WhatsApp có an toàn không?

Dựa trên các trang trợ giúp và chính sách quyền riêng tư của chính WhatsApp:

• Trò chuyện cá nhân, trò chuyện nhóm và cuộc gọi: được mã hóa đầu cuối theo mặc định. Ngay cả WhatsApp cũng không đọc được.
• Bản sao lưu trò chuyện trên iCloud hoặc Google Drive: chỉ được mã hóa đầu cuối nếu bạn bật tính năng đó.
• Trò chuyện với doanh nghiệp dùng dịch vụ lưu trữ của Meta: không được mã hóa đầu cuối, như chính WhatsApp cho biết.
• Số điện thoại của bạn: luôn cần để đăng ký, và là cách mọi người tìm thấy và nhìn thấy bạn.

Vậy nên với chuyện trò chuyện hằng ngày, mã hóa của WhatsApp rất vững chắc. Những lỗ hổng nằm ở phần rìa, và rất dễ bị bỏ qua.

Có. WhatsApp dùng Signal Protocol, cũng là giao thức mà Signal và Morse dùng. Theo lời của chính WhatsApp, mọi thứ diễn ra tự động, không cần bật bất kỳ cài đặt đặc biệt nào. Điều đó bao gồm tin nhắn, ảnh, video, tin nhắn thoại và cuộc gọi của bạn, trong cả trò chuyện một-một lẫn nhóm.

Nó cũng hoạt động trên các thiết bị đã liên kết, như WhatsApp trên laptop của bạn: mỗi thiết bị tự kết nối riêng và giữ cho các cuộc trò chuyện được mã hóa đầu cuối. Nhưng mã hóa đầu cuối chỉ bao trùm hành trình giữa các thiết bị. Như hình bên dưới cho thấy, nó không vươn tới mọi nơi mà tin nhắn của bạn có thể dừng chân.

Tò mò về cách việc khóa lại hoạt động? Đây là cách mã hóa đầu cuối hoạt động.

Cuộc gọi thoại và video trên WhatsApp được mã hóa đầu cuối, nên không ai có thể nghe lén trên đường truyền, kể cả WhatsApp.

Nhưng mã hóa chỉ bảo vệ cuộc gọi khi nó đang được truyền đi. Bất kỳ ai trong cuộc gọi vẫn có thể ghi âm nó bằng một ứng dụng khác hoặc một thiết bị thứ hai, và không ứng dụng nhắn tin nào ngăn được điều đó. Ảnh chụp màn hình các cuộc trò chuyện của bạn cũng vậy. Mã hóa bảo vệ bạn khỏi người ngoài, chứ không phải khỏi những người bạn đang trò chuyện cùng.

Đây là lỗ hổng lớn nhất. WhatsApp có thể sao lưu lịch sử trò chuyện của bạn lên iCloud trên iPhone hoặc Google Drive trên Android. Theo mặc định, những bản sao lưu đó không được bảo vệ bằng mã hóa đầu cuối của WhatsApp. Chúng nằm trong tài khoản Apple hoặc Google của bạn, và thay vào đó được bảo vệ bằng biện pháp bảo mật của công ty đó.

Vì thế, một tin nhắn được mã hóa đầu cuối trên đường đến với bạn có thể nằm lại trong một bản sao lưu không được mã hóa như vậy. Nếu ai đó vào được tài khoản Apple hoặc Google của bạn, lịch sử trò chuyện của bạn có thể nằm trong tầm tay họ. Cách khắc phục là một cài đặt gọi là sao lưu được mã hóa đầu cuối, và chỉ mất khoảng một phút.

Đây là cách làm, theo các trang trợ giúp của WhatsApp:

1. 1Mở phần cài đặt của WhatsApp, chạm vào mục đoạn chat, rồi chạm vào mục sao lưu đoạn chat.
2. 2Chạm vào tùy chọn sao lưu được mã hóa đầu cuối.
3. 3Chọn dùng khóa truy cập (passkey), hoặc chạm vào phần tùy chọn khác để dùng mật khẩu hoặc khóa mã hóa gồm 64 chữ số.
4. 4Chạm vào Tạo. Hãy cất mật khẩu hoặc khóa đó ở nơi an toàn, vì bạn sẽ cần nó để khôi phục các cuộc trò chuyện.

Từ đó trở đi, bản sao lưu của bạn được khóa bằng thứ chỉ mình bạn có, giống như các cuộc trò chuyện của bạn.

Thông thường, trò chuyện với một doanh nghiệp cũng giống như trò chuyện với bạn bè. Nhưng một số doanh nghiệp dùng dịch vụ lưu trữ của Meta để xử lý các cuộc trò chuyện WhatsApp của họ, và WhatsApp cho biết họ không coi những cuộc trò chuyện đó là được mã hóa đầu cuối.

Bạn có thể nhận ra chúng: WhatsApp hiển thị một thông báo trong cuộc trò chuyện, cho biết doanh nghiệp này dùng một dịch vụ bảo mật của Meta để quản lý cuộc trò chuyện. Khi thấy thông báo đó, hãy coi cuộc trò chuyện này là không riêng tư giữa chỉ bạn và doanh nghiệp.

Không đọc được các cuộc trò chuyện thông thường của bạn. WhatsApp cho biết Meta AI chỉ có thể đọc những tin nhắn bạn gửi cho nó, những tin nhắn nhắc đến @MetaAI, và những tin nhắn bạn chọn chia sẻ với nó. Các cuộc trò chuyện cá nhân khác của bạn vẫn được mã hóa đầu cuối.

Với các tính năng như tóm tắt tin nhắn, WhatsApp cho biết họ dùng một hệ thống gọi là Private Processing, được xây dựng để Meta không thể đọc những gì bạn chia sẻ. Dù vậy, hãy nhớ rằng bất cứ điều gì bạn gõ cho chính Meta AI đều là một cuộc trò chuyện với Meta, không phải một cuộc trò chuyện được mã hóa đầu cuối với bạn bè.

Bản thân mã hóa rất khó bị phá. Hầu hết các vụ “hack” WhatsApp đều đi vòng qua nó, và thường bắt đầu bằng một tin nhắn. Những chiêu phổ biến nhất:

• Một tin nhắn từ “bạn cũ” hoặc “bộ phận hỗ trợ WhatsApp” nhờ bạn chuyển tiếp mã sáu chữ số bạn vừa nhận được. Chính mã đó cho phép ai đó đăng ký số của bạn trên điện thoại của họ.
• “Mẹ ơi, con bị mất điện thoại, đây là số mới của con”, kèm theo một lời xin tiền gấp.
• Một liên kết dẫn tới trang đăng nhập giả hoặc giải thưởng giả, được làm cho trông như đến từ WhatsApp.
• Hoán đổi SIM, khi ai đó thuyết phục nhà mạng chuyển số của bạn sang thẻ SIM của họ.

Trong mọi trường hợp, không ai phá được mã hóa cả. Thay vào đó, họ chiếm tài khoản hoặc nhắm vào chính con người. Đó là lý do các cài đặt bên dưới quan trọng đến vậy: chỉ riêng xác minh hai bước đã chặn được hầu hết các vụ chiếm tài khoản, vì một mã bị đánh cắp không còn đủ nữa.

Đó cũng là một trong những lý do Morse hoạt động mà không cần số điện thoại: không có mã gửi qua tin nhắn SMS nào để đánh cắp, và không phải lo bị hoán đổi SIM.

Có, nếu họ cầm được điện thoại đã mở khóa của bạn trong một phút. WhatsApp cho phép bạn liên kết một máy tính bằng cách quét mã QR, nên ai đó cầm điện thoại của bạn có thể liên kết laptop của chính họ và đọc theo từ đó trở đi.

Cách khắc phục rất đơn giản: thỉnh thoảng mở danh sách thiết bị đã liên kết trong phần cài đặt của WhatsApp, và đăng xuất bất cứ thiết bị nào bạn không nhận ra. Cùng với khóa ứng dụng, cánh cửa này sẽ được đóng lại.

Tin nhắn của bạn không thể bị đọc trên đường truyền. Nhưng WhatsApp có thu thập thông tin xung quanh chúng. Chính sách quyền riêng tư của họ liệt kê những thứ như thông tin về hoạt động của bạn trên ứng dụng, địa chỉ IP và mã định danh thiết bị, và cho biết họ dùng địa chỉ IP cùng mã vùng của số điện thoại để ước tính vị trí chung của bạn, như thành phố và quốc gia.

WhatsApp cũng cho biết thông thường họ không giữ tin nhắn của bạn trên máy chủ: chúng được lưu trên thiết bị của bạn. Vậy nên nội dung được bảo vệ, còn thông tin về cách thức và thời điểm bạn dùng ứng dụng thì không nằm trong phạm vi mã hóa. Đó là điều mọi người muốn nói khi nhắc đến siêu dữ liệu.

Có. Tin nhắn thông thường (SMS) không được mã hóa đầu cuối. Chúng đi qua nhà mạng của bạn ở dạng mà nhà mạng đọc được, và về bản chất chúng gắn liền với số điện thoại của bạn.

Tin nhắn WhatsApp được mã hóa đầu cuối, nên chỉ bạn và người kia mới đọc được. Nếu bạn phải chọn giữa tin nhắn SMS và WhatsApp cho một chuyện riêng tư, WhatsApp là lựa chọn tốt hơn, và một ứng dụng không cần cả số điện thoại của bạn còn tốt hơn nữa.

Không. Bạn cần số điện thoại để tạo tài khoản WhatsApp. WhatsApp đã công bố tên người dùng vào tháng 6 năm 2026 và đang triển khai dần từng bước, nên bạn sẽ có thể trò chuyện với mọi người mà không phải đưa số điện thoại. Nhưng bản thân tài khoản vẫn bắt đầu từ một số điện thoại, và những người đã lưu số của bạn vẫn thấy nó.

Nếu bạn hoàn toàn không muốn gắn việc nhắn tin với số điện thoại, hãy xem qua bài nhắn tin không cần số điện thoại.

Nếu bạn vẫn ở lại với WhatsApp, những điều sau đáng để bạn bỏ ra vài phút:

• Bật xác minh hai bước, để một mã SMS bị đánh cắp không đủ để chiếm tài khoản của bạn.
• Bật sao lưu được mã hóa đầu cuối, như đã mô tả ở trên.
• Dùng khóa ứng dụng và khóa đoạn chat, với vân tay hoặc nhận diện khuôn mặt của điện thoại, để khi cho ai mượn điện thoại, họ cũng không mở được các cuộc trò chuyện của bạn.
• Chạy tính năng kiểm tra quyền riêng tư của WhatsApp để quyết định ai được xem ảnh hồ sơ, thời điểm truy cập gần nhất và nhiều thứ khác của bạn.
• Nếu bạn có nguy cơ cao hơn, chẳng hạn là nhà báo, hãy xem các cài đặt tài khoản nghiêm ngặt của WhatsApp.

Các thiết lập mặc định của WhatsApp so với những ứng dụng khác mà mọi người thường cân nhắc:

WhatsApp đã làm đúng một điều lớn: mã hóa đầu cuối theo mặc định. Morse cũng làm vậy, cho mọi cuộc trò chuyện, nhóm, ảnh, tin nhắn thoại và cuộc gọi một-một, dùng cùng Signal Protocol, cùng với trao đổi khóa hậu lượng tử (ML-KEM) bổ sung bên trên.

Điểm khác của Morse nằm ở mọi thứ xung quanh. Bạn không cần số điện thoại hay email để đăng ký: bạn nhận được một Morse ID ngắn, và bạn quyết định ai được biết nó. Không có quảng cáo, vì Morse được chi trả bởi chính những người dùng nó. Và không có mã gửi qua tin nhắn SMS nào để ai đó dụ bạn chia sẻ.

Muốn biết chúng khác nhau chi tiết ra sao? Đây là so sánh WhatsApp và Morse, đặt cạnh nhau.