Mật khẩu mạnh cho cả gia đình: bộ quy tắc đơn giản, dễ nhớ

Mật khẩu là chiếc chìa khoá của email, mạng xã hội, ngân hàng và hàng loạt tài khoản khác trong gia đình. Nhiều người vẫn nghĩ mật khẩu mạnh nghĩa là phải chứa đủ chữ hoa, số và ký tự đặc biệt, rồi phải đổi liên tục. Hướng dẫn kỹ thuật của NIST (Viện Tiêu chuẩn và Công nghệ Mỹ) lại cho thấy cách tiếp cận thực tế hơn. Dưới đây là bốn quy tắc đơn giản, dễ nhớ để cả nhà cùng làm.

Quy tắc 1: Dùng câu mật khẩu dài thay vì mật khẩu khó nhớ

Mật khẩu càng dài càng khó đoán. Thay vì một chuỗi ký tự lộn xộn như `Pq7#x!`, hãy dùng một câu hoặc nhiều từ ghép lại mà bạn dễ nhớ nhưng người khác khó đoán, ví dụ ghép bốn năm từ không liên quan với nhau. Hãy tránh tên, ngày sinh, số điện thoại hay những cụm quá phổ biến như “123456” hoặc “matkhau”.

Hướng dẫn NIST SP 800-63B cho biết:

• Mật khẩu do người dùng tự chọn nên có tối thiểu 8 ký tự, và hệ thống nên cho phép dài tới ít nhất 64 ký tự.
• Không nên bắt buộc các quy tắc kiểu “phải có chữ hoa, số, ký tự đặc biệt”.
• Hệ thống nên đối chiếu mật khẩu mới với danh sách mật khẩu hay bị lộ và từ điển thông dụng, để chặn những mật khẩu quá dễ đoán.

Đây là hướng dẫn dành cho đơn vị cung cấp dịch vụ, nhưng người dùng cũng có thể áp dụng tinh thần đó: ưu tiên độ dài và tính khó đoán, không ưu tiên các thủ thuật thay chữ cái bằng ký tự.

Quy tắc 2: Mỗi tài khoản một mật khẩu

Nếu bạn dùng chung một mật khẩu cho nhiều nơi, chỉ cần một trang bị lộ dữ liệu là kẻ xấu có thể thử mật khẩu đó trên email, mạng xã hội, ngân hàng. Vì thế:

1. Mỗi tài khoản dùng một mật khẩu riêng.
2. Ưu tiên đặc biệt cho email chính, vì email thường dùng để đặt lại mật khẩu các tài khoản còn lại.
3. Không chia sẻ mật khẩu qua tin nhắn hay ghi lên giấy dán ở nơi ai cũng thấy.
4. Nếu nghi ngờ một tài khoản bị lộ, đổi mật khẩu ngay. Theo NIST, việc đổi mật khẩu là cần thiết khi có bằng chứng mật khẩu bị lộ; còn đổi định kỳ vô điều kiện thì không được khuyến nghị.

Quy tắc 3: Dùng trình quản lý mật khẩu

Nhớ hàng chục mật khẩu dài khác nhau là việc bất khả thi. Trình quản lý mật khẩu giải quyết bằng cách lưu mọi mật khẩu trong một kho được bảo vệ bởi một mật khẩu chính. Bạn chỉ cần nhớ mật khẩu chính đó, và nên làm nó thật dài và khó đoán.

Một số lưu ý thực tế:

• Chọn công cụ uy tín, đọc kỹ cách dữ liệu được mã hoá và sao lưu.
• Không lưu mật khẩu chính ở đâu khác ngoài đầu bạn, hoặc một nơi cất cẩn thận ngoài đời thực.
• Hướng dẫn NIST cũng khuyến nghị hệ thống nên cho phép dán mật khẩu, vì điều đó giúp người dùng dùng được trình quản lý mật khẩu.
• Nếu chưa quen, bắt đầu với những tài khoản quan trọng nhất rồi mở rộng dần.

Với người lớn tuổi trong gia đình, có thể hỗ trợ cài đặt ban đầu và hướng dẫn cách dùng vài thao tác cơ bản.

Quy tắc 4: Bật xác thực hai lớp cho email và ngân hàng

Xác thực hai lớp (còn gọi 2FA hoặc xác minh hai bước) yêu cầu thêm một yếu tố thứ hai ngoài mật khẩu, ví dụ mã gửi về điện thoại hoặc từ ứng dụng. Nhờ vậy, ngay cả khi mật khẩu bị lộ, kẻ xấu cũng khó đăng nhập.

Nên bật trước ở:

• Email chính của từng người trong gia đình.
• Tài khoản ngân hàng và ví điện tử.
• Mạng xã hội và các dịch vụ lưu trữ ảnh, tài liệu.

Mỗi dịch vụ có cách bật khác nhau, hãy xem hướng dẫn trên trang hỗ trợ chính thức của dịch vụ đó. Lưu ý lưu lại mã khôi phục ở nơi an toàn, phòng khi mất điện thoại. Tuyệt đối không cung cấp mã xác thực cho người gọi điện hay nhắn tin dù họ tự xưng là ai.

Một bảng tóm tắt cho cả nhà

Ngoài ra, nên cùng nhau đặt một buổi cuối tuần để rà lại các tài khoản quan trọng và cập nhật thông tin khôi phục như số điện thoại, email phụ. Với trẻ em, dạy các em không chia sẻ mật khẩu với bạn bè và báo cho cha mẹ khi gặp tin nhắn lạ.

Cập nhật 2026: Theo trang NIST, SP 800-63B đã được thay thế bởi SP 800-63-4 từ ngày 1/8/2025, nên hãy xem bản mới khi cần đối chiếu chi tiết kỹ thuật; các nguyên tắc dùng cho gia đình ở trên vẫn là những thói quen cơ bản. Hãy đọc thêm 7 dấu hiệu nhận biết email lừa đảo (phishing), lừa đảo mạo danh ngân hàng và mã OTP và WannaCry: bài học và lỗi sao lưu.

Nếu cần tìm hiểu thêm về an toàn số cho cộng đồng, có thể xem trang cộng đồng của HVSC.

Câu hỏi thường gặp

Có cần đổi mật khẩu thường xuyên không?

Theo hướng dẫn NIST SP 800-63B, không nên ép đổi định kỳ vô điều kiện; nên đổi khi có bằng chứng hoặc nghi ngờ mật khẩu bị lộ. Hãy kiểm tra hướng dẫn hiện hành tại nguồn chính thức.

Mật khẩu bao nhiêu ký tự là đủ?

NIST nêu mức tối thiểu 8 ký tự cho mật khẩu người dùng tự chọn và khuyến nghị cho phép dài tới ít nhất 64 ký tự. Trên thực tế, câu mật khẩu dài hơn mức tối thiểu sẽ khó đoán hơn.

Trình quản lý mật khẩu có an toàn không?

Nếu dùng sản phẩm uy tín, đặt mật khẩu chính mạnh và bật xác thực hai lớp thì thường an toàn hơn việc dùng chung một mật khẩu. Hãy đọc kỹ chính sách bảo mật của từng công cụ.

Nguồn tham khảo

• NIST — SP 800-63B Digital Identity Guidelines: https://pages.nist.gov/800-63-3/sp800-63b.html