Tài khoản bán hàng nên bật xác thực hai yếu tố (2FA) theo thứ tự: email cửa hàng trước, rồi tài khoản Facebook quản trị fanpage và Meta Business, sau đó kênh người bán Shopee, TikTok Shop và cuối cùng rà lại ứng dụng ngân hàng. Ở đâu có lựa chọn, ưu tiên ứng dụng xác thực hoặc khóa bảo mật hơn tin nhắn SMS; in mã dự phòng cất ở chỗ chỉ chủ shop biết; và mã đăng nhập tài khoản gốc phải về điện thoại của chủ shop, không về máy nhân viên đang cầm.
Vì sao tài khoản bán hàng không thể chỉ dựa vào mật khẩu
Mật khẩu của shop đi qua nhiều tay hơn mật khẩu cá nhân: từng được gửi cho nhân viên cũ, từng gõ trên máy in đơn ở hội chợ, từng lưu trên laptop mang ra quán. Chỉ cần lộ một lần, người lạ có thể vào kênh người bán sửa tài khoản ngân hàng nhận tiền, hoặc vào fanpage đuổi chủ shop ra. 2FA buộc người đăng nhập phải có thêm một thứ trong tay, thường là chiếc điện thoại của bạn hoặc một khóa bảo mật, nên mật khẩu lộ không còn đồng nghĩa với mất tài khoản.
2FA không chặn được mọi thứ. Nếu bạn tự đọc mã cho kẻ gian hay nhập mã vào trang giả, lớp bảo vệ này cũng thua. Nhưng nó loại bỏ phần lớn các vụ chiếm tài khoản chỉ dựa trên mật khẩu bị lộ hay bị đoán.
Các kiểu mã xác thực và kiểu nào hợp với chủ shop
| Kiểu | Cách hoạt động | Điểm mạnh | Điểm yếu với người bán |
|---|---|---|---|
| Mã qua SMS | Mã gửi về số điện thoại đăng ký | Dễ dùng, không cần cài gì | Phụ thuộc SIM; ai cầm máy có SIM là đọc được mã; có thể bị lừa đọc mã |
| Ứng dụng xác thực | Google Authenticator, Microsoft Authenticator… tạo mã đổi mỗi 30 giây | Không phụ thuộc sóng và SIM | Mất điện thoại mà chưa sao lưu thì khó khôi phục |
| Xác nhận trên ứng dụng | Bấm "Đúng là tôi" trên ứng dụng đã đăng nhập | Nhanh, hiện vị trí và thiết bị đang đăng nhập | Dễ bấm nhầm khi đang bận chốt đơn |
| Khóa bảo mật, passkey | Thiết bị vật lý hoặc khóa gắn trong điện thoại | Chống trang đăng nhập giả tốt nhất | Không phải nền tảng bán hàng nào cũng hỗ trợ |
Với shop nhỏ, cấu hình hợp lý là: ứng dụng xác thực trên điện thoại chủ shop cho email và Facebook; SMS về số của chủ shop cho các kênh chỉ hỗ trợ SMS; thêm passkey hoặc khóa bảo mật cho email cửa hàng nếu bạn sẵn sàng.
Bật 2FA cho từng tài khoản của cửa hàng
Email cửa hàng
Email là nơi nhận liên kết đặt lại mật khẩu của mọi kênh khác, nên bật đầu tiên. Với Gmail, vào phần bảo mật của Tài khoản Google, bật Xác minh 2 bước, thêm ứng dụng xác thực hoặc passkey, rồi tạo bộ mã dự phòng. Kiểm tra luôn số điện thoại và email khôi phục: phải là của chủ shop, không phải của nhân viên từng giúp tạo tài khoản.
Facebook quản trị fanpage và Meta Business
Bật xác thực hai yếu tố trong Trung tâm tài khoản cho tài khoản Facebook cá nhân đang giữ quyền quản trị Trang. Nếu shop dùng danh mục doanh nghiệp trên Meta Business Suite, vào phần cài đặt bảo mật để yêu cầu xác thực hai yếu tố với quản trị viên hoặc với tất cả mọi người trong danh mục. Như vậy cả tài khoản nhân viên được thêm vào cũng phải có 2FA, tránh trường hợp shop bị chiếm qua tài khoản yếu nhất.
Kênh người bán Shopee
Shopee chủ yếu xác minh đăng nhập bằng mã gửi về số điện thoại đăng ký hoặc xác nhận trong ứng dụng. Vì vậy, điều cần làm là đảm bảo số điện thoại gắn với tài khoản gốc là số chủ shop đang giữ, và mã PIN ví người bán chỉ chủ shop biết. Nhân viên dùng tài khoản phụ riêng, xác minh bằng thông tin của họ.
TikTok Shop
Tài khoản TikTok và trung tâm người bán có mục xác minh hai bước, cho chọn SMS, email hoặc ứng dụng xác thực. Bật cho cả tài khoản TikTok dùng để livestream, vì đó là tài sản mất công xây dựng nhất và hay bị nhắm tới.
Ngân hàng của cửa hàng
Ứng dụng ngân hàng hiện đã dùng mã OTP trong ứng dụng (Smart OTP) và xác thực sinh trắc học cho giao dịch lớn hoặc khi đăng nhập trên thiết bị mới. Việc của bạn là không để người khác đăng ký sinh trắc học trên điện thoại giữ tài khoản ngân hàng shop, không cài ứng dụng ngân hàng của shop lên máy nhân viên, và bật thông báo biến động số dư để thấy ngay giao dịch lạ.
Khi điện thoại nhận mã đang nằm trong tay nhân viên
Đây là tình huống rất phổ biến: shop có một "điện thoại cửa hàng" để trên quầy, gắn SIM đăng ký mọi tài khoản, nhân viên ca nào cầm máy ca đó. Kết quả là ai cầm máy cũng có thể đặt lại mật khẩu bất kỳ tài khoản nào. Cách gỡ:
- Tách tài khoản gốc khỏi máy cửa hàng. Đổi số điện thoại và ứng dụng xác thực của email, Facebook quản trị, tài khoản gốc Shopee, TikTok Shop sang điện thoại của chủ shop.
- Máy cửa hàng chỉ đăng nhập tài khoản phụ. Nó dùng để trực chat, in đơn, không giữ quyền tài chính hay quyền thêm người.
- Mỗi nhân viên tự giữ 2FA của tài khoản mình. Mã của nhân viên về máy nhân viên; khi họ nghỉ, chủ shop xóa tài khoản phụ thay vì phải đi đổi số.
- Nhân viên nghỉ mà số SIM shop đứng tên họ? Làm thủ tục chuyển chủ quyền thuê bao sang tên chủ shop hoặc hộ kinh doanh tại nhà mạng càng sớm càng tốt. Số nhận mã đứng tên người ngoài là điểm yếu lâu dài.
Cách chia quyền chi tiết cho từng kênh có trong bài chia quyền tài khoản shop cho nhân viên.
Mã dự phòng: cất ở đâu cho đúng
Gần như mọi dịch vụ có 2FA đều cho tạo mã dự phòng dùng một lần, để vào lại khi mất điện thoại. Với chủ shop, mã dự phòng của email và Facebook quản trị đáng giá ngang chìa khóa cửa hàng. Một vài nguyên tắc:
- In ra giấy hoặc chép tay, cất cùng giấy tờ đăng ký hộ kinh doanh ở nhà, không dán ở quầy.
- Có thể lưu thêm một bản trong trình quản lý mật khẩu riêng của chủ shop, không lưu trong kho dùng chung với nhân viên.
- Không chụp ảnh mã để trong thư viện ảnh, vì ảnh thường tự đồng bộ lên đám mây và hay bị gửi nhầm. Nếu buộc phải lưu dạng file, mã hóa nó theo hướng dẫn mã hóa dữ liệu trên máy tính và điện thoại.
- Dùng mã nào, gạch mã đó. Còn ít mã thì tạo bộ mới.
Đổi điện thoại, mất điện thoại: chuẩn bị trước
Người bán đổi điện thoại khá thường xuyên, và mỗi lần đổi là một lần dễ tự khóa mình ra khỏi tài khoản. Trước khi bán hay reset máy cũ, mở ứng dụng xác thực, dùng tính năng chuyển tài khoản sang máy mới hoặc bật sao lưu đám mây của ứng dụng, rồi đăng nhập thử từng tài khoản trên máy mới. Chỉ xóa máy cũ khi mọi tài khoản đã vào được.
Nếu mất điện thoại đột ngột: dùng mã dự phòng vào email trước, gỡ thiết bị bị mất khỏi danh sách thiết bị tin cậy, rồi lần lượt đến Facebook, kênh người bán và gọi tổng đài ngân hàng tạm khóa ngân hàng điện tử. Báo nhà mạng khóa SIM và làm lại SIM bằng giấy tờ chính chủ.
Những tình huống 2FA không cứu được
2FA vô hiệu khi chính bạn trao yếu tố thứ hai cho kẻ gian: đọc mã cho người xưng là nhân viên sàn, bấm xác nhận đăng nhập mà mình không yêu cầu, hay nhập mã vào trang "kháng nghị vi phạm" giả. Quy tắc cho cả shop: không ai đọc hay chụp mã xác thực gửi cho người khác, kể cả chủ shop nhắn hỏi, vì tài khoản Zalo của chủ shop cũng có thể bị giả. Các chiêu nhắm vào fanpage được phân tích trong bài chiêu chiếm fanpage và tài khoản bán hàng.
Câu hỏi thường gặp
Một ứng dụng xác thực có dùng chung cho nhiều tài khoản shop được không?
Được. Một ứng dụng xác thực chứa được mã của email, Facebook, TikTok và nhiều dịch vụ khác. Đặt tên từng mục rõ ràng, ví dụ kèm tên shop, để không nhầm khi quản lý nhiều cửa hàng.
Hai người cùng làm chủ shop thì 2FA để ở máy ai?
Mỗi người nên có tài khoản quản trị riêng với 2FA trên máy của mình, cùng có toàn quyền. Nhờ vậy một người mất điện thoại thì người kia vẫn vào được để xử lý, và không ai phải chia mã cho ai.
Nhận mã xác thực của Facebook hay Shopee dù không đăng nhập, có sao không?
Có nghĩa là ai đó đang thử đăng nhập bằng mật khẩu của bạn hoặc yêu cầu đặt lại mật khẩu. Không đưa mã cho ai, đổi mật khẩu tài khoản đó từ ứng dụng chính thức và xem danh sách thiết bị đang đăng nhập.
Bật 2FA có làm nhân viên khó đăng nhập vào ca làm không?
Chỉ lần đầu trên mỗi thiết bị. Khi nhân viên dùng tài khoản phụ riêng, họ xác thực một lần trên máy của mình và đánh dấu thiết bị tin cậy, sau đó làm việc bình thường.
Lưu ý: Tên menu và tính năng của sàn, mạng xã hội, ngân hàng có thể thay đổi theo phiên bản. Khi có nghi ngờ, hãy kiểm tra trực tiếp trong ứng dụng hoặc kênh hỗ trợ chính thức của nền tảng, không làm theo hướng dẫn từ tin nhắn hay cuộc gọi lạ.
