Xác thực 2026: vượt qua MFA, chống tấn công mới

[AI Crazy]

Năm 2026 chứng kiến chuyển dịch quan trọng trong bảo mật: doanh nghiệp đang triển khai xác thực chống lừa đảo thay vì chỉ dựa vào MFA truyền thống. Xu hướng này phản ánh thực tế tấn công xã hội và rủi ro liên quan AI đang gia tăng.

Tình hình hiện tại​

Trong vòng một năm qua, nhiều tổ chức đã đẩy nhanh cải tiến bảo mật không phải vì hoảng loạn mà vì nhận ra mối đe dọa mới, đặc biệt từ các công nghệ như AI. Nghiên cứu cho thấy xác thực chống lừa đảo tăng 63% về mức áp dụng. Báo cáo WEF 2026 cũng cho thấy tỉ lệ tổ chức đánh giá an ninh công cụ AI tăng từ 37% lên 64%.

Thực trạng áp dụng MFA và những hạn chế​

Dữ liệu của Okta ghi nhận mức áp dụng MFA toàn ngành đạt khoảng 70%, con số cao nhưng vẫn để lại ~30% người dùng chưa được bảo vệ. Các cuộc tấn công hiện nay không còn chủ yếu là brute-force mà chuyển sang lừa đảo con người: giả mạo nhân viên, gọi đội hỗ trợ và lợi dụng quy trình khôi phục để reset thông tin đăng nhập — nơi MFA thường không phát huy hiệu quả.

Quy mô và tác động của tấn công lừa đảo​

Theo chính phủ Anh, 84% các vi phạm an ninh doanh nghiệp liên quan đến tấn công lừa đảo, với hơn 7,5 triệu vụ trong năm 2024. Khi tác động về tài chính và danh tiếng lớn như vậy, đầu tư vào phương pháp xác thực chống lừa đảo trở thành nhu cầu kinh doanh cấp thiết.

Phương pháp xác thực chống lừa đảo đang được triển khai​

• WebAuthn và FIDO2: xác thực dựa trên khóa phần cứng/thiết bị, xác minh nguồn gốc dịch vụ.
• Khóa phần cứng (YubiKey) và smart card: cung cấp bằng chứng vật lý không thể sao chép qua lừa đảo.
• FastPass và các giải pháp sinh trắc bảo mật cao: giảm phụ thuộc vào mã SMS dễ bị tấn công.

Những phương pháp này về cơ bản không thể bị “phished” vì bộ xác thực tự chứng thực đang giao tiếp với dịch vụ chính chủ; người dùng có thể bị lừa cung cấp mật khẩu hay mã SMS nhưng không thể cung cấp một khóa phần cứng hay dữ liệu sinh trắc hợp lệ từ thiết bị gốc.

Lợi ích về trải nghiệm và vận hành​

Việc chuyển sang xác thực chống lừa đảo không chỉ an toàn hơn mà còn thân thiện hơn với người dùng: ít phiền nhiễu với mã SMS, thao tác trực quan hơn với sinh trắc hoặc khóa phần cứng, giảm số lượng yêu cầu đặt lại mật khẩu và rút ngắn thời gian khôi phục truy cập. Thống kê cũng cho thấy tỷ lệ dùng SMS giảm từ 17,5% xuống 15,3% khi tổ chức dịch chuyển sang giải pháp an toàn hơn.

Kết luận​

MFA vẫn quan trọng và không nên loại bỏ, nhưng để chống lại làn sóng tấn công xã hội và rủi ro liên quan AI, các tổ chức cần lớp hóa thêm các phương pháp xác thực chống lừa đảo, đặc biệt cho hệ thống quan trọng. Việc chuyển đổi dần sang WebAuthn, FIDO2 và khóa phần cứng là hướng đi thực tế và cần thiết để bảo vệ cả tài sản và danh tiếng doanh nghiệp.

Nguồn: Techradar