Câu trả lời ngắn gọn
Mã xác minh là chìa khóa, không phải lời nhắc mật khẩu. Nó tồn tại để người đang đăng nhập có thể chứng minh mình là chủ tài khoản. Khi ai đó mà bạn không hề liên hệ yêu cầu bạn chia sẻ mã đó, yêu cầu ấy nhằm mục đích vào được tài khoản của bạn, bất kể người gọi nghe thân thiện hay chính thức đến đâu.
Mã xác minh tài khoản được dành cho quá trình xác thực của chính chủ tài khoản. Nguồn
Chỉ riêng sự thật đó đã giải quyết phần lớn quyết định. Bạn không bao giờ cần đưa mã đăng nhập cho người gọi, vì mã không dành cho người gọi. Nó dành cho màn hình đăng nhập trước mặt bạn.
Ba tình huống trông giống nhau nhưng không phải vậy
Sự nhầm lẫn thường đến từ việc lẫn lộn ba thời điểm khác nhau: một lần đăng nhập bạn tự bắt đầu, một mã người khác muốn, và một bước kiểm tra xem ai thực sự đang gọi. Chúng đòi hỏi những hành động khác nhau.
| Tình huống | Điều gì đang xảy ra | Bạn nên làm gì |
|---|---|---|
| Bạn mở một trang đăng nhập hoặc ứng dụng và một mã đến để hoàn tất | Bạn là người đang đăng nhập, và mã hoàn tất hành động của chính bạn | Nhập mã vào màn hình bạn đã mở. Không chuyển tiếp cho bất kỳ ai khác |
| Một người gọi không mong muốn yêu cầu bạn đọc to hoặc gửi mã | Ai đó đang cố hoàn tất đăng nhập với tư cách bạn | Không chia sẻ. Kết thúc liên lạc |
| Bạn muốn xác nhận người gọi là thật | Bạn cần một kênh bạn đã tin tưởng, không phải số của người gọi | Gác máy và liên hệ tổ chức qua kênh đã biết |
Hàng giữa là hàng quan trọng nhất. Mã chỉ hữu ích cho người đang cố đăng nhập, nên yêu cầu về nó là yêu cầu truy cập.
Kẻ lừa đảo có thể mạo danh một tổ chức đáng tin cậy và hỏi mã để chiếm quyền truy cập tài khoản. Nguồn
Tại sao số của người gọi không thể giải quyết vấn đề
Người gọi có thể tự nhận là từ ngân hàng, đội ngũ hỗ trợ của một nền tảng hoặc bất kỳ tổ chức nào bạn có giao dịch. ID người gọi, số tham chiếu hay giọng điệu bình tĩnh không chứng minh được ai đang ở đầu dây bên kia. Cách an toàn là ngừng sử dụng kênh do người gọi kiểm soát và chuyển sang kênh do bạn chọn.
FTC khuyến nghị kết thúc liên lạc không mong muốn và tự gọi cho tổ chức bằng thông tin liên hệ đáng tin cậy từ sao kê hoặc ứng dụng, không dùng số do người gọi cung cấp. Nguồn
Đây là phần mọi người thường bỏ qua. Gác máy là chưa đủ nếu sau đó bạn gọi lại số người gọi đã đưa, vì điều đó đưa bạn trở lại đúng người đó. Hãy dùng một kênh liên hệ bạn đã có sẵn: sao kê, ứng dụng, danh bạ đã lưu hoặc trang chính thức do bạn tự truy cập.
Danh sách kiểm tra bạn có thể làm theo ngay lúc đó
- Tạm dừng cuộc trò chuyện. Không xác nhận, phủ nhận hay đọc to bất cứ điều gì khi người gọi vẫn đang nói.
- Tự hỏi ai là người bắt đầu đăng nhập. Nếu bạn không mở một lần đăng nhập nào, thì không có mã nào nên được gửi cho bất kỳ ai.
- Kết thúc liên lạc không mong muốn. Bạn không nợ người lạ một lời giải thích.
- Không dùng số của người gọi. Tra cứu tổ chức qua kênh bạn đã tin tưởng.
- Tự liên hệ tổ chức và hỏi xem có vấn đề thực sự nào với tài khoản của bạn không.
- Nếu một mã đến mà bạn không yêu cầu, hãy coi đó là dấu hiệu ai đó đã cố đăng nhập, và báo cáo qua kênh tin cậy đó.
Bước 6 đáng tách riêng khỏi các bước còn lại. Một mã bạn không yêu cầu không phải bằng chứng bị xâm nhập, nhưng là lý do để kiểm tra qua con đường bạn kiểm soát thay vì qua người gọi.
Những lối sai cần tránh
- “Tôi chỉ xác nhận vài chữ số đầu thôi.” Một phần mã vẫn là một phần chìa khóa. Không chia sẻ bất kỳ phần nào.
- “Tôi gọi số họ đưa và họ xác nhận là thật.” Số đó dẫn ngược lại chính người gọi. Nó không chứng minh gì.
- “Người gọi đã biết tên tôi, nên chắc là thật.” Biết thông tin về bạn không phải bằng chứng danh tính, và cũng không phải lý do để chia sẻ mã.
- “Tôi chia sẻ bây giờ rồi đổi mật khẩu sau.” Một khi người khác hoàn tất đăng nhập, tình hình đã thay đổi. Dừng lại trước khi chia sẻ, không phải sau.
Không lối nào trong số này đòi hỏi bạn phải biết menu của một nền tảng cụ thể hoạt động ra sao. Quyết định được đưa ra trước khi bất kỳ menu nào có ý nghĩa: mã dành cho chủ tài khoản, và người gọi không mong muốn không phải chủ tài khoản.
Những gì hướng dẫn này không đề cập
Một số tổ chức sử dụng quy trình xác nhận riêng khi bạn chủ động liên hệ họ trước. Những quy trình đó không giống với một mã đăng nhập đến cho một lần đăng nhập bạn không bắt đầu, và hướng dẫn này không coi mọi bước xác nhận hỗ trợ là mã đăng nhập. Quy tắc ở đây được giới hạn hẹp có chủ đích: mã dùng để đăng nhập thuộc về người đang đăng nhập.
Trang này cũng không đề cập việc dọn dẹp tài khoản sau một phen hoảng sợ, thay đổi cài đặt, hay kiểm tra xem một hồ sơ có thật không. Đó là những nhiệm vụ riêng.
Một bước tiếp theo hữu ích
Cuộc gọi thường đi kèm một câu chuyện: một tin nhắn, một hồ sơ mạng xã hội hoặc một tài khoản hỗ trợ tự nhận là chính thức. Nếu bạn muốn xem xét lời khẳng định đó thay vì cuộc gọi, nhiệm vụ tiếp theo là kiểm tra xem một tài khoản hỗ trợ có thật không. Hướng dẫn của chúng tôi về kiểm tra tài khoản mạng xã hội hỗ trợ khách hàng giả đi qua câu hỏi riêng đó.
Tra cứu tên người dùng có thể là điểm khởi đầu khi bạn đang xem xét một hồ sơ đã liên hệ với bạn, nhưng một kết quả trùng khớp công khai chỉ là manh mối, không phải bằng chứng về người đứng sau nó. Hãy coi đó là điều cần xác minh, không phải xác nhận.