Tại sao tôi lại nhận được mã xác minh mà tôi không yêu cầu?
Hầu hết các mã bất ngờ đều đến từ một lỗi đánh máy, một lần thử đăng nhập hoặc đặt lại mật khẩu, hoặc một tin nhắn lừa đảo. Hãy tìm hiểu cách nhận biết bạn đang gặp tình huống nào, cần kiểm tra những gì và điều duy nhất bạn tuyệt đối không nên làm với mã đó.
Truy cập nhanh
Tại sao bạn có thể nhận được mã xác minh mà bạn không yêu cầu
Một mã xác minh bất ngờ có thể đến từ lỗi đánh máy, một lần cố đăng nhập hoặc đặt lại mật khẩu, hoặc một tin nhắn lừa đảo được thiết kế để khiến bạn phản hồi. Bản thân một mã bạn không yêu cầu không chứng minh rằng tài khoản của bạn đã bị truy cập hay ai đó biết mật khẩu của bạn. Đừng chia sẻ mã, đừng phê duyệt một lời nhắc bất ngờ, và đừng dùng các liên kết trong tin nhắn. Hãy tự mở trực tiếp dịch vụ được nêu và kiểm tra hoạt động tài khoản của bạn.
Mã bảo vệ điều gì còn tùy vào dịch vụ. Mã có thể xác nhận một lần đăng ký mới, một lần đăng nhập, một lần đặt lại mật khẩu, một lần cố khôi phục, một số điện thoại, hoặc một hành động nhạy cảm như thanh toán. Vì vậy, cách phản ứng đúng phụ thuộc vào kiểu tình huống chứ không phải vào bản thân mã.
- Một mã duy nhất, không có cảnh báo nào khác: có thể là lỗi đánh máy, một lần đăng ký, một lần đăng nhập hoặc đặt lại, hoặc một tin nhắn giả. Đừng dùng mã; hãy tự kiểm tra trực tiếp tài khoản được nêu nếu bạn có tài khoản đó.
- Mã cứ liên tục đến: có thể ai đó đang liên tục cố đăng nhập hoặc đặt lại quyền truy cập. Hãy kiểm tra tài khoản đó ngay.
- Một mã kèm theo cảnh báo tài khoản: thông báo đăng nhập từ thiết bị mới, thay đổi mật khẩu hoặc thay đổi thông tin khôi phục cần được xử lý ngay hôm nay.
- Bất kỳ ai hỏi bạn mã: hãy coi đó là lừa đảo, dù họ tự nhận là ai.
Ai đó đã nhập nhầm địa chỉ email hoặc số điện thoại của bạn
Người ta gõ sai thông tin liên hệ của chính mình suốt ngày, và thế là mã lại đến tay bạn thay vì họ. Trang trợ giúp của Login.gov "Tôi nhận được mã dùng một lần mà tôi không yêu cầu" nêu đây là một nguyên nhân khả dĩ, cùng với việc một người dùng chung điện thoại với bạn, như vợ/chồng, cha mẹ hoặc con cái, đăng nhập vào tài khoản của chính họ. Một mã duy nhất mà không có gì tiếp theo là dấu hiệu điển hình của kiểu nhầm lẫn này.
Ai đó đã cố đăng nhập hoặc đặt lại mật khẩu của bạn
Nhiều dịch vụ gửi mã khi có lần đăng nhập từ thiết bị hoặc vị trí mới, hoặc khi ai đó bắt đầu đặt lại mật khẩu. Người đó có thể là bạn trên thiết bị khác, một người đã nhầm tài khoản của bạn với tài khoản của họ, hoặc một lần đăng nhập tự động bằng mật khẩu bị rò rỉ từ một trang web khác. Tùy dịch vụ, mã có thể là bước thứ hai sau mật khẩu hoặc là thông tin xác thực chính cho việc đăng nhập không cần mật khẩu, và chỉ nhìn vào mã thì bạn không thể biết là trường hợp nào. Đừng chia sẻ hay nhập mã, và hãy kiểm tra tài khoản qua ứng dụng hoặc trang web chính thức.
Ai đó đã dùng thông tin liên hệ của bạn để đăng ký
Một mã đăng ký có thể đến cho một dịch vụ mà bạn chưa từng dùng vì ai đó đã nhập địa chỉ email hoặc số điện thoại của bạn khi tạo tài khoản. Hầu hết dịch vụ không hoàn tất đăng ký cho đến khi mã hoặc liên kết xác nhận được dùng, nên thường chỉ cần bỏ qua tin nhắn là đủ. Đừng tạo tài khoản chỉ để tìm hiểu.
Tin nhắn là lừa đảo, không phải mã thật
Một tin nhắn có thể bắt chước thông báo xác minh và kèm theo liên kết, số điện thoại hoặc hướng dẫn "trả lời để hủy" ngay cả khi không hề có hành động nào thực sự xảy ra với tài khoản. Mục đích là khiến bạn gọi điện, nhấp hoặc gõ gì đó vào một trang giả. Đừng thử liên kết. Hãy mở ứng dụng chính thức hoặc tự gõ địa chỉ web quen thuộc của dịch vụ.
Sự cố từ phía dịch vụ gây ra một loạt tin nhắn
Đôi khi nguyên nhân nằm ở phía công ty. Vào tháng 1 năm 2026, Instagram cho rằng một loạt email đặt lại mật khẩu bất ngờ là "một vấn đề cho phép bên ngoài yêu cầu email đặt lại mật khẩu cho một số người dùng Instagram", theo nhóm người dùng Which?, và Instagram phủ nhận việc hệ thống của họ bị xâm nhập. Ngay cả trong trường hợp này, cách an toàn vẫn như cũ: bỏ qua các liên kết và kiểm tra tài khoản trong ứng dụng.
Cần làm gì ngay bây giờ
Cách phản ứng an toàn nhất với một mã không được yêu cầu chỉ mất vài phút và không bao giờ liên quan đến chính tin nhắn đó. Hãy làm theo các bước này theo thứ tự và dừng lại khi tài khoản đã ổn.
- Không chia sẻ, không chuyển tiếp và không đọc to mã. Đừng nhập mã ở bất cứ đâu và đừng phê duyệt lời nhắc đăng nhập mà bạn không khởi tạo. Trang trợ giúp của Google "Khi nào Google có thể gửi tin nhắn cho bạn" cho biết bạn có thể bỏ qua và xóa một mã gửi qua tin nhắn mà bạn không yêu cầu, và không nên chia sẻ bất kỳ mã nào bạn nhận được.
- Không dùng bất cứ thứ gì bên trong tin nhắn. Bỏ qua các liên kết, số điện thoại và mọi hướng dẫn trả lời, ngay cả khi người gửi trông quen thuộc.
- Tự mở dịch vụ. Hãy dùng ứng dụng chính thức hoặc gõ địa chỉ bạn đã biết, rồi xem hoạt động đăng nhập gần đây, các thiết bị đang đăng nhập và cảnh báo bảo mật. Trang "Trang hoạt động gần đây là gì?" của Microsoft giải thích rằng trang của họ hiển thị hoạt động tài khoản Microsoft trong 30 ngày qua và cho phép bạn chọn "Đây không phải tôi" cho bất kỳ mục nào bị đánh dấu là bất thường.
- Hãy đổi mật khẩu khi tình hình thực tế đòi hỏi. Hãy thực hiện việc này qua dịch vụ chính thức nếu hoạt động trông lạ, dịch vụ xác nhận có nỗ lực đăng nhập, bạn đã chia sẻ mã, hoặc mật khẩu đang được dùng lại trên các trang khác. Hãy dùng một mật khẩu riêng cho tài khoản đó.
- Bật xác thực đa yếu tố mạnh hơn. Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) xếp khóa bảo mật là lựa chọn mạnh nhất, tiếp theo là ứng dụng xác thực, còn mã qua tin nhắn hoặc email là yếu nhất. CISA khuyên chỉ nên dùng mã qua tin nhắn hoặc email khi tài khoản không có lựa chọn nào mạnh hơn.
- Liên hệ với dịch vụ nếu các mã vẫn tiếp tục đến. Hãy dùng trung tâm trợ giúp trong ứng dụng hoặc trên trang web chính thức, không dùng số điện thoại ghi trong tin nhắn.
Nếu bạn không có tài khoản với dịch vụ được nêu tên, có thể ai đó đang đăng ký bằng địa chỉ email hoặc số điện thoại của bạn, hoặc tin nhắn có thể là giả. Hãy bỏ qua. Nếu cùng một dịch vụ vẫn tiếp tục liên hệ với bạn, hãy liên hệ đội ngũ hỗ trợ của họ qua trang web chính thức.
Một mã, nhiều mã lặp lại, hay cảnh báo tài khoản: mỗi kiểu tình huống có ý nghĩa gì
Các dấu hiệu xung quanh quan trọng hơn số lượng mã. Một mã có thể đến từ lỗi gõ nhầm, một lần đăng ký, một nỗ lực đăng nhập hoặc đặt lại mật khẩu, hoặc một tin nhắn giả. Nhiều mã lặp lại là lý do để rà soát tài khoản ngay, còn một mã đi kèm cảnh báo đăng nhập hoặc thay đổi tài khoản lạ đòi hỏi hành động ngay qua dịch vụ chính thức.
| Những gì bạn thấy | Điều nó thường có nghĩa | Cần làm gì |
|---|---|---|
| Một mã, không có tin nhắn nào khác | Gõ nhầm, một lần đăng ký, một nỗ lực đăng nhập hoặc đặt lại mật khẩu, hoặc một tin nhắn giả | Không dùng hoặc chia sẻ mã; nếu bạn có tài khoản đó, hãy kiểm tra trong ứng dụng |
| Nhiều mã, hoặc các mã cứ tiếp tục đến | Có thể ai đó đang liên tục cố đăng nhập hoặc đặt lại quyền truy cập | Rà soát hoạt động và thiết bị; đổi mật khẩu nếu mật khẩu đó đã được dùng lại; thêm biện pháp bảo vệ đăng nhập mạnh hơn |
| Một mã kèm cảnh báo đăng nhập, mật khẩu hoặc khôi phục | Có thể đang có một lần đăng nhập hoặc thay đổi tài khoản diễn ra | Mở thẳng dịch vụ ngay bây giờ và làm theo các bước bảo mật tài khoản của dịch vụ đó |
Chỉ riêng các mã hiếm khi kể được toàn bộ câu chuyện. Những dấu hiệu cho thấy tài khoản thực sự đã bị truy cập thì cụ thể hơn:
- Bạn không thể đăng nhập nữa, hoặc dịch vụ xác nhận rằng mật khẩu hay thông tin khôi phục của bạn đã bị thay đổi.
- Tài khoản của bạn hiển thị những thiết bị, phiên đăng nhập hoặc vị trí mà bạn không nhận ra.
- Xuất hiện tin nhắn, bài đăng hoặc giao dịch mua mà bạn không thực hiện.
- Tài khoản email của bạn có các quy tắc chuyển tiếp hoặc bộ lọc mới mà bạn không thiết lập.
Nếu bạn thấy bất kỳ dấu hiệu nào trong số này, hãy dùng ngay quy trình khôi phục tài khoản chính thức của nhà cung cấp.
Mã qua email, mã qua tin nhắn và thông báo đăng nhập
Kênh nhận thay đổi những gì đáng để kiểm tra. Mã qua email hướng bạn đến tài khoản email và dịch vụ được nêu tên, tin nhắn hướng bạn đến số điện thoại của mình, còn thông báo phê duyệt nghĩa là đang có một lần đăng nhập chờ bạn xác nhận.
Nếu bạn nhận được email mã xác minh ngẫu nhiên
Một email mã xác minh ngẫu nhiên có thể đến từ một lần đăng ký, một lần đăng nhập hoặc đặt lại mật khẩu, một lỗi gõ nhầm, hoặc một tin nhắn giả. Hãy kiểm tra tài khoản được nêu tên thông qua trang web hoặc ứng dụng chính thức của tài khoản đó. Nếu có dấu hiệu khác cho thấy ai đó đã truy cập hộp thư của bạn, hãy xem lại cả các phiên gần đây, email và số điện thoại khôi phục, thư đã gửi, cùng mọi quy tắc chuyển tiếp hoặc bộ lọc. Một quy tắc chuyển tiếp mà bạn không tạo có thể sao chép các thư trong tương lai, kể cả mã, vì vậy hãy xóa nó và bảo vệ hộp thư.
Nếu bạn nhận được mã xác minh qua tin nhắn
Đừng trả lời, đừng gọi số trong tin nhắn, và đừng cho rằng một chuỗi tin nhắn quen thuộc chứng minh tin nhắn là thật. Với những tin nhắn trông giống thư rác, hướng dẫn "How To Recognize and Report Spam Text Messages" của FTC đề xuất chuyển tiếp chúng đến 7726 (SPAM). Hãy cẩn thận khi chặn số của một dịch vụ thật, vì sau này bạn có thể cần mã của dịch vụ đó. Nếu điện thoại của bạn đột ngột mất dịch vụ di động đúng lúc mã hoặc cảnh báo tài khoản đến, hãy liên hệ với nhà mạng qua kênh bạn đã tin tưởng; sự cố dịch vụ có những nguyên nhân bình thường, nhưng sự trùng hợp này đáng để kiểm tra nhanh.
Nếu bạn nhận được lời nhắc phê duyệt đăng nhập
Hãy từ chối mọi lần đăng nhập mà bạn không tự bắt đầu. Hướng dẫn sử dụng An toàn Cá nhân của Apple cho biết nếu bạn nhận được thông báo về một lần đăng nhập trên thiết bị mới mà bạn không nhận ra, bạn nên chọn "Không cho phép". Những lời nhắc lặp đi lặp lại có thể là một cách để làm bạn mệt mỏi, nên đừng bao giờ phê duyệt chỉ để các thông báo dừng lại.
Lừa đảo mã xác minh: khi ai đó yêu cầu mã
Yêu cầu mã của bạn là dấu hiệu cảnh báo rõ ràng nhất. Cảnh báo người tiêu dùng tháng 3 năm 2024 của FTC với tiêu đề "Mã xác minh là gì và tại sao ai đó lại hỏi tôi về nó?" đã nêu rõ: "Bất cứ ai hỏi bạn mã xác minh tài khoản đều là kẻ lừa đảo." Các công ty thật gửi mã để bạn nhập vào màn hình do chính bạn mở.
Kịch bản thay đổi, nhưng yêu cầu luôn là mã:
- Cuộc gọi của "phòng chống gian lận". Người gọi tự nhận là ngân hàng, đội hỗ trợ hoặc cơ quan chính phủ của bạn và nói rằng họ cần mã để bảo vệ hoặc xác minh tài khoản của bạn.
- Người bạn gửi mã "nhầm". Một tin nhắn từ một liên hệ quen thuộc nói rằng một mã đã vô tình đến tay bạn và yêu cầu bạn chuyển lại. Hãy liên hệ với người đó qua một kênh riêng mà bạn tin tưởng. Tài khoản có thể đã bị xâm nhập hoặc bị giả mạo, và mã đó có thể cho phép ai đó đăng ký số điện thoại của bạn hoặc chiếm đoạt một tài khoản.
- Người mua trên chợ trực tuyến. Cảnh báo tháng 10 năm 2021 của FTC về vụ lừa đảo mã xác minh Google Voice mô tả việc người bán hàng trực tuyến bị yêu cầu đọc lại mã để "chứng minh" họ là thật. Lời khuyên của FTC: đừng chia sẻ bất kỳ mã xác minh nào với ai đó nếu bạn không phải người liên hệ với họ trước.
Không bao giờ đưa mã khi nhận được một liên hệ bất ngờ. Nếu bạn tự bắt đầu cuộc trò chuyện hỗ trợ, chỉ làm theo hướng dẫn hiển thị trên ứng dụng hoặc trang web chính thức của tổ chức, và đọc cảnh báo trong tin nhắn chứa mã. Để kiểm tra một tài khoản, hãy liên hệ với công ty bằng số điện thoại bạn đã tin tưởng, chẳng hạn số trên thẻ hoặc trong ứng dụng của họ, và báo cáo các vụ lừa đảo tại ReportFraud.ftc.gov.
Nếu bạn đã chia sẻ mã hoặc đã phê duyệt một lời nhắc
Hãy hành động nhanh và giữ bình tĩnh. Chia sẻ mã không phải lúc nào cũng có nghĩa là ai đó đã vào được, nhưng bạn nên giả định họ có thể đã vào và bảo vệ tài khoản ngay lập tức.
- Mở trực tiếp dịch vụ đó và đổi mật khẩu. Sau đó đăng xuất khỏi các phiên hoặc thiết bị khác nếu dịch vụ có tùy chọn đó.
- Xem lại các thiết lập bảo mật, bao gồm email khôi phục, số điện thoại khôi phục, các phương thức đa yếu tố và mọi mã dự phòng. Ví dụ, Login.gov khuyên những người nhận được mã bất ngờ hãy đổi mật khẩu, xác nhận các phương thức xác thực và tạo lại mã dự phòng nếu họ có dùng.
- Hãy gọi cho ngân hàng hoặc đơn vị phát hành thẻ của bạn bằng số trên thẻ hoặc sao kê nếu mã đó dành cho một tài khoản tài chính.
- Kiểm tra tài khoản email của bạn để tìm các quy tắc chuyển tiếp, bộ lọc hoặc thư đã gửi mà bạn không tạo, nếu mã được chia sẻ là dành cho hộp thư của bạn.
- Hãy làm theo các bước khôi phục chính thức của dịch vụ nếu có liên quan đến một ứng dụng nhắn tin hoặc dịch vụ số điện thoại và bạn đã mất quyền truy cập.
- Hãy báo cáo tại ReportFraud.ftc.gov, và hãy cảnh giác với những tin nhắn tiếp theo cố gắng "giúp" bạn khôi phục. Hãy đối xử với chúng với mức độ thận trọng tương tự.
Giữ các đăng ký ít rủi ro ra khỏi hộp thư chính của bạn
Địa chỉ email chính của bạn là con đường khôi phục cho nhiều tài khoản quan trọng, vì vậy bạn nên chia sẻ nó một cách cẩn thận. Dùng một địa chỉ riêng cho các đăng ký ít rủi ro có thể giữ mã đăng ký và tin nhắn quảng cáo ra khỏi hộp thư chính của bạn. Điều này không thể ngăn ai đó gõ nhầm hoặc lạm dụng địa chỉ email thật của bạn, và cũng không thay thế được mật khẩu mạnh hay xác thực đa yếu tố.
Đối với bản tin, tải xuống dùng một lần hoặc bản dùng thử miễn phí mà bạn có thể không giữ lại, một một địa chỉ email tạm thời sẽ cho những tin nhắn đó một hộp thư riêng. Điều này có thể giảm bớt sự lộn xộn trong hộp thư chính của bạn, nhưng một mã bất ngờ rơi vào đó vẫn không cho biết ai đã yêu cầu hay vì lý do gì.
Email tạm thời có những giới hạn thực sự, và chúng quan trọng nhất đối với bảo mật. Tmailor chỉ nhận thư, tin nhắn sẽ biến mất khoảng 24 giờ sau khi đến, và một địa chỉ chỉ có thể được mở lại bằng Access Token của nó. Access Token bị mất không thể khôi phục, đó là lý do vì sao trang tái sử dụng Access Token là cách duy nhất để quay lại một địa chỉ bạn đã lưu.
Mã từ một số dịch vụ có thể không đến được địa chỉ email tạm, như hướng dẫn về những gì hiệu quả và thất bại với OTP thư tạm thời giải thích. Hãy giữ tài khoản ngân hàng, email chính, nhà mạng điện thoại, công việc và thiết bị của bạn trên một địa chỉ cố định mà bạn kiểm soát; phần tổng quan về giới hạn và rủi ro thư tạm đề cập những nơi hộp thư tạm không nên dùng.
Nếu tin nhắn bạn nhận được là "mã đăng nhập tạm thời của ChatGPT", hướng dẫn mã đăng nhập ChatGPT sẽ hướng dẫn các bước cụ thể của OpenAI. Khi bạn sẵn sàng tách riêng lần đăng ký ít rủi ro tiếp theo, bạn có thể tạo một địa chỉ thư tạm miễn phí một địa chỉ chỉ trong vài giây.
Các câu hỏi thường gặp
Mã xác minh bất ngờ có nghĩa là ai đó biết mật khẩu của tôi không?
Không hẳn vậy. Nhiều dịch vụ gửi mã cho việc đăng ký, đặt lại mật khẩu hoặc đăng nhập không cần mật khẩu mà hoàn toàn không cần mật khẩu của bạn, và một số mã đến từ việc gõ nhầm. Hãy kiểm tra tài khoản trực tiếp. Hãy đổi mật khẩu nếu bạn thấy hoạt động lạ, nếu dịch vụ xác nhận có một lần đăng nhập, hoặc nếu bạn dùng lại mật khẩu đó ở nơi khác.
Nếu mã không cho biết là của ứng dụng hay tài khoản nào thì sao?
Hãy coi một mã không xác định là đáng ngờ và không làm gì với nó. Đừng trả lời để hỏi, và đừng gọi điện hay nhấn vào bất cứ thứ gì trong tin nhắn. Nếu bạn lo lắng về một tài khoản cụ thể, hãy tự mở ứng dụng hoặc trang web của dịch vụ đó và kiểm tra hoạt động gần đây.
Tại sao tôi lại nhận được mã cho một dịch vụ mà tôi không dùng?
Có thể ai đó đã nhập địa chỉ email hoặc số điện thoại của bạn khi đăng ký, hoặc tin nhắn có thể là giả. Hầu hết các dịch vụ không hoàn tất đăng ký cho đến khi mã hoặc liên kết được dùng, nên bạn thường có thể bỏ qua nó. Đừng tạo tài khoản để điều tra, và hãy liên hệ với dịch vụ qua trang web chính thức nếu tin nhắn vẫn tiếp tục đến.
Tại sao tôi lại nhận được tin nhắn OTP từ nhiều ứng dụng khác nhau?
Địa chỉ email hoặc số điện thoại của bạn có thể đã bị nhập vào nhiều ứng dụng, do nhầm lẫn hoặc cố ý, và một số tin nhắn có thể là lừa đảo. Tin nhắn OTP từ nhiều ứng dụng khác nhau tự chúng không chứng minh được một cuộc tấn công có phối hợp. Hãy kiểm tra trực tiếp từng dịch vụ được nêu tên, đổi bất kỳ mật khẩu nào bạn dùng lại trên các tài khoản đó, và bật bảo vệ đăng nhập mạnh hơn khi có thể.
Tôi có thể chặn các tin nhắn mã xác minh không mong muốn không?
Bạn có thể chặn người gửi hoặc dùng tính năng lọc thư rác của điện thoại, và FTC khuyến nghị chuyển tiếp tin nhắn rác đến 7726 (SPAM). Tuy nhiên, chặn số của một dịch vụ thật có thể khiến bạn không nhận được những mã bạn cần sau này. Nếu tin nhắn đến từ một dịch vụ bạn dùng, hãy bảo vệ tài khoản đó và liên hệ với đội ngũ hỗ trợ của dịch vụ thay vì chặn.
Tôi nên làm gì với email đặt lại mật khẩu mà tôi không yêu cầu?
Một tin nhắn đặt lại không mong muốn thường có nghĩa là có người đã yêu cầu đặt lại chứ chưa hoàn tất. Đừng dùng các liên kết trong đó. Hãy tự mở dịch vụ trực tiếp để xác nhận rằng mật khẩu và thông tin khôi phục của bạn không thay đổi, đặc biệt nếu tin nhắn nói rằng đã có thay đổi.
Quy tắc áp dụng cho mọi trường hợp
Dù nguyên nhân là gì, đừng chia sẻ hoặc dùng một mã mà bạn không yêu cầu. Hãy kiểm tra tài khoản được nêu tên qua ứng dụng hoặc trang web chính thức của dịch vụ. Hãy bảo vệ tài khoản đó ngay nếu mã cứ tiếp tục đến, bạn thấy hoạt động lạ, bạn đã chia sẻ mã, hoặc bạn đã phê duyệt một lời nhắc mà bạn không khởi động. Nếu vấn đề của bạn là ngược lại — mã bạn yêu cầu không bao giờ xuất hiện — hãy xem lý do tại sao mã OTP không đến.
Priya Nair focuses on email deliverability and one-time-password (OTP) flows. She tests how verification codes from Google, Apple, social and crypto platforms land in disposable inboxes, and documents what improves OTP reliability on temp mail.
