Có nên dùng số điện thoại thứ hai để nhận mã 2FA?

Chỉ nên dùng số điện thoại thứ hai để nhận mã xác thực hai yếu tố (2FA) khi một trang web chỉ có mã qua tin nhắn, hoặc khi một tài khoản dùng chung hay tài khoản doanh nghiệp cần mã không phụ thuộc vào điện thoại của một người. Khi một trang có ứng dụng xác thực, khóa bảo mật hoặc passkey, hãy dùng chúng thay thế, vì mã qua tin nhắn là lựa chọn yếu hơn trong cả hai trường hợp.

Bạn cần: cho cách dùng số thứ hai, một chiếc iPhone dự phòng chạy iOS 26 trở lên có SIM hoặc eSIM riêng, ứng dụng Phím tắt (đã có sẵn trong điện thoại), và nếu mã cần đến người khác, Fwrd cùng một nơi để gửi chúng, chẳng hạn một kênh Slack riêng tư.

Số thứ hai có an toàn hơn số của chính bạn cho 2FA không?

Hơn một chút, theo một cách hẹp: nó giữ mã của tài khoản đó khỏi số cá nhân của bạn và khỏi ứng dụng Tin nhắn cá nhân. Nó không làm mã qua tin nhắn mạnh hơn. Những điểm yếu như cũ đi theo mã đến bất cứ số nào nhận chúng.

Các nguồn của chính phủ Mỹ giải thích rủi ro:

• FTC nói “Tin tặc có thể chiếm số điện thoại của bạn qua một cuộc tấn công hoán đổi SIM”, và ứng dụng xác thực an toàn hơn vì mã của nó không bị lộ trước kiểu tấn công đó (FTC, đọc ngày 18 tháng 10 năm 2026).
• CISA liệt kê mã gửi qua SMS hoặc giọng nói là dễ bị tấn công hoán đổi SIM và các lỗ hổng trong báo hiệu SS7 của mạng điện thoại, và gọi MFA chống lừa đảo (phishing) là “hình thức MFA an toàn nhất” (tờ thông tin của CISA, đọc ngày 18 tháng 10 năm 2026).
• NIST, nơi viết ra tiêu chuẩn liên bang, nói “Việc dùng PSTN cho xác minh ngoài băng tần bị hạn chế” và yêu cầu các dịch vụ theo hướng dẫn của họ phải có ít nhất một lựa chọn khác (NIST SP 800-63B-4, mục 3.1.3.3, đọc ngày 18 tháng 10 năm 2026).
• FCC đã thông qua quy định vào tháng 11 năm 2023 buộc nhà mạng xác minh bạn là ai trước khi chuyển số của bạn sang SIM hoặc nhà mạng mới, vì hoán đổi SIM và lừa đảo chuyển mạng giữ số chiếm số điện thoại mà không cần chạm vào điện thoại (FCC, đọc ngày 18 tháng 10 năm 2026).

Apple mô tả passkey là “có khả năng chống lừa đảo (phishing)”, và được thiết kế để không có bí mật dùng chung nào bị đánh cắp (Apple, đọc ngày 18 tháng 10 năm 2026).

Khi nào số thứ hai có ích?

Khi mã qua tin nhắn là lựa chọn duy nhất và chúng không nên nằm trên điện thoại của chính bạn. Những trường hợp thường gặp:

• Một tài khoản công việc dùng chung chỉ gửi mã bằng tin nhắn, và nó phải tiếp tục dùng được khi người đã thiết lập nó vắng mặt hoặc nghỉ việc.
• Một số điện thoại doanh nghiệp nên thuộc về công ty, không thuộc về đường dây cá nhân của một nhân viên.
• Một phương án dự phòng. Apple gợi ý rằng nếu bạn có nhiều hơn một số, hãy cân nhắc thêm một số “không gắn với iPhone của bạn” làm số tin cậy bổ sung, để một chiếc iPhone bị mất hoặc hỏng không khóa bạn ra ngoài (Apple, đọc ngày 18 tháng 10 năm 2026).

Một số dịch vụ từ chối số internet từ các ứng dụng gọi điện. Chẳng hạn trang trợ giúp của Indeed nói họ “không còn cho phép số VoIP không cố định để xác minh tài khoản” (Indeed, đọc ngày 18 tháng 10 năm 2026). Mã gửi đến một số di động thật trong một chiếc iPhone dự phòng đến như mọi tin nhắn khác, và Fwrd có thể chuyển tiếp chúng, miễn là đường dây còn hoạt động để số không bị cấp lại.

Cách lấy mã từ một chiếc iPhone dự phòng

Vấn đề của chiếc điện thoại thứ hai là nó nằm trong ngăn kéo. Các bước này chỉ gửi các tin nhắn mã từ nó đến những người cần chúng.

1. Thêm một nơi nhận trong Fwrd. Trên iPhone dự phòng, mở Fwrd, chạm vào +, rồi chọn nơi mã sẽ đến: một nhóm chat riêng tư trên Slack, Discord, Teams hoặc Telegram, webhook của riêng bạn, một địa chỉ email, hoặc một điện thoại khác.
2. Chỉ giữ các mã. Đặt bộ lọc của nơi nhận thành tin nhắn giống mã xác minh. Với email hoặc điện thoại khác, hãy đặt thêm tác vụ gửi bên trong “Nếu” trong phím tắt, rồi bật “I Added the If” trong “Which Texts” của nơi nhận đó.
3. Tạo mục tự động hóa Tin nhắn. Trong Phím tắt trên iOS 27, chạm vào “Thư viện”, rồi “Tự động hóa”, rồi +, rồi “Tin nhắn”. Trên iOS 26, mở tab “Tự động hóa”, chạm vào +, rồi chọn “Tin nhắn”.
4. Chọn tin nhắn cần chuyển tiếp. Chọn “Tin nhắn chứa” (trên iOS 27, đổi “Người gửi” thành “Tin nhắn”) và nhập một từ có trong các tin nhắn mã của bạn, chẳng hạn “mã” hoặc “OTP”. Khi đã bật bộ lọc mã, một dấu cách cũng dùng được.
5. Cho nó chạy mà không hỏi, rồi thêm tác vụ của Fwrd. Trên iOS 27, tắt “Xác nhận trước khi chạy” và xem “Cho phép chạy khi bị khóa” đã bật chưa, trong ⓘ, rồi “Quyền riêng tư”. Trên iOS 26, chọn “Chạy ngay lập tức”. Thêm “Forward Message to All Destinations” và đặt “Message” của nó thành “Đầu vào phím tắt”.
6. Với email hoặc điện thoại khác, thêm tác vụ của Apple. Bên dưới tác vụ của Fwrd, thêm “Gửi email” hoặc “Gửi tin nhắn”, đặt “Tin nhắn” của nó thành “Forward Message to All Destinations”, và thêm địa chỉ hoặc số. Hướng dẫn email và hướng dẫn Điện thoại / iMessage cho thấy từng lần chạm.
7. Xong. Từ giờ, tin nhắn mã mới sẽ tự động được chuyển tiếp đến nơi bạn đã chọn, dù iPhone đang khóa hay không.

Trang mã xác minh nói về nhiều cách khác để chuyển mã, và chia sẻ mã 2FA với nhóm của bạn trong Slack hướng dẫn đầy đủ phần Slack.

Những gì chuyển tiếp mã không khắc phục được

• Chuyển tiếp một mã làm tăng số người nhìn thấy nó. Bất kỳ ai trong kênh, hộp thư hay nhóm đều dùng được nó khi nó còn hiệu lực. Hãy giữ nơi nhận riêng tư, nhỏ, và chỉ dùng cho những tài khoản bạn được phép chia sẻ.
• Nó không bảo vệ số điện thoại. Một vụ hoán đổi SIM trên đường dây dự phòng vẫn gửi mã đến người đã chiếm nó. Hãy hỏi nhà mạng về khóa tài khoản hoặc bảo vệ chống chuyển mạng giữ số.
• Điện thoại phải luôn bật và có kết nối internet, và sau khi khởi động lại, nó cần được mở khóa một lần thì việc chuyển tiếp mới chạy lại.
• Nó không thay thế một lựa chọn mạnh hơn. Nếu một trang web sau này thêm passkey hoặc ứng dụng xác thực, hãy chuyển sang đó.