Tài khoản công ty bị cảnh báo đăng nhập từ nước ngoài: xử lý sao

Email "Chúng tôi phát hiện đăng nhập mới từ [tên nước khác]" dễ làm hoảng, nhưng không phải lần nào cũng là bị chiếm tài khoản. Trước khi phản ứng, cần phân biệt được báo động giả và báo động thật — sau đó mới biết nên xử lý ở mức nào.

Khi nào có khả năng là báo động giả

Nhân viên đang thật sự đi công tác, du lịch hoặc dùng VPN cá nhân ở nước ngoài vào đúng thời điểm cảnh báo.
Công ty dùng dịch vụ đặt máy chủ ở nước ngoài (một số phần mềm, CRM, công cụ marketing) khiến hệ thống đăng nhập hộ qua máy chủ ở địa điểm khác — cần hỏi lại nhà cung cấp dịch vụ nếu không chắc.
Vị trí hiển thị trong cảnh báo chỉ là vị trí ước lượng theo IP, có thể lệch quốc gia dù người dùng vẫn ở Việt Nam, đặc biệt khi dùng mạng di động hoặc một số nhà mạng.

Khi nào nên coi là thật và xử lý ngay

Nhân viên khẳng định chắc chắn không đăng nhập vào thời điểm đó, và không hề dùng VPN.
Có nhiều lần đăng nhập thất bại liên tiếp trước đó từ cùng địa điểm lạ, cho thấy có người đang dò mật khẩu.
Tài khoản là admin, kế toán, hoặc có quyền truy cập dữ liệu khách hàng — với nhóm này, cứ nghi ngờ là nên xử lý luôn, không chờ xác nhận thêm.

Các bước xử lý ngay khi nghi ngờ thật

Đổi mật khẩu ngay trên một thiết bị khác, sạch (không phải thiết bị vừa bị cảnh báo).
Đăng xuất toàn bộ phiên đang mở của tài khoản đó — Google Workspace: Admin Console → chọn user → "Sign out of all web sessions". Microsoft 365: trung tâm quản trị → Users → chọn user → "Revoke sessions".
Kiểm tra quy tắc chuyển tiếp (forwarding) và bộ lọc email lạ trong hộp thư — kẻ xấu hay đặt quy tắc này để tiếp tục đọc thư sau khi đã bị đổi mật khẩu.
Bật xác thực hai bước (MFA) nếu tài khoản đó chưa có, đây là lúc bắt buộc phải bật.
Rà xem tài khoản có gửi thư lạ, đổi quy tắc tài khoản ngân hàng, hoặc thêm thiết bị/ứng dụng lạ nào không trong vài ngày trước đó.

Việc nên làm trước, để lần sau đỡ hoảng

Bật MFA cho mọi tài khoản trước khi có cảnh báo xảy ra — xem bài về MFA. Với tài khoản đã bật MFA đúng cách, một cảnh báo đăng nhập từ nước ngoài gần như luôn chỉ là báo động giả, vì kẻ xấu dò được mật khẩu vẫn không vào được nếu không có mã xác thực thứ hai.

Nếu nghi ngờ nhưng chưa rõ mức độ nghiêm trọng, tham khảo thêm các bước ưu tiên trong 24 giờ đầu khi gặp sự cố an ninh.

Muốn biết tài khoản nào trong công ty chưa bật MFA hoặc lâu không đăng nhập? Dùng thử miễn phí ngay trong trình duyệt, không gửi dữ liệu ra ngoài.