Xác minh SMS ẩn danh: những gì một số điện thoại ảo che giấu, những gì nó không thể

Một số điện thoại ảo chỉ là một mắt xích trong cả chuỗi liên kết, không phải một tấm áo choàng tàng hình. Nó loại bỏ định danh mạnh nhất mà hầu hết mọi người trao đi khi đăng ký — một SIM đăng ký dưới chính tên mình — và chỉ riêng điều đó đã thay đổi những gì một nền tảng có thể biết về họ. Nhưng cùng một giao dịch mua đó vẫn có thể kết nối ngược lại bạn qua khoản thanh toán, qua tài khoản bạn đã mua số từ đó, qua địa chỉ IP của bạn, hoặc qua chính số điện thoại một khi bạn dùng lại nó. Hướng dẫn này vẽ ra toàn bộ chuỗi liên kết từ đầu đến cuối, đánh dấu năm điểm mà nó bị đứt gãy, và kết thúc bằng một danh sách kiểm tra bạn có thể thực hiện trong khoảng hai phút.

Số điện thoại là một định danh, không phải một thông tin liên hệ

Việc gõ số điện thoại di động của bạn vào một biểu mẫu đăng ký có cảm giác như đang cho một dịch vụ một cách để liên lạc với bạn. Nhưng thứ bạn thực sự đang trao đi là một khóa định danh ổn định, duy nhất trên toàn cầu, tồn tại lâu hơn cả tài khoản, được chia sẻ với gần như mọi dịch vụ khác mà bạn sử dụng, và ở hầu hết các quốc gia, nó được cấp dựa trên một giấy tờ đăng ký.

Một trường duy nhất đó thực hiện bốn nhiệm vụ hoàn toàn khác nhau, và không nhiệm vụ nào trong số đó là “để chúng tôi gửi cho bạn một mã”.

• Nó liên kết các tài khoản của bạn với nhau. Hai nền tảng cùng nắm giữ một số điện thoại là cùng nắm giữ một con người, bất kể tên gì xuất hiện trên hồ sơ.
• Nó liên kết các tài khoản của bạn với một cơ sở dữ liệu đăng ký. Ở nơi việc đăng ký SIM là bắt buộc, nhà mạng nắm giữ bản ánh xạ từ số điện thoại đến danh tính pháp lý — và bất kỳ ai có quyền buộc nhà mạng đó cung cấp cũng nắm giữ điều tương tự.
• Nó tồn tại lâu hơn cả tài khoản. Các số điện thoại xuất hiện trong những kho dữ liệu rò rỉ nhiều năm sau đó. Một số điện thoại bạn từng dùng một lần vẫn có thể khớp với bạn trong một vụ rò rỉ được công bố hôm nay.
• Nó khiến bạn dễ bị đối chiếu qua danh bạ. Các ứng dụng tải danh bạ lên có thể cho bất kỳ ai đã lưu số của bạn biết rằng bạn vừa mới tham gia.

Một số điện thoại ảo chỉ tấn công đúng một thứ: nó thay thế trường mang cả bốn đặc tính đó bằng một trường không mang đặc tính nào trong số đó cả. Mọi thứ khác trên trang này đều xoay quanh việc không phá hỏng điều đó trong năm phút tiếp theo.

Số điện thoại ảo thực sự phá vỡ liên kết nào

Cần phải chính xác về tuyên bố này, vì một câu trả lời trung thực có ích hơn nhiều so với một câu trả lời mang tính tiếp thị. Một số điện thoại mua ở đây là một đường dây thật trên một nhà mạng thật mà chúng tôi nắm giữ — nó chỉ đơn giản là chưa từng được cấp dựa trên giấy tờ của bạn. Điều đó làm thay đổi một số liên kết và để nguyên những liên kết khác đúng như chúng vốn có.

Hai hàng “Không” chính là lý do khiến hướng dẫn này dài hơn một đoạn văn. Một số dùng-rồi-bỏ là một biện pháp kiểm soát mạnh mẽ đối với bạn là ai trên giấy tờ nhưng hoàn toàn không kiểm soát được bạn đang kết nối từ đâu. Coi điều thứ nhất như thể nó đã giải quyết luôn điều thứ hai là sai lầm phổ biến nhất.

Năm rò rỉ đưa tên bạn trở lại gắn với tài khoản

Mỗi hàng dưới đây là một con đường thực sự dẫn từ một lượt đăng ký đã hoàn tất trở về một con người cụ thể. Chúng được sắp xếp theo tần suất thực tế khiến người dùng mắc bẫy, chứ không theo mức độ tinh vi mà một kẻ tấn công cần có — hai mục đầu tiên thậm chí không cần đến kẻ tấn công nào cả, chỉ cần một người bán đọc lại chính hồ sơ của mình.

Phần còn lại của hướng dẫn này sẽ đi qua từng vấn đề một. Không cách khắc phục nào trong số đó khó cả; điểm chung của chúng là tất cả đều phải được quyết định trước khi bạn nhấn nút, vì không cách nào có thể áp dụng hồi tố.

Rò rỉ 1 — dấu vết thanh toán

Nếu một thẻ ngân hàng xuất hiện ở bất kỳ đâu trong chuỗi liên kết, chuỗi đó coi như đã đứt. Đó là lý do vì sao không có thẻ ngân hàng nào được chấp nhận ở đây: thẻ ngân hàng trao tên hợp pháp của bạn cho người bán và ghi một dòng có ngày tháng vào sao kê ngân hàng, cho biết bạn đã mua gì và khi nào. Dù có cẩn thận đến đâu sau đó cũng không thể xóa bỏ được cả hai bản ghi này.

Tiền mã hóa giải quyết ngay lập tức vấn đề về tên — không có gì bạn gửi từ một ví mang theo tên cả. Nhưng nó không tự động giải quyết vấn đề về dấu vết. Bitcoin, Litecoin, Ethereum, Solana, TRON và các stablecoin đều được xử lý trên một sổ cái công khai vĩnh viễn: cả hai địa chỉ lẫn số tiền chính xác đều hiển thị mãi mãi. Nếu các đồng coin đó đến ví từ một sàn giao dịch đã xác minh danh tính của bạn, thì con đường từ bạn đến giao dịch mua này chỉ là một phép nối cơ sở dữ liệu, không phải một dự án nghiên cứu.

Monero khác biệt ở cấp độ giao thức, chứ không phải ở chính sách. Chữ ký vòng che giấu đầu vào nào đã được chi tiêu, địa chỉ ẩn nghĩa là địa chỉ bạn dán vào không bao giờ xuất hiện trên blockchain, và giao dịch bảo mật che giấu số tiền. Cả chín phương thức nạp tiền đều hoạt động giống hệt nhau từ phía bạn; XMR chỉ đơn giản là phương thức duy nhất không để lại biên lai công khai vĩnh viễn. Hướng dẫn đầy đủ có trong bài thanh toán cho một số điện thoại bằng Monero.

Rò rỉ 2 — tài khoản bạn dùng để mua số điện thoại

Một số dùng-rồi-bỏ được mua từ một tài khoản đăng ký bằng địa chỉ email bạn dùng hằng ngày thì không hề ẩn danh. Đó vẫn là danh tính của bạn, chỉ thêm một bước ở phía trước. Bất kỳ dịch vụ nào yêu cầu email khi đăng ký, theo định nghĩa, đã thu thập đúng trường thông tin liên kết giao dịch mua này với mọi thứ khác mà email đó từng chạm tới.

Ở đây không có biểu mẫu đăng ký theo nghĩa thông thường: không ô nhập email, không mật khẩu, không liên kết xác nhận, không số điện thoại của riêng bạn. Trang web tạo ra một cụm từ khôi phục, chỉ hiển thị nó một lần duy nhất, và cụm từ đó chính là tài khoản. Chính sách bảo mật nêu rõ những gì còn lại trên máy chủ — một mã băm bcrypt của cụm từ khôi phục kèm một tiền tố tra cứu ngắn, các bản ghi giao dịch và đơn hàng của bạn, một phiên làm việc phía máy chủ, và các mục giới hạn tần suất tạm thời dựa trên IP sẽ tự động bị xóa. Không có danh tính nào để lưu trữ vì không có danh tính nào từng được thu thập.

Sự đánh đổi này là có thật và đáng nói rõ ràng:

• Không có gì để lừa đảo (phishing), không có gì để đặt lại, không có gì để triệu tập từ một nhà cung cấp email.
• Không có việc dùng lại mật khẩu, vì không hề có mật khẩu.
• Không có email xác nhận nằm trong hộp thư bị lập chỉ mục và có thể tìm kiếm được.

• Hoàn toàn không có khả năng khôi phục tài khoản. Mất cụm từ này là mất luôn số dư.
• Bất kỳ ai đọc được cụm từ này đều kiểm soát được số dư — đó là một thông tin xác thực vô danh, giống như tiền mặt.

Rò rỉ 3 — địa chỉ IP và trình duyệt của bạn

Đây là rò rỉ mà số điện thoại hoàn toàn không giúp được gì, và cũng là rò rỉ mà hầu hết mọi người quên mất. Nền tảng bạn đang xác minh không bao giờ nhìn thấy đường truyền mạng của số điện thoại — nó nhìn thấy đường truyền của bạn: địa chỉ IP bạn dùng để đăng ký, trình duyệt bạn đã dùng, các phông chữ và kích thước màn hình khiến trình duyệt đó có thể nhận diện được, và liệu cùng một dấu vân tay đó có từng tạo ra ba tài khoản khác trong tháng trước hay không.

Một số điện thoại ảo là một biện pháp kiểm soát dữ liệu danh tính. Một VPN hay Tor là một biện pháp kiểm soát dữ liệu mạng. Chúng bảo vệ các cột khác nhau của cùng một bảng, và không cái nào có thể thay thế cho cái còn lại.

Rò rỉ 4 và 5 — chính số điện thoại, trong và sau khi sử dụng

Hai rò rỉ cuối cùng là đặc tính của chính số điện thoại chứ không phải của bạn, và cả hai đều xuất phát từ một sự thật duy nhất: một số dùng một lần là đi mượn, không phải sở hữu. Nó chỉ tồn tại trong khoảng hai mươi phút, sau đó được giải phóng trở lại kho số.

Trong khi bạn đang giữ nó, rủi ro nằm ở việc đối chiếu chéo. Xác minh hai tài khoản bằng cùng một số điện thoại nghĩa là bạn đã trao cho bất kỳ ai đối chiếu các nền tảng đó — một nhà môi giới dữ liệu, một đơn vị tổng hợp dữ liệu rò rỉ, hay chính các nền tảng đó nếu họ chia sẻ tín hiệu với nhau — một đầu mối rõ ràng cho thấy các tài khoản đó thuộc về cùng một người. Đó là sai lầm giống hệt việc dùng lại một địa chỉ email, và nó xóa bỏ chính sự tách biệt mà bạn vừa bỏ tiền ra để có được.

Sau khi bạn giải phóng nó, rủi ro đảo chiều. Số điện thoại có thể được cấp lại cho người khác, và bất kỳ ai nắm giữ nó tiếp theo sẽ nhận được bất cứ thứ gì được gửi đến nó. Điều đó vô hại đối với một lượt đăng ký bạn sẽ không bao giờ quay lại, nhưng lại âm thầm nghiêm trọng đối với bất cứ thứ gì bạn để lại gắn với nó:

• Một số dùng-rồi-bỏ được đặt làm số khôi phục cho một tài khoản bạn quan tâm — một yêu cầu đặt lại mật khẩu có thể rơi vào bảng điều khiển của một người lạ.
• Một số dùng-rồi-bỏ được đặt làm nơi nhận mã xác thực hai yếu tố qua SMS, cũng vì đúng lý do đó.
• Bất cứ thứ gì mong đợi một mã thứ hai sau này: một yêu cầu xác minh khi đăng nhập, một lần xác minh lại, hay một thông báo giao hàng.

Cách khắc phục là chọn đúng sản phẩm phù hợp với nhu cầu, thay vì cố chống lại vòng đời của số điện thoại. Một mã dùng một lần là lựa chọn đúng cho một lượt đăng ký bạn sẽ không bao giờ quay lại. Khi một tài khoản cần tiếp tục nhận tin nhắn, hãy thuê một số riêng trong 7, 14, 30 hoặc 90 ngày — nó thuộc riêng về bạn trong suốt khoảng thời gian đó, nhận SMS đến không giới hạn, và được nạp tiền từ cùng một số dư theo cùng một cách.

Những gì một số điện thoại ảo không thể làm cho bạn

Mọi biện pháp kiểm soát đều có giới hạn, và biết giới hạn đó ở đâu chính là điều giữ cho nó hữu ích. Một số điện thoại ảo thay đổi những gì một nền tảng biết về danh tính của bạn. Nó không thay đổi những điều sau:

• Nó không che giấu kết nối của bạn. Nền tảng vẫn nhìn thấy một địa chỉ IP, một thiết bị và một kiểu hành vi.
• Nó không thể vượt qua một lần kiểm tra danh tính được thực hiện sau đó. Một nền tảng yêu cầu giấy tờ khi rút tiền vẫn sẽ yêu cầu như vậy.
• Nó không thể xóa bỏ những gì chính bạn tự nhập vào. Một tên thật, một email cá nhân hay một bức ảnh trong hồ sơ sẽ tái xác định danh tính tài khoản ngay lập tức.
• Nó không biến số điện thoại thành của bạn vĩnh viễn. Chỉ có một gói thuê mới làm được điều đó, và chỉ trong khoảng thời gian bạn đã trả tiền.
• Nó không phải là cách để lách quy tắc của một nền tảng. Gian lận và đánh cắp danh tính đều bị cấm theo điều khoản dịch vụ, và quyền riêng tư không đồng nghĩa với việc miễn trừ trách nhiệm.

Điều mà nó thực sự làm được, một cách đáng tin cậy, là loại bỏ một trường thông tin danh tính bắt buộc khỏi một giao dịch vốn chưa bao giờ cần đến nó — một bản tin đòi hỏi số điện thoại, một chợ trực tuyến bạn chỉ dùng một lần, một bản dùng thử muốn có mã xác minh trước khi cho bạn xem bất cứ thứ gì. Đó là một tuyên bố khiêm tốn, và nó lại đúng.

Danh sách kiểm tra hai phút

Hãy thực hiện lần lượt các bước sau trước khi nhận mã đầu tiên. Bốn trong năm bước là các quyết định, không phải công việc, và tất cả đều phải được đưa ra trước khi mua chứ không phải sau đó.

Đó là toàn bộ phương pháp. Số điện thoại loại bỏ định danh, khoản thanh toán loại bỏ cái tên, mạng lưới kết nối loại bỏ vị trí, và kỷ luật xung quanh việc tái sử dụng giữ cho chúng không bị ghép nối trở lại với nhau. Hãy chọn một quốc gia và một dịch vụ trên trang quốc gia hoặc trong danh mục dịch vụ khi bạn đã sẵn sàng — và nếu mã đầu tiên không đến, hướng dẫn khắc phục sự cố sẽ giải thích vì sao, và vì sao điều đó không tốn của bạn bất kỳ chi phí nào.