Mã OTP qua tin nhắn SMS từng là lớp bảo vệ quen thuộc khi đăng nhập tài khoản ngân hàng, mạng xã hội hay xác nhận giao dịch trực tuyến. Tuy nhiên, trước sự gia tăng của các hình thức lừa đảo công nghệ cao, phương thức này đang bộc lộ nhiều hạn chế. Kẻ gian có thể chiếm quyền sử dụng số điện thoại, giả mạo trang đăng nhập hoặc lừa người dùng tự cung cấp mã xác thực. Theo Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA), xác thực qua SMS có nguy cơ bị tấn công thông qua lừa đảo trực tuyến, chiếm đoạt SIM và khai thác lỗ hổng trong hệ thống viễn thông.
Một trong những rủi ro đáng chú ý là hình thức hoán đổi SIM (SIM swapping). Kẻ tấn công tìm cách đánh cắp thông tin cá nhân, giả mạo giấy tờ hoặc lừa nhà mạng chuyển số điện thoại của nạn nhân sang SIM do chúng kiểm soát. Khi thành công, chúng có thể nhận tin nhắn chứa mã OTP và tìm cách truy cập các tài khoản liên kết. Ngay cả khi SIM vẫn hoạt động bình thường, người dùng cũng có thể bị lừa nhập mã vào website giả mạo. Với các cuộc tấn công trung gian, tin tặc chuyển tiếp thông tin đăng nhập đến dịch vụ thật theo thời gian thực, khiến OTP vẫn có thể bị lợi dụng trước khi hết hạn.
Để giảm rủi ro, người dùng có thể chuyển sang ứng dụng xác thực như Google Authenticator hoặc Microsoft Authenticator. Những ứng dụng này tạo mã ngay trên thiết bị, hạn chế sự phụ thuộc vào mạng di động và nguy cơ bị chiếm đoạt SIM. Tuy nhiên, phương thức này vẫn chưa loại bỏ hoàn toàn nguy cơ lừa đảo, bởi kẻ gian có thể dụ nạn nhân nhập mã vào trang đăng nhập giả. Vì vậy, ứng dụng xác thực thường an toàn hơn SMS trong nhiều tình huống, nhưng vẫn cần được kết hợp với thói quen kiểm tra địa chỉ website và cảnh giác trước các yêu cầu bất thường.
Một lựa chọn khác được đánh giá cao là passkeys, phương thức xác thực sử dụng cặp khóa mật mã thay cho mật khẩu hoặc mã OTP nhập thủ công. Người dùng thường xác nhận đăng nhập bằng vân tay, nhận diện khuôn mặt hoặc mã PIN trên thiết bị. Do thông tin xác thực gắn với dịch vụ đã đăng ký, passkeys có khả năng chống lại nhiều hình thức giả mạo website. Báo cáo Passkey Index 2026 của FIDO Alliance, công bố ngày 15/10/2026, cho biết tỷ lệ đăng nhập thành công bằng passkeys đạt 93% trong phạm vi nghiên cứu, so với 78% ở các phương thức xác thực đa yếu tố truyền thống. Kết quả này cho thấy tiềm năng cải thiện trải nghiệm đăng nhập và tăng cường bảo mật.
Dù vậy, không có phương thức nào loại bỏ mọi nguy cơ. Người dùng nên ưu tiên passkeys hoặc khóa bảo mật phần cứng cho tài khoản quan trọng; nếu chưa được hỗ trợ, ứng dụng xác thực là lựa chọn đáng cân nhắc. Đồng thời, cần bảo vệ điện thoại bằng mã khóa mạnh, cập nhật phần mềm, bật cảnh báo đăng nhập và không cung cấp OTP cho bất kỳ ai, kể cả người tự xưng là nhân viên ngân hàng. Nếu điện thoại đột ngột mất sóng bất thường, hãy liên hệ nhà mạng để kiểm tra nguy cơ bị chiếm SIM. Khi phát hiện truy cập lạ, cần nhanh chóng bảo vệ tài khoản và liên hệ đơn vị cung cấp dịch vụ.