"Bảo vệ tài khoản: mật khẩu, 2FA và chiêu tráo SIM"

Tài khoản sàn giao dịch của bạn, và email đứng sau nó, được bảo vệ bằng một lần đăng nhập. Hầu hết các vụ chiếm tài khoản đến từ mật khẩu dùng lại, phương thức hai lớp yếu và số điện thoại bị chiếm đoạt. Bài học này bịt những lỗ hổng đó.

Mật khẩu

Mỗi tài khoản một mật khẩu. Khi một trang web bị lộ dữ liệu, kẻ tấn công thử mật khẩu bị lộ ở khắp nơi khác. Mật khẩu dùng lại chỉ an toàn bằng trang yếu nhất mà bạn từng dùng nó.

Dùng trình quản lý mật khẩu. Nó tạo mật khẩu dài, ngẫu nhiên và nhớ giúp bạn. Bạn chỉ cần nhớ một mật khẩu chính thật mạnh. Hướng dẫn bảo mật của ethereum.org viết: "Chúng tôi đặc biệt khuyến nghị sử dụng một trình quản lý."

Đặt mật khẩu chính thật dài. Vài từ ngẫu nhiên khó bẻ hơn một mật khẩu ngắn và phức tạp.

Một ngoại lệ, từ Bài học 30: cụm từ khôi phục không được cất trong trình quản lý mật khẩu.

Xác thực hai lớp

Xác thực hai lớp, hay 2FA, yêu cầu thêm một thứ bạn có ngoài mật khẩu. Các phương thức không ngang nhau. Cơ quan an ninh mạng Mỹ CISA xếp hạng chúng như sau:

Khóa bảo mật kiểm tra địa chỉ thật của trang web trước khi phản hồi, nên nó sẽ không đăng nhập bạn vào trang giả. Đó là lý do CISA gọi loại này là "tiêu chuẩn vàng".

Hãy dùng phương thức mạnh nhất mà mỗi dịch vụ cung cấp. Có 2FA bất kỳ vẫn hơn không có.

Tráo SIM

Trong một vụ tráo SIM, kẻ gian thuyết phục nhà mạng chuyển số của bạn sang thẻ SIM của chúng. Chúng có thể giả danh bạn, hối lộ nhân viên hoặc lừa nhân viên. Điện thoại của bạn mất sóng, còn chúng nhận cuộc gọi và tin nhắn của bạn.

Sau đó chúng yêu cầu email hoặc sàn giao dịch của bạn đặt lại mật khẩu, và mã được gửi tới điện thoại của chúng.

FBI nhận 1.611 đơn tố cáo tráo SIM trong năm 2021, với thiệt hại hơn 68 triệu USD.

Cách phòng vệ

• Không dùng tin nhắn SMS làm 2FA cho những tài khoản quan trọng.
• Gỡ số điện thoại khỏi các tùy chọn khôi phục khi dịch vụ cho phép.
• Yêu cầu nhà mạng khóa chuyển mạng hoặc đặt mã PIN cho tài khoản.
• Nếu điện thoại mất sóng vô cớ, hãy liên hệ ngay nhà mạng từ một đường dây khác.

Email là chìa khóa vạn năng

Ai kiểm soát email của bạn có thể đặt lại gần như mọi thứ khác. Hãy bảo vệ nó tốt nhất: mật khẩu riêng biệt, khóa bảo mật hoặc ứng dụng xác thực, và không dùng SMS làm phương án dự phòng.

Phần còn lại của danh sách

• Lưu mã dự phòng. In các mã khôi phục mà mỗi dịch vụ cung cấp và cất ngoại tuyến.
• Bật danh sách cho phép rút tiền. Xem Bài học 35.
• Cập nhật thiết bị. Cài ngay các bản cập nhật hệ thống và trình duyệt.
• Giữ kín. Cả FBI và SEC đều khuyên không nên kể với người khác bạn giữ crypto gì. Phô trương biến bạn thành mục tiêu.
• Không bao giờ chia sẻ mã. Không nhân viên thật nào hỏi mật khẩu hay mã 2FA của bạn.