mật khẩu riêng, không ai nhớ nổi hàng chục cụm khác nhau. Đây là lúc trình quản lý mật khẩu (password manager) vào cuộc, và cách nó hoạt động giải toả luôn nỗi lo “để hết trứng một giỏ”:

• Nó lưu toàn bộ mật khẩu của bạn ở dạng đã mã hoá, chỉ mở được bằng một mật khẩu chủ (master password) duy nhất mà chỉ bạn biết.
• Ngay cả công ty cung cấp dịch vụ cũng không đọc được kho mật khẩu của bạn, vì họ không giữ mật khẩu chủ.
• Nó tự sinh mật khẩu ngẫu nhiên cực mạnh cho từng trang và tự điền khi cần — bạn chỉ phải nhớ đúng một mật khẩu chủ.

So với thực tế nhiều người đang làm — dùng lại một mật khẩu, hoặc ghi ra sổ/ghi chú điện thoại — trình quản lý mật khẩu an toàn hơn rất nhiều. Có nhiều lựa chọn miễn phí đủ dùng cho cá nhân. Việc duy nhất bạn cần làm thật tốt: đặt mật khẩu chủ thật mạnh (một passphrase dài) và đừng bao giờ quên nó.

Bật xác thực 2 lớp cho mọi tài khoản quan trọng

Xác thực 2 lớp (2FA) là tấm khiên cuối cùng: ngay cả khi mật khẩu bị lộ, kẻ xấu vẫn cần mã thứ hai để đăng nhập. Đây là lý do 2FA chặn được phần lớn tấn công dựa trên mật khẩu lộ.

Lưu ý về loại 2FA:

• Ứng dụng xác thực (authenticator) sinh mã ngay trên máy bạn, không truyền qua mạng → an toàn nhất trong các lựa chọn phổ biến.
• Mã qua SMS tiện nhưng yếu hơn, vì có thể bị chặn hoặc bị chiếm số điện thoại (SIM swap). Dùng SMS vẫn tốt hơn không có gì, nhưng nên ưu tiên app khi dịch vụ hỗ trợ.

Hãy bật 2FA tối thiểu cho: email chính (vì nó dùng để khôi phục mọi tài khoản khác), ngân hàng, và mạng xã hội.

Khi nghi mật khẩu đã bị lộ

1. Đổi mật khẩu ngay ở dịch vụ nghi ngờ, và ở mọi nơi từng dùng chung mật khẩu đó.
2. Kiểm tra mức độ lộ qua dịch vụ tra cứu rò rỉ như Have I Been Pwned (nhập email để xem nó có trong các vụ rò rỉ đã biết không).
3. Bật 2FA nếu chưa có, để vô hiệu hoá giá trị của mật khẩu đã lộ.

4 lầm tưởng phổ biến về mật khẩu

• “Phải đổi mật khẩu định kỳ mới an toàn.” Ép đổi mật khẩu mỗi 1–3 tháng thực ra phản tác dụng: người dùng có xu hướng đặt mật khẩu yếu hơn và dễ đoán hơn (thêm số 1, 2, 3 vào cuối). Nếu mật khẩu đã mạnh và không bị lộ, không cần đổi liên tục — chỉ đổi khi có dấu hiệu rò rỉ.
• “Đổi một ký tự là thành mật khẩu khác.” Matkhau2024 và Matkhau2025 gần như tương đương dưới mắt kẻ tấn công, vì chúng dò theo mẫu chứ không thử từng ký tự một cách ngây thơ.
• “Câu hỏi bảo mật là lớp bảo vệ tốt.” “Tên trường cấp 1”, “tên thú cưng” thường tra được trên mạng xã hội. Nếu buộc phải dùng, hãy trả lời bằng một chuỗi ngẫu nhiên và lưu nó trong trình quản lý mật khẩu, đừng trả lời thật.
• “Chế độ ẩn danh (incognito) giúp ẩn danh trên mạng.” Nó chỉ không lưu lịch sử trên máy bạn, không hề giấu hoạt động khỏi nhà mạng hay website. Đừng nhầm nó với bảo mật.

Gỡ được mấy lầm tưởng này, bạn sẽ thôi tốn sức vào việc vô ích và tập trung vào ba thói quen thật sự hiệu quả dưới đây.

Tóm lại: làm 3 việc này là đủ cho 90% rủi ro

1. Dùng passphrase dài thay cho mật khẩu ngắn rắc rối.
2. Không dùng lại mật khẩu — giao việc nhớ cho một trình quản lý mật khẩu.
3. Bật 2FA (ưu tiên app) cho các tài khoản quan trọng.

Bảo mật không phải chuyện làm một lần là xong, nhưng ba thói quen trên đã chặn gần hết các kiểu tấn công phổ biến. Và hãy cảnh giác với lừa đảo — kẻ gian ngày càng dùng cả AI để giả mạo; xem thêm cảnh báo lừa đảo qua tin nhắn ngân hàng để nhận diện sớm.