Điểm đáng chú ý là Passkey không chỉ bổ sung thêm một “bí mật” để người dùng phải bảo vệ. Công nghệ này dùng một thông tin xác thực mật mã gắn với thiết bị và dịch vụ Singpass chính thức, nhờ đó có khả năng chống phishing tốt hơn đáng kể.

Passkey thay đổi điều gì?

Với cách đăng nhập truyền thống, thông tin có thể bị đánh cắp hoặc chuyển tiếp:

• Mật khẩu có thể bị sao chép.
• Mã OTP có thể bị kẻ gian lấy và chuyển tiếp theo thời gian thực.
• Mã QR có thể dẫn người dùng đến việc phê duyệt một phiên đăng nhập do kẻ lừa đảo khởi tạo.

Passkey thay đổi quy trình này: trong lúc xác thực, người dùng không nhập hoặc truyền mật khẩu và OTP. Thay vào đó, họ chứng minh quyền kiểm soát thiết bị ngay trên điện thoại, thường bằng sinh trắc học hoặc mã khóa. Website không nhận dữ liệu khuôn mặt, vân tay hay khóa riêng tư; hệ thống chỉ nhận một phản hồi mật mã có thể kiểm tra nhưng không thể tái sử dụng như mật khẩu.

Cặp khóa công khai–riêng tư hoạt động ra sao?

Khi đăng ký, iPhone tạo một cặp khóa độc nhất:

• Khóa riêng tư nằm trên thiết bị đã đăng ký và dùng để tạo chữ ký số.
• Khóa công khai tương ứng được đăng ký với Singpass để xác minh chữ ký.
• Khi đăng nhập, Singpass gửi một thử thách mật mã mới.
• Điện thoại chỉ ký thử thách sau khi người dùng xác nhận bằng Face ID, Touch ID, vân tay hoặc mã khóa ứng dụng Singpass.
• Singpass dùng khóa công khai đã lưu để kiểm tra phản hồi.

Về bản chất, đây là cơ chế xác thực dựa trên mật mã khóa công khai, chứ không đơn thuần là “trao đổi khóa mã hóa”. Khóa riêng tư không được gửi cho Singpass; chỉ riêng khóa công khai cũng không đủ để giả mạo người dùng.

Passkey còn được gắn với nguồn đăng nhập hợp lệ, thường được gọi là origin-bound authentication. Vì vậy, một website giả mạo có giao diện giống Singpass vẫn không thể lấy được phản hồi có giá trị để đăng nhập vào dịch vụ thật. Kẻ gian cũng không thu được mật khẩu, OTP hoặc phê duyệt QR có thể dùng lại.

Ai có thể dùng Singpass Passkey lúc này?

Phạm vi ban đầu còn giới hạn:

• iPhone/iOS: được hỗ trợ từ ngày 1/7/2026 trên trình duyệt di động.
• Android: dự kiến được bổ sung trong giai đoạn tiếp theo.
• Laptop và máy tính để bàn: đăng nhập bằng trình duyệt máy tính cũng chưa có trong đợt đầu.

Do triển khai theo từng giai đoạn, người dùng iPhone không nên mặc định rằng mọi dịch vụ Singpass hoặc mọi thiết bị đều đã hiển thị tùy chọn Passkey.

Cách đăng ký Passkey trên iPhone

Trong đợt triển khai đầu tiên, người dùng thực hiện đăng ký qua ứng dụng Singpass:

1. Cập nhật ứng dụng Singpass lên phiên bản mới nhất.
2. Mở ứng dụng và chọn banner Passkey trên màn hình chính.
3. Làm theo hướng dẫn hiển thị để tạo Passkey.

Sau khi đăng ký, mỗi lần xác thực người dùng sẽ dùng Face ID, Touch ID, vân tay hoặc mã khóa ứng dụng Singpass sáu chữ số, tùy thiết bị và cài đặt. Họ không cần nhập mật khẩu Singpass vào website đang đăng nhập.

Vì sao Bluetooth lại quan trọng khi đăng nhập khác thiết bị?

Khi dùng điện thoại để đăng nhập vào một thiết bị khác, chẳng hạn cổng dịch vụ mở trên máy tính hoặc một điện thoại khác, rủi ro sẽ khác so với đăng nhập trực tiếp trên iPhone chứa Passkey. Kẻ lừa đảo có thể tìm cách dụ nạn nhân phê duyệt một phiên đăng nhập đang diễn ra trên thiết bị do chúng kiểm soát.

Trong tình huống này, Singpass có thể kích hoạt kiểm tra Bluetooth tầm ngắn để xác nhận điện thoại đã đăng ký đang ở gần thiết bị yêu cầu đăng nhập.

Kiểm tra khoảng cách không thay thế việc xác minh bằng cặp khóa. Nó bổ sung bằng chứng rằng thiết bị chứa Passkey thực sự ở gần. Nhờ vậy, một kịch bản hoàn toàn từ xa — chẳng hạn kẻ gian gửi mã QR rồi gọi điện hướng dẫn nạn nhân phê duyệt trong khi chúng thao tác ở nơi khác — sẽ khó thực hiện hơn.

Vì sao mật khẩu, QR và phương thức cũ vẫn được giữ lại?

Passkey hiện là phương thức bổ sung, chưa phải lựa chọn thay thế cho tất cả người dùng. Các cách đăng nhập hiện có vẫn cần thiết cho người không dùng iPhone đủ điều kiện, người chưa đăng ký Passkey và những dịch vụ hoặc thiết bị chưa nằm trong đợt triển khai.

Các phương thức cũ giúp duy trì khả năng tiếp cận, nhưng mức độ an toàn phụ thuộc nhiều hơn vào hành vi của người dùng. Nạn nhân vẫn có thể bị thao túng để tiết lộ mật khẩu hoặc OTP, quét mã QR giả hay phê duyệt một yêu cầu bất ngờ. Cảnh sát Singapore tiếp tục khuyến cáo người dân không bao giờ cung cấp mật khẩu Singpass hoặc thông tin 2FA cho người lạ.

Passkey làm giảm lượng thông tin xác thực mà kẻ gian có thể đánh cắp qua phishing, nhưng không loại bỏ mọi kiểu lừa đảo. Kẻ xấu vẫn có thể giả danh tổ chức, gây áp lực để nạn nhân cung cấp dữ liệu cá nhân hoặc tìm cách khai thác quy trình khôi phục tài khoản và chiếm quyền kiểm soát tài khoản.

Singpass Passkey liên quan thế nào đến tiêu chuẩn FIDO?

Thiết kế của Passkey Singpass đi theo mô hình mật mã khóa công khai, gắn với nguồn đăng nhập hợp lệ của FIDO và WebAuthn. FIDO2 là tiêu chuẩn xác thực mở, hướng tới việc sử dụng thông tin xác thực mật mã có khả năng chống phishing thay cho các bí mật có thể bị đánh cắp và tái sử dụng.

Việc dựa trên tiêu chuẩn mở giúp Passkey tương thích với hệ sinh thái xác thực rộng hơn, thay vì phụ thuộc vào một định dạng đăng nhập độc quyền. Liên minh FIDO mô tả Passkey là thông tin xác thực gắn với tài khoản trên website hoặc ứng dụng, có thể được sử dụng thông qua điện thoại, máy tính hoặc khóa bảo mật phần cứng, tùy cách mỗi dịch vụ triển khai.

Với Singpass, lợi ích thực tế nằm ở cơ chế gắn tên miền: bộ xác thực được thiết kế để phản hồi cho dịch vụ hợp lệ, không phải một tên miền phishing có hình thức tương tự.

Bối cảnh lừa đảo tại Singapore

Theo số liệu năm 2025, Singapore ghi nhận 37.308 vụ lừa đảo và khoảng 913,1 triệu SGD thiệt hại. Đây là số liệu của toàn bộ các loại lừa đảo, không chỉ phishing.

Số liệu thường niên của các cơ quan và kênh thông tin chống lừa đảo Singapore ghi nhận riêng 6.264 vụ phishing với 39,9 triệu SGD bị mất trong năm 2025. Những con số này cho thấy phishing là một phần đáng kể của vấn nạn lừa đảo, nhưng không thể dùng để kết luận rằng toàn bộ thiệt hại lừa đảo đều đến từ việc đánh cắp thông tin Singpass.

Vì vậy, mục tiêu của Passkey khá cụ thể: làm cho giai đoạn thu thập thông tin đăng nhập trong các vụ phishing trở nên kém hiệu quả hơn nhiều. Người dùng vẫn cần kiểm tra địa chỉ website, từ chối các yêu cầu đăng nhập bất ngờ và tuyệt đối không chia sẻ thông tin Singpass — đặc biệt trong thời gian các phương thức xác thực cũ vẫn còn được hỗ trợ.

Điểm đáng chú ý là Passkey không chỉ bổ sung thêm một “bí mật” để người dùng phải bảo vệ. Công nghệ này dùng một thông tin xác thực mật mã gắn với thiết bị và dịch vụ Singpass chính thức, nhờ đó có khả năng chống phishing tốt hơn đáng kể.

Passkey thay đổi điều gì?

Với cách đăng nhập truyền thống, thông tin có thể bị đánh cắp hoặc chuyển tiếp:

• Mật khẩu có thể bị sao chép.
• Mã OTP có thể bị kẻ gian lấy và chuyển tiếp theo thời gian thực.
• Mã QR có thể dẫn người dùng đến việc phê duyệt một phiên đăng nhập do kẻ lừa đảo khởi tạo.

Passkey thay đổi quy trình này: trong lúc xác thực, người dùng không nhập hoặc truyền mật khẩu và OTP. Thay vào đó, họ chứng minh quyền kiểm soát thiết bị ngay trên điện thoại, thường bằng sinh trắc học hoặc mã khóa. Website không nhận dữ liệu khuôn mặt, vân tay hay khóa riêng tư; hệ thống chỉ nhận một phản hồi mật mã có thể kiểm tra nhưng không thể tái sử dụng như mật khẩu.

Cặp khóa công khai–riêng tư hoạt động ra sao?

Khi đăng ký, iPhone tạo một cặp khóa độc nhất:

• Khóa riêng tư nằm trên thiết bị đã đăng ký và dùng để tạo chữ ký số.
• Khóa công khai tương ứng được đăng ký với Singpass để xác minh chữ ký.
• Khi đăng nhập, Singpass gửi một thử thách mật mã mới.
• Điện thoại chỉ ký thử thách sau khi người dùng xác nhận bằng Face ID, Touch ID, vân tay hoặc mã khóa ứng dụng Singpass.
• Singpass dùng khóa công khai đã lưu để kiểm tra phản hồi.

Về bản chất, đây là cơ chế xác thực dựa trên mật mã khóa công khai, chứ không đơn thuần là “trao đổi khóa mã hóa”. Khóa riêng tư không được gửi cho Singpass; chỉ riêng khóa công khai cũng không đủ để giả mạo người dùng.

Passkey còn được gắn với nguồn đăng nhập hợp lệ, thường được gọi là origin-bound authentication. Vì vậy, một website giả mạo có giao diện giống Singpass vẫn không thể lấy được phản hồi có giá trị để đăng nhập vào dịch vụ thật. Kẻ gian cũng không thu được mật khẩu, OTP hoặc phê duyệt QR có thể dùng lại.

Ai có thể dùng Singpass Passkey lúc này?

Phạm vi ban đầu còn giới hạn:

• iPhone/iOS: được hỗ trợ từ ngày 1/7/2026 trên trình duyệt di động.
• Android: dự kiến được bổ sung trong giai đoạn tiếp theo.
• Laptop và máy tính để bàn: đăng nhập bằng trình duyệt máy tính cũng chưa có trong đợt đầu.

Do triển khai theo từng giai đoạn, người dùng iPhone không nên mặc định rằng mọi dịch vụ Singpass hoặc mọi thiết bị đều đã hiển thị tùy chọn Passkey.

Cách đăng ký Passkey trên iPhone

Trong đợt triển khai đầu tiên, người dùng thực hiện đăng ký qua ứng dụng Singpass:

1. Cập nhật ứng dụng Singpass lên phiên bản mới nhất.
2. Mở ứng dụng và chọn banner Passkey trên màn hình chính.
3. Làm theo hướng dẫn hiển thị để tạo Passkey.

Sau khi đăng ký, mỗi lần xác thực người dùng sẽ dùng Face ID, Touch ID, vân tay hoặc mã khóa ứng dụng Singpass sáu chữ số, tùy thiết bị và cài đặt. Họ không cần nhập mật khẩu Singpass vào website đang đăng nhập.

Vì sao Bluetooth lại quan trọng khi đăng nhập khác thiết bị?

Khi dùng điện thoại để đăng nhập vào một thiết bị khác, chẳng hạn cổng dịch vụ mở trên máy tính hoặc một điện thoại khác, rủi ro sẽ khác so với đăng nhập trực tiếp trên iPhone chứa Passkey. Kẻ lừa đảo có thể tìm cách dụ nạn nhân phê duyệt một phiên đăng nhập đang diễn ra trên thiết bị do chúng kiểm soát.

Trong tình huống này, Singpass có thể kích hoạt kiểm tra Bluetooth tầm ngắn để xác nhận điện thoại đã đăng ký đang ở gần thiết bị yêu cầu đăng nhập.

Kiểm tra khoảng cách không thay thế việc xác minh bằng cặp khóa. Nó bổ sung bằng chứng rằng thiết bị chứa Passkey thực sự ở gần. Nhờ vậy, một kịch bản hoàn toàn từ xa — chẳng hạn kẻ gian gửi mã QR rồi gọi điện hướng dẫn nạn nhân phê duyệt trong khi chúng thao tác ở nơi khác — sẽ khó thực hiện hơn.

Vì sao mật khẩu, QR và phương thức cũ vẫn được giữ lại?

Passkey hiện là phương thức bổ sung, chưa phải lựa chọn thay thế cho tất cả người dùng. Các cách đăng nhập hiện có vẫn cần thiết cho người không dùng iPhone đủ điều kiện, người chưa đăng ký Passkey và những dịch vụ hoặc thiết bị chưa nằm trong đợt triển khai.

Các phương thức cũ giúp duy trì khả năng tiếp cận, nhưng mức độ an toàn phụ thuộc nhiều hơn vào hành vi của người dùng. Nạn nhân vẫn có thể bị thao túng để tiết lộ mật khẩu hoặc OTP, quét mã QR giả hay phê duyệt một yêu cầu bất ngờ. Cảnh sát Singapore tiếp tục khuyến cáo người dân không bao giờ cung cấp mật khẩu Singpass hoặc thông tin 2FA cho người lạ.

Passkey làm giảm lượng thông tin xác thực mà kẻ gian có thể đánh cắp qua phishing, nhưng không loại bỏ mọi kiểu lừa đảo. Kẻ xấu vẫn có thể giả danh tổ chức, gây áp lực để nạn nhân cung cấp dữ liệu cá nhân hoặc tìm cách khai thác quy trình khôi phục tài khoản và chiếm quyền kiểm soát tài khoản.

Singpass Passkey liên quan thế nào đến tiêu chuẩn FIDO?

Thiết kế của Passkey Singpass đi theo mô hình mật mã khóa công khai, gắn với nguồn đăng nhập hợp lệ của FIDO và WebAuthn. FIDO2 là tiêu chuẩn xác thực mở, hướng tới việc sử dụng thông tin xác thực mật mã có khả năng chống phishing thay cho các bí mật có thể bị đánh cắp và tái sử dụng.

Việc dựa trên tiêu chuẩn mở giúp Passkey tương thích với hệ sinh thái xác thực rộng hơn, thay vì phụ thuộc vào một định dạng đăng nhập độc quyền. Liên minh FIDO mô tả Passkey là thông tin xác thực gắn với tài khoản trên website hoặc ứng dụng, có thể được sử dụng thông qua điện thoại, máy tính hoặc khóa bảo mật phần cứng, tùy cách mỗi dịch vụ triển khai.

Với Singpass, lợi ích thực tế nằm ở cơ chế gắn tên miền: bộ xác thực được thiết kế để phản hồi cho dịch vụ hợp lệ, không phải một tên miền phishing có hình thức tương tự.

Bối cảnh lừa đảo tại Singapore

Theo số liệu năm 2025, Singapore ghi nhận 37.308 vụ lừa đảo và khoảng 913,1 triệu SGD thiệt hại. Đây là số liệu của toàn bộ các loại lừa đảo, không chỉ phishing.

Số liệu thường niên của các cơ quan và kênh thông tin chống lừa đảo Singapore ghi nhận riêng 6.264 vụ phishing với 39,9 triệu SGD bị mất trong năm 2025. Những con số này cho thấy phishing là một phần đáng kể của vấn nạn lừa đảo, nhưng không thể dùng để kết luận rằng toàn bộ thiệt hại lừa đảo đều đến từ việc đánh cắp thông tin Singpass.

Vì vậy, mục tiêu của Passkey khá cụ thể: làm cho giai đoạn thu thập thông tin đăng nhập trong các vụ phishing trở nên kém hiệu quả hơn nhiều. Người dùng vẫn cần kiểm tra địa chỉ website, từ chối các yêu cầu đăng nhập bất ngờ và tuyệt đối không chia sẻ thông tin Singpass — đặc biệt trong thời gian các phương thức xác thực cũ vẫn còn được hỗ trợ.