Mã OTP, viết tắt của mật khẩu dùng một lần, được ngân hàng gửi qua tin nhắn hoặc ứng dụng để xác nhận rằng chính chủ tài khoản đang thực hiện một giao dịch, chứ không phải ai khác đang cố truy cập trái phép. Về bản chất, đây là bước xác thực cuối cùng trước khi tiền được chuyển đi hoặc thông tin nhạy cảm được thay đổi. Nếu một người lạ, dù tự xưng là nhân viên ngân hàng, công an hay bất kỳ ai, yêu cầu đọc mã OTP hoặc mật khẩu qua điện thoại, tin nhắn, đó gần như chắc chắn là dấu hiệu lừa đảo, vì ngân hàng thật không bao giờ cần hỏi những thông tin này từ khách hàng. Một khi mã đã bị tiết lộ, kẻ gian có thể hoàn tất giao dịch chiếm đoạt tiền trong tài khoản chỉ trong vài giây.

Nguyên nhân cốt lõi khiến việc này nguy hiểm là kẻ lừa đảo thường đã có sẵn một phần thông tin cá nhân của nạn nhân, như số điện thoại, số tài khoản hay thậm chí số căn cước, khiến câu chuyện họ dựng lên nghe có vẻ đáng tin. Họ thường tạo cảm giác khẩn cấp, ví dụ báo tài khoản bị xâm nhập hoặc trúng thưởng lớn, để nạn nhân hoảng loạn và làm theo hướng dẫn mà không kịp suy nghĩ kỹ, trong đó có bước đọc mã OTP vừa nhận được. Mã OTP thường chỉ có hiệu lực trong một khoảng thời gian ngắn, nên kẻ gian phải thúc ép nạn nhân đọc mã ngay lập tức, đây chính là dấu hiệu nhận biết rõ ràng nhất của một vụ lừa đảo. Ngân hàng và các cơ quan chức năng luôn khẳng định không có quy trình hợp lệ nào yêu cầu khách hàng đọc mã OTP hay mật khẩu cho người khác qua điện thoại.

Một hình thức lừa đảo phổ biến là kẻ gian giả danh nhân viên ngân hàng gọi điện báo tài khoản có dấu hiệu bất thường, yêu cầu khách hàng cung cấp mã OTP để "khoá tài khoản bảo vệ", nhưng thực chất mã đó lại được dùng để rút tiền ngay lập tức. Một dạng khác là giả làm người quen nhắn tin mượn tiền gấp rồi gửi một đường link giả mạo ngân hàng, yêu cầu nhập mã OTP để "xác nhận chuyển khoản". Nhiều vụ việc từng được báo chí đưa tin, trong đó nạn nhân mất hàng chục đến hàng trăm triệu đồng chỉ vì đọc mã OTP theo hướng dẫn của kẻ lạ qua điện thoại.

Nhiều người nghĩ nếu người gọi biết rõ tên tuổi, số tài khoản của mình thì chắc chắn là nhân viên ngân hàng thật, nhưng những thông tin này có thể bị lộ qua nhiều nguồn khác nhau và không đảm bảo người gọi là hợp pháp. Cũng có người nghĩ chỉ cần không bấm vào link lạ thì an toàn, trong khi việc đọc mã OTP qua điện thoại cho người khác cũng nguy hiểm tương đương, vì đó chính là bước cuối cùng kẻ gian cần để hoàn tất giao dịch gian lận.