Mã OTP là gì? Smart OTP, TOTP và quy định ngân hàng 2026

Mục lục

1. Mã OTP là gì?
2. OTP ra đời từ đâu?
3. Mã OTP hoạt động như thế nào?
4. Các loại mã OTP phổ biến hiện nay
5. HOTP và TOTP khác nhau thế nào?
6. Smart OTP và SMS OTP: nên dùng loại nào?
7. Quy định về mã OTP trong ngân hàng tại Việt Nam
8. Kẻ gian chiếm mã OTP bằng những chiêu nào?
9. Dấu hiệu nhận biết yêu cầu OTP lừa đảo
10. Lỡ cung cấp mã OTP thì phải làm gì?
11. Doanh nghiệp dùng OTP thế nào cho an toàn?
12. Ưu và nhược điểm của mã OTP
13. OTP khác gì mã PIN, passkey và sinh trắc học?
14. Câu hỏi thường gặp

Mã OTP là gì?

OTP là viết tắt của One-Time Password, nghĩa là mật khẩu dùng một lần. Đây là một dãy ký tự, phổ biến nhất là 6 chữ số, được tạo ra cho một lần đăng nhập hoặc một giao dịch cụ thể. Mã chỉ sống trong thời gian ngắn. Khi đã dùng hoặc hết hạn, mã đó vô giá trị.

Khác biệt với mật khẩu thường nằm ở chữ “một lần”. Mật khẩu đăng nhập là mật khẩu tĩnh: đặt một lần, dùng mãi, bị lộ là kẻ gian dùng lại được. OTP liên tục thay đổi. Kẻ nghe lén được một mã cũ cũng không làm được gì, vì máy chủ không chấp nhận mã đã dùng.

OTP thường là lớp xác thực thứ hai bên cạnh mật khẩu. Mật khẩu là “thứ bạn biết”, còn OTP chứng minh bạn đang giữ “thứ bạn có”: số điện thoại đã đăng ký, điện thoại cài ứng dụng ngân hàng hay thiết bị token. Cách kết hợp này gọi là xác thực đa yếu tố (MFA). Bài này đi sâu riêng vào OTP: cách mã được tạo, các loại mã, quy định ngân hàng và cách giữ mã an toàn.

Một ví dụ dễ hình dung

Ví dụ minh hoạ. Bạn chuyển 3 triệu đồng cho người thân qua ứng dụng ngân hàng. Sau khi nhập số tài khoản và số tiền, bạn nhận tin nhắn: “Ma OTP cua quy khach la 482913, dung de chuyen 3.000.000 VND, hieu luc 5 phut. Khong cung cap ma cho bat ky ai.” Bạn gõ 482913, giao dịch hoàn tất. Vài phút sau, ai đó có được dãy số này cũng không dùng được nữa.

Mã OTP dùng để làm gì?

OTP xuất hiện ở những bước mà dịch vụ cần chắc chắn người thao tác đang giữ đúng số điện thoại, email hoặc thiết bị đã đăng ký. Các tình huống phổ biến:

• Xác nhận giao dịch: chuyển tiền, thanh toán thẻ trực tuyến, đổi hạn mức, thêm người thụ hưởng trong ứng dụng ngân hàng.
• Đăng nhập lớp thứ hai: sau khi nhập đúng mật khẩu, hệ thống hỏi thêm mã, nhất là khi bạn đăng nhập trên thiết bị mới.
• Đặt lại mật khẩu, khôi phục tài khoản: mã gửi về số điện thoại hoặc email để chứng minh bạn là chủ tài khoản.
• Xác minh khi đăng ký: dịch vụ kiểm tra số điện thoại hoặc email bạn nhập là có thật và do bạn kiểm soát.
• Xác nhận ý chí trên giấy tờ số: một số nền tảng dùng OTP để người ký xác nhận trước khi hoàn tất, ví dụ trong quy trình hợp đồng điện tử.

Điểm chung: OTP trả lời câu hỏi “người này có đang giữ kênh đã đăng ký không”, chứ không chứng minh bạn là ai trên giấy tờ.

OTP ra đời từ đâu?

Năm 1981, nhà khoa học máy tính Leslie Lamport công bố bài báo “Password Authentication with Insecure Communication” trên tạp chí Communications of the ACM. Ông đề xuất dùng chuỗi giá trị băm, mỗi lần đăng nhập dùng một mắt xích khác nhau. Ý tưởng này được hiện thực trong hệ thống S/KEY, mô tả trong tài liệu RFC 1760 của IETF (tổ chức chuẩn hoá Internet) tháng 2/1995.

Hai thuật toán dùng rộng rãi nhất hiện nay ra đời sau đó: HOTP (HMAC-based One-Time Password, RFC 4226, tháng 12/2005) tính mã từ khoá bí mật và một bộ đếm; TOTP (Time-based One-Time Password, RFC 6238, tháng 5/2011) thay bộ đếm bằng thời gian. Ứng dụng xác thực, token và phần lớn Smart OTP đều dựa trên tư duy này. Nền tảng của chúng là hàm băm.

Mã OTP hoạt động như thế nào?

Dù có nhiều tên gọi, mọi mã OTP đều thuộc một trong hai cách tạo dưới đây.

Cách 1: Máy chủ sinh mã rồi gửi cho bạn

Đây là cách của SMS OTP, Voice OTP và email OTP. Khi bạn yêu cầu giao dịch, máy chủ tạo một số ngẫu nhiên, lưu kèm thời hạn, rồi gửi qua tin nhắn, cuộc gọi tự động hoặc email. Bạn nhập lại mã. Đúng mã, còn hạn và chưa dùng thì giao dịch được duyệt.

Ưu điểm là ai có điện thoại cũng dùng được. Nhược điểm là mã đi qua mạng viễn thông hoặc hộp thư; ai chiếm được kênh đó, như kẻ làm lại SIM hay ứng dụng độc đọc tin nhắn, đều thấy mã.

Cách 2: Ứng dụng hoặc token tự tính mã

Đây là cách của Smart OTP, Soft OTP, Token OTP và ứng dụng xác thực. Lúc kích hoạt, máy chủ và thiết bị của bạn cùng giữ một khoá bí mật (shared secret). Khi cần mã, thiết bị đưa khoá và một “yếu tố thay đổi” vào hàm HMAC (mã xác thực thông điệp dùng hàm băm), rồi rút gọn kết quả thành vài chữ số. Máy chủ làm phép tính y hệt và so kết quả.

• Với HOTP, yếu tố thay đổi là bộ đếm 8 byte, tăng sau mỗi lần tạo mã. Công thức trong RFC 4226 là HOTP(K, C) = Truncate(HMAC-SHA-1(K, C)), với K là khoá, C là bộ đếm. Chuẩn yêu cầu mã tối thiểu 6 chữ số, khoá tối thiểu 128 bit, khuyến nghị 160 bit.
• Với TOTP, yếu tố thay đổi là thời gian. RFC 6238 tính T = (thời gian Unix hiện tại − T0) / X, mặc định X = 30 giây, T0 là mốc 01/01/1970. Vì vậy mã trong ứng dụng xác thực đổi sau mỗi 30 giây. TOTP được phép dùng HMAC-SHA-256 hoặc HMAC-SHA-512.

Mã không đi qua mạng viễn thông, ứng dụng TOTP còn chạy khi mất sóng. Đổi lại, lộ khoá bí mật là lộ mọi mã trong tương lai.

Máy chủ kiểm tra mã ra sao?

• Chỉ chấp nhận một lần. RFC 6238 ghi rõ bên xác minh không được chấp nhận lần nhập thứ hai của cùng một OTP.
• Cho phép lệch nhỏ. RFC 6238 khuyến nghị chỉ chấp nhận tối đa một bước thời gian cho độ trễ mạng. Với HOTP, máy chủ thử thêm vài giá trị bộ đếm kế tiếp (cửa sổ look-ahead) để bắt kịp khi bạn lỡ tạo mã mà không dùng.
• Giới hạn số lần nhập sai. Mã 6 chữ số có 1.000.000 khả năng; nếu cho thử vô hạn, kẻ gian có thể đoán dần. Vì vậy RFC 4226 đề xuất máy chủ từ chối người dùng sau một số lần sai nhất định.

OTP gắn với giao dịch là gì?

Mã OTP thông thường chỉ chứng minh “người này đang giữ thiết bị”, không cho biết bạn đồng ý chuyển bao nhiêu tiền, cho ai. Vì vậy có loại OTP nâng cao, gọi là ký giao dịch (transaction signing). Theo văn bản của Ngân hàng Nhà nước, mã nâng cao được tạo kết hợp với mã của từng giao dịch. Về nguyên tắc, mã sinh cho lệnh chuyển 3 triệu đồng tới tài khoản A không dùng được cho lệnh chuyển 50 triệu đồng tới tài khoản B.

Các loại mã OTP phổ biến hiện nay

Các tên gọi dưới đây xuất hiện trong văn bản của Ngân hàng Nhà nước và ứng dụng ngân hàng. Thời hạn hiệu lực lấy theo khoản 3 Điều 11 Thông tư 50/2024/TT-NHNN.

Loại OTP	Cách nhận mã	Hiệu lực tối đa	Rủi ro chính
SMS OTP	Tin nhắn tới số điện thoại đã đăng ký	5 phút	Bị chiếm SIM, ứng dụng độc đọc tin nhắn, bị lừa đọc mã
Voice OTP	Cuộc gọi tự động đọc mã	3 phút	Như SMS OTP, phụ thuộc mạng viễn thông
Email OTP	Thư điện tử	5 phút	Hộp thư bị chiếm thì mọi mã đều lộ
Thẻ ma trận OTP	Thẻ in sẵn bảng mã, hệ thống hỏi ô ngẫu nhiên	Mã 2 phút; thẻ dùng tối đa 1 năm	Bị chụp ảnh thẻ, mất thẻ
Soft OTP / Smart OTP cơ bản	Ứng dụng sinh mã theo thời gian	2 phút	Mất máy chưa khoá, bị lừa đọc mã
Soft OTP / Smart OTP nâng cao	Ứng dụng sinh mã gắn với mã giao dịch	2 phút	Thấp hơn; vẫn rủi ro khi máy bị điều khiển từ xa
Token OTP	Thiết bị chuyên dụng, loại cơ bản hoặc nâng cao	2 phút	Mất thiết bị, hết pin, chi phí cấp phát
Ứng dụng xác thực (TOTP)	Ứng dụng sinh mã 30 giây cho email, mạng xã hội, hệ thống doanh nghiệp	Thường 30 giây mỗi mã	Mất máy khi chưa sao lưu, bị lừa nhập mã vào trang giả

Thông tư 50/2024 còn có xác thực hai kênh: ngân hàng gửi yêu cầu xác nhận qua cuộc gọi, USSD hoặc phần mềm chuyên dụng để bạn đồng ý hoặc từ chối, hiệu lực tối đa 5 phút.

HOTP và TOTP khác nhau thế nào?

Tiêu chí	HOTP	TOTP
Chuẩn	RFC 4226 (12/2005)	RFC 6238 (5/2011)
Yếu tố thay đổi	Bộ đếm tăng sau mỗi lần tạo mã	Thời gian, chia theo bước (mặc định 30 giây)
Thời hạn của mã	Còn hiệu lực đến khi được dùng hoặc có mã mới hơn được chấp nhận	Tự hết hạn sau mỗi bước thời gian
Đồng bộ	Đồng bộ bộ đếm, dùng cửa sổ look-ahead	Cần đồng hồ chính xác, cho phép lệch nhỏ
Rủi ro đặc thù	Mã chưa dùng tồn tại lâu, dễ bị lừa lấy rồi dùng sau	Đồng hồ máy sai giờ làm mã bị từ chối

Vì mã tự hết hạn nhanh, TOTP phổ biến hơn trong thực tế.

Smart OTP và SMS OTP: nên dùng loại nào?

Nếu ngân hàng cho chọn, Smart OTP thường an toàn hơn vì ba lý do. Mã sinh trong ứng dụng nên chiếm SIM không lấy được mã. Theo Thông tư 50/2024, mã kích hoạt Soft OTP chỉ dùng trên một thiết bị, và ứng dụng phải tự khoá khi nhập sai liên tiếp quá số lần quy định, tối đa 10 lần. Loại nâng cao còn gắn mã với đúng giao dịch bạn đang làm.

SMS OTP dễ dùng, không cần điện thoại thông minh, hợp với người lớn tuổi, nhưng yếu hơn. Cơ quan an ninh mạng Hoa Kỳ (CISA), trong tài liệu tháng 10/2022, khuyên chỉ coi OTP qua SMS và cuộc gọi là lựa chọn cuối cùng, tạm thời. Hướng dẫn NIST SP 800-63B-4 (bản chính thức tháng 7/2025) xếp xác thực qua mạng điện thoại công cộng vào nhóm “hạn chế” và yêu cầu cân nhắc dấu hiệu rủi ro như đổi thiết bị, đổi SIM, chuyển mạng giữ số.

Dù là loại nào, NIST ghi thẳng rằng xác thực bằng OTP không có khả năng chống phishing. Khi chính bạn đưa mã cho kẻ gian, mọi thuật toán đều vô nghĩa.

Quy định về mã OTP trong ngân hàng tại Việt Nam

Yêu cầu tối thiểu về OTP nằm trong văn bản của Ngân hàng Nhà nước. Dưới đây là các điểm liên quan trực tiếp, cập nhật đến tháng 10/2026.

Thông tư 50/2024/TT-NHNN

Thông tư 50/2024/TT-NHNN ngày 31/10/2024, hiệu lực từ 01/01/2025, quy định an toàn, bảo mật cho dịch vụ trực tuyến trong ngành ngân hàng:

• Thời hạn hiệu lực của từng loại OTP tại khoản 3 Điều 11, như bảng ở mục trên.
• Soft OTP phải kích hoạt trước khi dùng, mã kích hoạt chỉ dùng trên một thiết bị, tự khoá khi nhập sai quá số lần quy định (tối đa 10 lần). Nếu Soft OTP là ứng dụng riêng, khi đăng nhập lần đầu hoặc trên thiết bị khác phải xác minh bằng SMS hoặc Voice OTP kết hợp sinh trắc học.
• Đăng nhập Mobile Banking trên thiết bị mới (khoản 6 Điều 8): với khách hàng cá nhân, phải kiểm tra tối thiểu bằng SMS OTP hoặc Voice OTP qua số đã đăng ký, hoặc Soft OTP, Token OTP.
• Không gửi link (khoản 3 Điều 7): ngân hàng không gửi SMS, thư điện tử chứa đường link cho khách hàng, trừ khi khách hàng yêu cầu.

Quyết định 2345/QĐ-NHNN và mốc sinh trắc học

Quyết định 2345/QĐ-NHNN ngày 18/12/2023, áp dụng từ 01/07/2024, phân giao dịch trực tuyến thành bốn loại A, B, C, D theo mức rủi ro. Loại A (tra cứu, chuyển giữa tài khoản cùng chủ) chỉ cần tên đăng nhập và mật khẩu. Loại B dùng được các hình thức như SMS, Voice, email OTP, thẻ ma trận, Soft/Token OTP cơ bản. Loại C, D áp dụng biện pháp mạnh hơn, trong đó có đối chiếu sinh trắc học; loại D kết hợp sinh trắc với Soft/Token OTP nâng cao, FIDO hoặc chữ ký điện tử an toàn.

Mốc được nhắc nhiều nhất: từ 01/07/2024, cá nhân chuyển tiền trên 10 triệu đồng mỗi lần hoặc khi tổng giao dịch trong ngày vượt 20 triệu đồng phải xác thực sinh trắc học. Dưới ngưỡng đó, OTP vẫn là phương thức xác nhận chính. Chi tiết có trong bài sinh trắc học là gì.

Thông tư 77/2025/TT-NHNN

Thông tư 77/2025/TT-NHNN ngày 31/12/2025 sửa đổi Thông tư 50/2024, hiệu lực từ 01/03/2026. Văn bản không đổi các thời hạn OTP nêu trên. Điểm đáng chú ý là thay mới các phụ lục về phân nhóm giao dịch và hình thức xác thực; phần này áp dụng từ 01/07/2026 với đơn vị phục vụ cả cá nhân lẫn tổ chức, từ 01/10/2026 với đơn vị chỉ phục vụ tổ chức. Thông tư cũng buộc ứng dụng ngân hàng tự dừng khi phát hiện máy đã root, jailbreak hoặc bị can thiệp.

Kẻ gian chiếm mã OTP bằng những chiêu nào?

Thuật toán OTP rất khó bẻ, nên kẻ gian hầu như không “phá” mã mà tìm cách để bạn tự đưa mã hoặc chặn mã trên đường đi. Theo tổng kết của Hiệp hội An ninh mạng quốc gia (NCA) công bố ngày 07/01/2026, dựa trên thống kê của Bộ Công an, thiệt hại do lừa đảo trực tuyến tại Việt Nam trong 11 tháng năm 2025 ước tính trên 6.000 tỷ đồng. Trong cảnh báo ngày 08/09/2026 về 25 kịch bản lừa đảo trên không gian mạng, Bộ Công an tiếp tục khuyến cáo không cung cấp mã OTP cho bất kỳ ai.

Các nhóm thủ đoạn chính, mô tả ở mức nhận biết để phòng tránh:

• Giả danh để xin mã. Kẻ gian xưng là nhân viên ngân hàng, công an, nhà mạng, viện cớ hoàn tiền, khoá tài khoản, xác minh hồ sơ để xin bạn đọc mã vừa nhận. Đây là dạng tấn công đánh vào tâm lý, gọi là social engineering.
• Trang web giả hỏi OTP. Bạn bấm link, vào trang giống hệt ngân hàng, nhập mật khẩu rồi OTP. Kẻ gian chuyển ngay sang trang thật khi mã còn hạn, kiểu tấn công trung gian (AiTM) Microsoft đã mô tả năm 2022. Dấu hiệu nhận biết có trong bài phishing là gì.
• Tin nhắn thương hiệu giả. Tháng 8/2025, cơ quan quản lý tần số cùng công an liên tục phát hiện trạm phát sóng giả (BTS giả) tại TP HCM phát tin nhắn mạo danh ngân hàng. Tin nhắn mang tên ngân hàng chưa chắc là thật.
• Ứng dụng giả, điều khiển từ xa. Kẻ gian dụ cài ứng dụng “dịch vụ công”, “VNeID”, “cập nhật sinh trắc” giả qua link. Ứng dụng xin quyền đọc tin nhắn hoặc điều khiển màn hình để lấy OTP. Đây là một dạng phần mềm độc hại.
• Chiếm SIM (SIM swap). Kẻ gian tìm cách chuyển số điện thoại của bạn sang SIM chúng giữ, khi đó SMS OTP về máy chúng. Dấu hiệu là điện thoại bỗng mất sóng hoàn toàn dù khu vực vẫn có sóng.
• Dụ bấm đồng ý. Với xác nhận bằng nút bấm, kẻ gian gửi liên tục yêu cầu, chờ bạn bấm nhầm. Trong vụ xâm nhập Uber tháng 9/2022, sau khi có mật khẩu của một nhân viên hợp đồng, kẻ tấn công liên tục gửi yêu cầu phê duyệt cho tới khi người này bấm đồng ý.

Dấu hiệu nhận biết yêu cầu OTP lừa đảo

1. Có người hỏi mã OTP của bạn, dù xưng là ai. Ngân hàng, công an, nhà mạng không có lý do gì để hỏi mã này.
2. Bạn nhận OTP khi không hề yêu cầu giao dịch hay đăng nhập: ai đó đang dùng mật khẩu của bạn ở nơi khác.
3. Nội dung tin OTP không khớp việc bạn đang làm: bạn “nhận tiền hoàn” nhưng tin ghi chuyển tiền đi, hoặc có số tiền, tài khoản lạ.
4. Tin nhắn “ngân hàng” có kèm đường link.
5. Người gọi hối thúc, doạ khoá tài khoản, doạ liên quan vụ án, hoặc hứa hoàn tiền trong vài phút.
6. Bạn được hướng dẫn cài ứng dụng qua link, bật quyền trợ năng hoặc chia sẻ màn hình.

Thói quen đơn giản nhất: luôn đọc hết tin nhắn OTP trước khi nhập.

Lỡ cung cấp mã OTP thì phải làm gì?

Kẻ gian thường dùng mã chỉ trong vài phút, nên tốc độ phản ứng quyết định số tiền còn giữ được:

1. Gọi hotline ngân hàng theo số in trên thẻ hoặc trang chính thức, yêu cầu khoá tài khoản, ngân hàng điện tử và thẻ.
2. Đổi mật khẩu ngân hàng, email và các tài khoản dùng chung mật khẩu, từ một thiết bị sạch.
3. Kiểm tra điện thoại: gỡ ứng dụng lạ, thu hồi quyền trợ năng, quyền đọc tin nhắn. Nếu mất sóng bất thường, liên hệ nhà mạng kiểm tra SIM.
4. Báo công an nơi gần nhất, mang theo sao kê, ảnh chụp tin nhắn, số điện thoại, link lừa đảo. Bạn cũng có thể tố giác qua ứng dụng VNeID (cần tài khoản định danh mức 2).
5. Phản ánh cuộc gọi, tin nhắn lừa đảo qua đầu số 156 hoặc 5656, và website giả qua trang canhbao.khonggianmang.vn của Trung tâm Giám sát an toàn không gian mạng quốc gia.

Doanh nghiệp dùng OTP thế nào cho an toàn?

Nếu doanh nghiệp gửi OTP cho khách hàng hoặc dùng OTP cho hệ thống nội bộ, các nguyên tắc dưới đây tổng hợp từ RFC 4226, RFC 6238 và NIST SP 800-63B-4:

• Đủ dài, đủ ngẫu nhiên. Tối thiểu 6 chữ số, sinh bằng bộ sinh số ngẫu nhiên an toàn. Với OTP sinh tại thiết bị, NIST yêu cầu khoá bí mật đạt cường độ tối thiểu 112 bit.
• Hết hạn nhanh, dùng một lần. NIST yêu cầu xác thực qua kênh ngoài như SMS hoàn tất trong 10 phút; ngân hàng Việt Nam áp ngưỡng chặt hơn. Đánh dấu mã đã dùng ngay khi xác thực thành công.
• Giới hạn nhập sai. NIST đặt trần 100 lần thất bại liên tiếp cho một phương thức xác thực; Soft OTP ngân hàng khoá sau tối đa 10 lần. Gửi mã mới không được đặt lại bộ đếm lần sai.
• Không ghi log mã dạng rõ, mã hoá khoá bí mật TOTP khi lưu.
• Tin nhắn rõ ràng. Ghi mục đích, số tiền, tài khoản nhận (có thể che bớt), câu “không cung cấp mã cho bất kỳ ai”, không chèn link.
• Chống gửi tin hàng loạt. Kẻ gian có thể lạm dụng ô nhập số điện thoại để kích hoạt gửi OTP tới hàng loạt số (SMS pumping), khiến doanh nghiệp chịu chi phí. Biện pháp: giới hạn tần suất theo người dùng, IP, thiết bị; CAPTCHA; tắt gửi tới quốc gia không phục vụ; theo dõi tỷ lệ mã được xác thực trên mã đã gửi.
• Ưu tiên phương thức mạnh cho tài khoản nhạy cảm. Tài khoản quản trị, tài chính nên dùng khoá FIDO2 hoặc passkey, giữ OTP làm dự phòng, và thiết kế quy trình khôi phục khi mất thiết bị thật chặt.

OTP chỉ là một mắt xích. Để có bức tranh đầy đủ, xem thêm bài an toàn thông tin là gì.

Ưu và nhược điểm của mã OTP

Ưu điểm	Nhược điểm
Dễ hiểu, dễ dùng, gần như ai cũng quen	Không chống được phishing và lừa đảo xin mã
Mã cũ bị lộ không dùng lại được	SMS OTP phụ thuộc nhà mạng, lộ khi bị chiếm SIM
Thêm lớp bảo vệ khi mật khẩu bị lộ	Mất điện thoại hoặc token là gián đoạn giao dịch
TOTP chạy được khi không có mạng	Phải bảo vệ khoá bí mật trên cả thiết bị và máy chủ

OTP khác gì mã PIN, passkey và sinh trắc học?

• Mã PIN là mã cố định do bạn tự đặt, dùng nhiều lần; Thông tư 50/2024 yêu cầu PIN tối thiểu 6 chữ số. OTP do hệ thống tạo và chỉ dùng một lần.
• Passkey dùng cặp khoá mã hoá gắn với đúng tên miền của dịch vụ, nên trang giả không lấy được gì. Vì vậy passkey chống phishing tốt hơn OTP.
• Sinh trắc học xác nhận chính người thực hiện, được yêu cầu cho giao dịch giá trị lớn. Nó thường đi kèm, chưa thay hẳn OTP.

Xu hướng chung là OTP lùi dần thành lớp dự phòng, giao dịch rủi ro cao chuyển sang sinh trắc học, passkey hoặc OTP gắn giao dịch.

Câu hỏi thường gặp

Mã OTP có bao nhiêu số?

Phổ biến nhất là 6 chữ số. Chuẩn HOTP yêu cầu tối thiểu 6 chữ số và cho phép 7 hoặc 8 chữ số khi cần bảo mật cao hơn.

Mã OTP có hiệu lực trong bao lâu?

Ở ngân hàng Việt Nam, tối đa 5 phút với SMS OTP, 2 phút với Smart OTP. Mã ứng dụng xác thực thường đổi sau 30 giây.

Nhân viên ngân hàng có bao giờ hỏi mã OTP không?

Không. OTP chỉ để chính bạn nhập vào ứng dụng hoặc trang chính thức. Bất kỳ ai hỏi mã, qua điện thoại, tin nhắn hay mạng xã hội, đều nên được coi là kẻ gian.

Vì sao tôi không nhận được mã OTP?

Thường do mất sóng, bật chế độ máy bay, SIM bị khoá, số đăng ký với ngân hàng đã đổi, hoặc lỡ chặn tin nhắn từ tên ngân hàng. Chờ vài phút rồi yêu cầu lại; vẫn không được thì gọi hotline. Không nhờ người lạ “lấy mã hộ”.

Mất điện thoại cài Smart OTP thì làm gì?

Gọi ngay hotline ngân hàng để khoá ngân hàng điện tử và Smart OTP, rồi liên hệ nhà mạng khoá SIM. Khi có máy mới, kích hoạt lại theo quy trình của ngân hàng, thường kèm xác minh qua SMS OTP và sinh trắc học.

Ứng dụng xác thực TOTP có cần Internet không?

Không. Mã được tính từ khoá bí mật và đồng hồ trên máy. Bạn chỉ cần đồng hồ chạy đúng giờ, và nên lưu mã khôi phục để không bị khoá ngoài khi đổi máy.