# Mật khẩu mạnh cho tài khoản cá nhân: tạo, lưu và xử lý khi bị lộ

URL: https://brief.openyuri.com/guides/cach-tao-mat-khau-manh/
Cập nhật: 2026-10-18

Cách tạo mật khẩu mạnh: độ dài và entropy, cụm mật khẩu, trình quản lý, 2FA và các bước xử lý khi tài khoản bị lộ hoặc nghi bị lộ.

### Mật khẩu yếu không phải vì ngắn mà vì dễ đoán

Phần lớn tài khoản bị chiếm không phải do ai đó ngồi đoán từng ký tự, mà do mật khẩu đã xuất hiện trong một vụ rò rỉ dữ liệu khác và được thử lại ở nơi khác. Dùng lại một mật khẩu là cách nhanh nhất để một vụ lộ ở trang ít quan trọng kéo theo email, ngân hàng và mạng xã hội.

Mật khẩu dễ đoán cũng thường có mẫu chung: tên người, ngày sinh, số điện thoại, tên đội bóng, chuỗi bàn phím như 123456 hoặc qwerty, và các biến thể thay chữ bằng số như P@ssw0rd. Những mẫu này nằm sẵn trong các danh sách dò phổ biến, nên thêm một ký tự đặc biệt không làm chúng an toàn hơn bao nhiêu.

### Độ dài quan trọng hơn ký tự đặc biệt

Độ mạnh thực chất đến từ entropy: số khả năng mà người dò phải thử. Một mật khẩu 16 ký tự ngẫu nhiên có entropy cao hơn nhiều so với 8 ký tự có đủ chữ hoa, chữ thường, số và ký hiệu. Vì vậy hãy ưu tiên độ dài trước, rồi mới đến việc dùng đủ loại ký tự.

Hai cách thực dụng: dùng chuỗi ngẫu nhiên ít nhất 12–16 ký tự, hoặc dùng cụm mật khẩu gồm 4–5 từ ngẫu nhiên không liên quan tới nhau về nghĩa. Cụm từ dễ nhớ hơn với người dùng, nhưng chỉ an toàn khi các từ được chọn ngẫu nhiên, không phải một câu quen thuộc hay lời bài hát.

Đừng cố biến một từ thông thường thành mật khẩu bằng cách thay chữ bằng số. Nếu bạn phải nghĩ ra nó theo một quy luật dễ nhớ, người tấn công cũng biết quy luật đó.

### Mỗi tài khoản một mật khẩu, lưu bằng trình quản lý

Mục tiêu không phải là nhớ mọi mật khẩu, mà là không dùng lại chúng. Một trình quản lý mật khẩu tạo mật khẩu ngẫu nhiên cho từng trang, lưu lại và tự điền khi cần. Bạn chỉ cần nhớ một mật khẩu chính thật mạnh, và bật 2FA cho chính tài khoản quản lý đó.

Nếu chưa dùng trình quản lý, hãy bắt đầu bằng cách đổi các tài khoản quan trọng nhất trước: email chính, ngân hàng, ví điện tử, tài khoản mạng xã hội có thể dùng để đăng nhập nơi khác. Email chính đặc biệt quan trọng vì nó là nơi nhận mã đặt lại mật khẩu của mọi dịch vụ khác.

Với 2FA, ứng dụng xác thực hoặc khóa bảo mật vật lý an toàn hơn mã gửi qua SMS, vì SMS có thể bị chiếm qua đổi số hoặc tấn công SIM. Dù chọn cách nào, hãy lưu mã khôi phục ở nơi ngoại tuyến và không để chung với điện thoại.

### Tạo mật khẩu bằng công cụ chạy trên máy

Bạn có thể tạo mật khẩu ngay tại [công cụ tạo mật khẩu](https://tools.openyuri.com/tools/password-generator/?utm_source=brief&utm_medium=guide&utm_campaign=20261018-toolbox) với độ dài và bộ ký tự tùy chọn; công cụ hiển thị cả entropy để bạn thấy độ dài ảnh hưởng thế nào. Mật khẩu được tạo trong trình duyệt, không gửi lên máy chủ.

Nguyên tắc chung khi dùng bất kỳ công cụ tạo mật khẩu trực tuyến nào: chỉ tin công cụ tạo ngẫu nhiên ngay trên máy bạn, và không bao giờ dán mật khẩu đang dùng vào một trang lạ để “kiểm tra độ mạnh”. Hãy tạo mật khẩu mới, lưu vào trình quản lý, rồi dán vào trang cần đăng ký.

Với tài khoản ngân hàng, hãy kiểm tra quy định của ngân hàng về độ dài và ký tự được phép trước khi tạo; một số hệ thống cũ giới hạn độ dài hoặc không nhận ký tự đặc biệt.

### Khi bị lộ hoặc nghi bị lộ

Nếu nhận được thông báo rò rỉ hoặc thấy dấu hiệu đăng nhập lạ, hãy đổi mật khẩu từ một thiết bị bạn tin cậy, đăng xuất toàn bộ phiên đang hoạt động, rồi kiểm tra email và số điện thoại khôi phục xem có bị đổi không. Làm việc này trước khi đọc kỹ nguyên nhân, vì kẻ tấn công có thể đang dùng chính quyền truy cập đó.

Sau đó bật 2FA nếu chưa có, và đổi mật khẩu ở mọi nơi từng dùng chung mật khẩu đó. Với tài khoản tài chính, hãy kiểm tra giao dịch và liên hệ ngân hàng nếu có dấu hiệu bất thường. Với email, kiểm tra cả quy tắc chuyển tiếp tự động và chữ ký, vì đây là cách kẻ tấn công duy trì truy cập sau khi bị đổi mật khẩu.

Không cần đổi mật khẩu theo lịch cố định nếu không có dấu hiệu bị xâm nhập: các hướng dẫn hiện đại khuyến nghị đổi khi có lý do cụ thể như rò rỉ hoặc dùng chung, thay vì xoay vòng định kỳ. Đổi liên tục thường dẫn tới mật khẩu yếu hơn và ghi chú không an toàn.

**Hỏi: Mật khẩu dài bao nhiêu là đủ?**
Đáp: Với mật khẩu ngẫu nhiên, tối thiểu 12 ký tự và nên từ 16 trở lên cho tài khoản quan trọng. Với cụm mật khẩu, 4–5 từ ngẫu nhiên là mức hợp lý. Con số chính xác phụ thuộc vào mức độ quan trọng của tài khoản và việc bạn có bật 2FA hay không.

**Hỏi: Có nhất thiết phải có ký tự đặc biệt không?**
Đáp: Không bắt buộc. Độ dài và tính ngẫu nhiên đóng góp nhiều hơn. Ký tự đặc biệt chỉ có ích khi chúng cũng được chọn ngẫu nhiên, không phải kiểu thay chữ bằng số trong một từ quen thuộc.

**Hỏi: Dùng cùng một mật khẩu cho nhiều trang có sao không?**
Đáp: Rất rủi ro. Một trang bị lộ là kẻ tấn công thử ngay mật khẩu đó ở email, ngân hàng và mạng xã hội. Hãy dùng mật khẩu riêng cho từng tài khoản và để trình quản lý ghi nhớ.

**Hỏi: Công cụ tạo mật khẩu trực tuyến có an toàn không?**
Đáp: An toàn khi việc tạo diễn ra ngay trong trình duyệt của bạn và không có dữ liệu nào được gửi đi. Đừng dùng trang yêu cầu dán mật khẩu hiện tại để kiểm tra, và đừng tạo mật khẩu trên máy công cộng.

**Hỏi: Nên chọn 2FA bằng SMS hay ứng dụng xác thực?**
Đáp: Ứng dụng xác thực hoặc khóa bảo mật vật lý an toàn hơn SMS trước các cuộc tấn công đổi SIM. Nếu chỉ có SMS, hãy đặt mã PIN cho SIM và bảo vệ tài khoản email dùng để khôi phục.

**Hỏi: Bao lâu nên đổi mật khẩu một lần?**
Đáp: Không cần theo lịch cố định. Hãy đổi khi có rò rỉ, khi nghi ngờ bị lộ, khi dùng chung mật khẩu, hoặc khi tài khoản có dấu hiệu bất thường. Xoay vòng định kỳ không có lý do thường làm mật khẩu yếu đi.

Nguồn:
- NIST SP 800-63B — Digital Identity Guidelines: https://pages.nist.gov/800-63-3/sp800-63b.html
- CISA — Use strong passwords: https://www.cisa.gov/secure-our-world/use-strong-passwords
- Have I Been Pwned: https://haveibeenpwned.com/