Bảo Mật Tài Khoản Phần Mềm Spa: Mật Khẩu, Xác Minh Và Thiết Bị Đăng Nhập

Mật khẩu phần mềm đặt lịch được viết trên mẩu giấy dán cạnh màn hình quầy "cho tiện". Một lễ tân nghỉ việc, rồi thêm một người nữa. Nửa năm sau, chủ spa không biết còn bao nhiêu người đang biết mật khẩu đó, và cũng không biết điện thoại cũ của ai vẫn đang đăng nhập.

Tài khoản phần mềm spa giữ lịch hẹn, số điện thoại khách, giá dịch vụ và có khi cả thông tin tài khoản ngân hàng nhận tiền. Bài này là các việc cụ thể để bảo vệ nó: ai giữ mật khẩu, đặt mật khẩu thế nào, bảo vệ đường khôi phục, quản lý thiết bị và quy trình khi nhân viên nghỉ.

Ai được giữ mật khẩu

Nếu phần mềm cho tạo nhiều tài khoản, mỗi người dùng tài khoản riêng với quyền đúng việc của mình; cách chia quyền cho lễ tân, kỹ thuật viên, quản lý có trong bài phân quyền phần mềm spa. Bài này tập trung vào chuyện giữ cho từng tài khoản không bị người ngoài chiếm.

Với phần mềm chỉ có một tài khoản chủ, câu hỏi đầu tiên là: ngay lúc này có bao nhiêu người biết mật khẩu? Nếu bạn không trả lời chắc được, hãy đổi mật khẩu hôm nay và từ đó giữ danh sách người biết càng ngắn càng tốt — lý tưởng là chỉ chủ spa. Mỗi lần danh sách đó có người rời đi, đổi mật khẩu ngay.

Mật khẩu dài, riêng cho từng tài khoản

Hai lỗi phổ biến nhất không phải là mật khẩu ngắn, mà là mật khẩu dùng lại và mật khẩu dễ đoán: tên spa kèm năm mở cửa, số điện thoại của chủ, ngày sinh.

• Dùng một cụm nhiều từ dài, dễ nhớ với bạn nhưng người khác không đoán được.
• Mỗi tài khoản một mật khẩu riêng: phần mềm đặt lịch, email, fanpage, ngân hàng không dùng chung.
• Dùng trình quản lý mật khẩu để khỏi phải nhớ hết, và để không phải ghi ra giấy.
• Không gửi mật khẩu qua tin nhắn. Nếu buộc phải trao cho ai, đọc trực tiếp rồi đổi lại sau.

Bảo vệ số điện thoại và email dùng để khôi phục

Phần lớn phần mềm cho đặt lại mật khẩu bằng mã gửi về số điện thoại hoặc email. Nghĩa là ai chiếm được số điện thoại hay email đó sẽ chiếm được tài khoản, dù mật khẩu của bạn mạnh đến đâu.

• Dùng số điện thoại của spa hoặc của chủ spa, không dùng số cá nhân của nhân viên.
• Đăng ký SIM chính chủ, giữ SIM cẩn thận; nếu điện thoại đột nhiên mất sóng không rõ lý do, liên hệ nhà mạng ngay.
• Bật xác minh hai bước cho email, Zalo, Facebook và các tài khoản có hỗ trợ tính năng này.
• Khi đổi số điện thoại của spa, cập nhật số mới vào các tài khoản trước khi bỏ số cũ.

Không bao giờ đọc mã OTP cho người khác

Mã xác minh gửi về điện thoại chỉ để chính bạn nhập vào màn hình bạn đang dùng. Không có lý do chính đáng nào để một người khác cần mã đó — kể cả người tự xưng là nhân viên hỗ trợ, ngân hàng hay "bên phần mềm".

Hướng dẫn cho cả nhóm một câu đơn giản: ai hỏi mã OTP là lừa đảo, cúp máy. Nếu lo có chuyện thật, tự gọi lại qua số liên hệ chính thức mà bạn đã biết từ trước, không dùng số người kia đưa.

Quản lý thiết bị đăng nhập

• Máy tính ở quầy đặt khoá màn hình tự động khi không dùng.
• Không chọn "ghi nhớ mật khẩu" trên máy dùng chung.
• Đăng xuất khi dùng máy không phải của mình, như máy tính ở tiệm in hay máy của người quen.
• Cập nhật hệ điều hành và trình duyệt khi có bản mới.
• Mất điện thoại đang đăng nhập phần mềm: đổi mật khẩu từ một thiết bị khác và đăng xuất khỏi mọi thiết bị ngay trong ngày.

Khi nhân viên nghỉ việc

Checklist thu hồi quyền trong phần mềm đã có ở bài phân quyền. Về phía bảo mật tài khoản, thêm những việc hay bị sót, làm ngay trong ngày làm việc cuối:

• Đổi mật khẩu rồi bấm đăng xuất khỏi mọi thiết bị, để điện thoại cá nhân của người đó không còn phiên đăng nhập nào.
• Nếu số điện thoại hoặc email khôi phục của một tài khoản là của người đó, chuyển sang số, email của spa trước khi họ đi.
• Gỡ quyền quản trị fanpage, Zalo OA của spa và hồ sơ Google Business Profile nếu người đó từng được cấp.
• Thu lại điện thoại, máy tính bảng của spa, chìa khoá tủ.
• Ghi lại ngày đã làm từng việc.

Làm việc này với mọi người nghỉ, kể cả người nghỉ vui vẻ. Mục đích không phải nghi ngờ ai, mà là để tài khoản của spa không còn phụ thuộc vào một người đã rời đi.

Nhận biết lừa đảo nhắm vào chủ spa

Các kiểu thường gặp:

• Tin nhắn báo tài khoản sắp bị khoá, kèm đường link "xác minh ngay".
• Cuộc gọi tự xưng hỗ trợ kỹ thuật, xin mã OTP để "mở khoá".
• Yêu cầu đổi số tài khoản ngân hàng nhận tiền, gửi qua tin nhắn hoặc email.
• "Khách hàng" gửi tệp đính kèm lạ, nhờ mở để xem "yêu cầu đặt lịch nhóm".
• Trang đăng nhập có địa chỉ gần giống trang thật, chỉ khác một chữ.

Cách phản ứng chung: không bấm link trong tin nhắn, tự gõ địa chỉ trang quen, và xác minh qua kênh liên hệ chính thức trước khi làm bất cứ điều gì liên quan tới mật khẩu hay tiền.

Khi nghi tài khoản đã bị lộ

• Đổi mật khẩu từ một thiết bị bạn tin là an toàn.
• Đăng xuất khỏi mọi thiết bị.
• Kiểm tra các thay đổi bất thường: thông tin ngân hàng, giá dịch vụ, voucher, lịch hẹn bị huỷ.
• Báo cho nhà cung cấp phần mềm qua kênh chính thức.
• Ghi lại thời điểm phát hiện và những gì đã làm.

Nếu sự cố làm gián đoạn việc nhận lịch, xem thêm các bước trong bài kế hoạch khi phần mềm spa bị lỗi. Khi dữ liệu khách có thể đã bị lộ, các nguyên tắc về dữ liệu khách hàng trong bài dữ liệu khách hàng khi booking spa là điểm bắt đầu; câu hỏi về nghĩa vụ pháp lý nên hỏi luật sư.

Câu hỏi thường gặp

Bao lâu nên đổi mật khẩu một lần?

Quan trọng hơn chu kỳ cố định là đổi đúng lúc: khi người biết mật khẩu nghỉ việc, khi mất thiết bị, khi có dấu hiệu lạ. Một mật khẩu dài, riêng và không ai khác biết an toàn hơn mật khẩu đổi thường xuyên nhưng dễ đoán.

Có nên dùng trình quản lý mật khẩu không?

Nên. Trình quản lý giúp mỗi tài khoản có mật khẩu riêng mà bạn không phải nhớ, và thay cho mẩu giấy dán ở quầy. Hãy bảo vệ chính trình quản lý bằng một mật khẩu chính thật mạnh.

Phần mềm chỉ có một tài khoản, nhân viên cần xem lịch thì sao?

Chủ spa hoặc quản lý đăng nhập trên máy quầy, bật khoá màn hình, và không cho nhân viên biết mật khẩu. Nếu buộc phải chia mật khẩu, đổi ngay khi người được biết thôi việc.

Spa nhỏ có cần lo chuyện bảo mật không?

Có. Spa nhỏ thường là mục tiêu dễ vì ít quy trình. Các việc trong bài này gần như không tốn tiền, chỉ cần làm đều.

Bảo mật tài khoản spa trên Zenvia

Cổng quản lý Zenvia hiện có một tài khoản chủ spa và đăng nhập bằng mật khẩu, chưa có bước xác thực thứ hai khi đăng nhập — nên mật khẩu dài, riêng càng quan trọng. Trong trang Tài khoản, bạn đổi mật khẩu (từ 8 ký tự; đổi xong mọi phiên đăng nhập đều bị đăng xuất) và dùng nút Đăng xuất mọi thiết bị, kể cả app trên điện thoại. Mã OTP gửi qua Zalo về số điện thoại của tài khoản dùng để đăng ký, đăng nhập trên app và đặt lại mật khẩu, nên ai giữ được số điện thoại đó cũng vào được tài khoản — hãy bảo vệ số và tài khoản Zalo gắn với nó như bảo vệ mật khẩu.

Hãy thỉnh thoảng kiểm tra thông tin ngân hàng nhận tiền trong tab Zenvia hoàn trả, và liên hệ [email protected] nếu thấy điều bất thường. Tìm hiểu cổng quản lý dành cho chủ spa.