SMS: Công nghệ hơn 30 năm tuổi đã thành rủi ro bảo mật
Bảo mật SMS là mức độ an toàn của những tin nhắn văn bản truyền thống được gửi qua mạng di động, vốn được thiết kế từ hơn 30 năm trước trong bối cảnh chưa có các mối đe dọa tấn công mạng tinh vi như ngày nay, nên tồn tại nhiều hạn chế cố hữu về mã hóa, chống giả mạo và bảo vệ quyền riêng tư người dùng.
Sau hơn 30 năm xuất hiện trên điện thoại, SMS ngày càng lộ rõ những hạn chế về bảo mật và tính năng, khiến nhiều chuyên gia khuyến nghị hạn chế sử dụng. Vấn đề cốt lõi là SMS không được mã hóa đầu cuối, nội dung có thể bị truy cập nếu hạ tầng mạng bị tấn công hoặc khai thác. Nói thẳng: bất kỳ ai chặn được luồng tin nhắn của bạn đều có khả năng đọc được chúng. Khi SMS vẫn là phương thức nhắn tin mặc định trên điện thoại và hàng tỉ tin nhắn được gửi mỗi ngày, phạm vi rủi ro là rất lớn.
Điều đáng lo hơn là kiến trúc của SMS đã lỗi thời đến mức các lỗ hổng bảo mật cơ bản gần như không thể khắc phục hoàn toàn. Giữ thói quen dựa vào SMS cho mọi cuộc trò chuyện cá nhân ngày nay giống như để ngỏ cửa nhà trong một khu phố đầy trộm nhưng tin rằng “từ trước đến nay vẫn ổn”. Đó không phải là sự cẩn trọng, mà là chủ quan.
SMS đang bị khai thác như thế nào và ai là nạn nhân?
Vấn đề bảo mật của SMS không còn là lý thuyết. Tin nhắn không được mã hóa khiến nội dung dễ bị nghe lén, kẻ tấn công có thể truy cập chỉ với số điện thoại. Những lo ngại này từng bùng lên sau một chiến dịch tấn công mạng quy mô lớn nhằm vào hạ tầng viễn thông tại Mỹ năm 2025, cho thấy khi tầng mạng bị xâm nhập, SMS là “điểm yếu mềm” nhất.
SMS cũng cực kỳ dễ bị chặn và giả mạo, tạo điều kiện cho smishing – hình thức lừa đảo qua tin nhắn giả danh ngân hàng, cơ quan nhà nước, đơn vị giao hàng, nhà mạng. Tại Việt Nam, cơ quan công an nhiều lần cảnh báo về tình trạng phát tán loại tin nhắn này kèm đường link độc hại để đánh cắp mật khẩu, mã OTP hoặc thông tin tài khoản ngân hàng. Nạn nhân thường là người dùng không rành công nghệ, tin vào các thông báo mang tính khẩn cấp như “tài khoản gặp sự cố” hay “nhận thưởng”.
Nói cách khác, bất kỳ ai còn dùng SMS như kênh liên lạc chính đều là đối tượng có nguy cơ cao: người dùng phổ thông, chủ shop online, thậm chí nhân viên văn phòng. Việc để những thông tin quan trọng trôi nổi trên SMS là chấp nhận bị kẻ xấu nhòm ngó bất cứ lúc nào.
RCS và nhắn tin mã hóa: Những lựa chọn thay thế SMS an toàn hơn
Nếu SMS là “điện thoại bàn” của thế giới nhắn tin, thì RCS và các ứng dụng nhắn tin mã hóa là smartphone. Ngành công nghiệp di động đang thúc đẩy thay thế SMS bằng chuẩn nhắn tin mới RCS (Rich Communication Services), bổ sung tính năng gửi ảnh chất lượng cao, tạo nhóm chat, hiển thị trạng thái đang nhập và phát triển theo hướng tăng cường bảo mật. Việc các hãng lớn hỗ trợ RCS giúp nhắn tin giữa iOS và Android dần khắc phục những hạn chế của SMS truyền thống.
Tuy nhiên, điểm an toàn vượt trội thuộc về nhắn tin mã hóa đầu cuối. Nhiều cơ quan an ninh đã khuyến nghị người dân ưu tiên các ứng dụng có mã hóa đầu cuối như Signal, WhatsApp hoặc iMessage khi trao đổi thông tin quan trọng. Các ứng dụng nhắn tin như WhatsApp, Signal và Telegram không chỉ an toàn hơn mà còn cung cấp nhiều tính năng vượt trội so với SMS. Nhờ mã hóa, nội dung chỉ có thể đọc bởi bạn và người nhận, nhà mạng hay kẻ chặn được dữ liệu cũng không giải mã được.
Nếu bạn đang tìm ứng dụng nhắn tin an toàn, hãy ưu tiên nền tảng bật sẵn hoặc hỗ trợ dễ dàng chế độ mã hóa đầu cuối, có kiểm soát quyền riêng tư rõ ràng và tính năng bảo vệ chống spam, lừa đảo. Đối với những cuộc trò chuyện cá nhân hoặc thông tin nhạy cảm, nhắn tin mã hóa không còn là “tùy chọn nâng cao” mà là tiêu chuẩn tối thiểu.
Vai trò của SMS với OTP: Dùng có chừng mực, không dùng để “tâm sự”
Dù yếu về bảo mật, SMS vẫn chưa thể biến mất trong thời gian ngắn. Nhiều ngân hàng, doanh nghiệp, nhà mạng và dịch vụ trực tuyến vẫn sử dụng để gửi mã OTP, thông báo giao dịch hoặc xác thực tài khoản. Ở vai trò này, SMS giống như một chiếc chìa khóa dùng tạm: chấp nhận được nếu cẩn trọng, nhưng không nên biến nó thành nơi lưu trữ mọi bí mật.
Bạn vẫn có thể sử dụng SMS chứa mã OTP hoặc thông báo từ ngân hàng, nhưng cần đặc biệt cảnh giác với tin nhắn yêu cầu bấm vào đường link hoặc cung cấp thông tin tài khoản. Một nguyên tắc nên coi là “luật bất di bất dịch”: ngân hàng không yêu cầu bạn nhập mật khẩu hay mã OTP qua đường link gửi trong SMS. Nếu có, hãy coi đó là lừa đảo cho đến khi được xác minh ngược qua kênh chính thức.
Điều quan trọng hơn là: đừng dùng SMS cho những nội dung riêng tư hoặc nhạy cảm như tài liệu công việc, ảnh cá nhân, thông tin sức khỏe, dữ liệu tài chính chi tiết. Hãy dời toàn bộ những cuộc trò chuyện này sang các ứng dụng nhắn tin an toàn có mã hóa đầu cuối. Càng ít thông tin “có giá trị” nằm trên SMS, bạn càng giảm được thiệt hại nếu tài khoản hoặc thiết bị bị xâm nhập.
Lộ trình 5 bước để chuyển sang RCS và ứng dụng nhắn tin an toàn
- Kích hoạt hoặc chuyển sang RCS nếu điện thoại và nhà mạng hỗ trợ; đặt RCS làm mặc định thay cho SMS khi nhắn giữa các số di động.
- Chọn ít nhất một ứng dụng nhắn tin mã hóa (Signal, WhatsApp, Telegram…) làm kênh giao tiếp chính với gia đình, bạn bè và đồng nghiệp.
- Di dời các nhóm chat, trao đổi công việc, chia sẻ file từ SMS sang các ứng dụng nhắn tin an toàn; hạn chế tối đa việc gửi thông tin nhạy cảm qua SMS.
- Thiết lập thêm các phương thức xác thực mạnh hơn cho tài khoản (như ứng dụng tạo mã) và chỉ dùng SMS OTP khi không còn lựa chọn khác, luôn kiểm tra kỹ số gửi và nội dung.
- Tự trang bị kiến thức cho bản thân và người thân: nhận diện tin nhắn lừa đảo, không bấm link lạ, không cung cấp mật khẩu hay OTP qua bất cứ tin nhắn nào.
Đã đến lúc coi SMS là “phương án dự phòng” chứ không phải kênh giao tiếp chính. Khi chuyển sang RCS và ứng dụng nhắn tin mã hóa, bạn không chỉ có trải nghiệm tiện lợi hơn mà quan trọng là đưa an toàn số của mình lên một mặt bằng mới. Trong một thế giới mà tội phạm mạng ngày càng tinh vi, sự thận trọng hôm nay sẽ giúp bạn tránh được những tổn thất khó lường ngày mai.
