Trong cuộc đua bảo vệ sự an toàn, bảo mật của ngân hàng số, theo TS. Nguyễn Thanh Bình, chuyên gia tư vấn an ninh mạng, Công ty TNHH FPT IS (Tập đoàn FPT), ngân hàng không thể chỉ dựa vào những lớp xác thực tại thời điểm giao dịch, mà phải chuyển sang giám sát liên tục, phân tích hành vi và quản trị rủi ro dựa trên dữ liệu.
Theo ông, những rủi ro nào đang tạo sức ép lớn nhất đối với hệ thống phòng vệ của ngân hàng?
Trước tiên, tôi phải khẳng định ngay, hệ thống bảo mật của các ngân hàng Việt Nam hiện nay không hề yếu, thậm chí đang áp dụng những công nghệ tiên tiến hàng đầu thế giới. Áp lực khổng lồ mà các hệ thống phòng vệ của ngân hàng đang phải gánh chịu không đến từ việc tin tặc 'xuyên thủng' các lớp phòng thủ, mà đến từ một sự dịch chuyển căn bản trong chiến lược tấn công của tội phạm mạng.
 |
TS. Nguyễn Thanh Bình, chuyên gia tư vấn an ninh mạng, Công ty TNHH FPT IS (Tập đoàn FPT) |
Cụ thể, có ba sự thay đổi cốt lõi đang diễn ra:
Một là, sự dịch chuyển từ tấn công kỹ thuật sang thao túng tâm lý kỹ thuật số. Các hệ thống phòng vệ truyền thống (như Firewall, WAF, IPS, IAM) được thiết kế giống như tường thành kiên cố để bảo vệ máy chủ ngân hàng. Khi tội phạm mạng nhận thấy việc tấn công trực diện vào hệ thống này quá tốn kém và khó khăn, chúng quay sang tấn công vào mắt xích yếu nhất trong chuỗi bảo mật: người dùng cuối (khách hàng). Chúng không còn dùng những tin nhắn lừa đảo sơ sài, mà sử dụng công nghệ giả mạo cuộc gọi Deepfake (giả mạo cả âm thanh và hình ảnh) đóng vai cơ quan công an, tòa án, hoặc nhân viên ngân hàng để đưa nạn nhân vào trạng thái tâm lý lo lắng, hoảng sợ, mất cảnh giác. Hệ thống bảo mật dù có 3 - 4 lớp cũng không thể ngăn chặn được tội phạm mạng khi chính khách hàng bị thao túng tâm lý tự tay thực hiện lệnh chuyển tiền.
Hai là, sự bùng nổ của mã độc chiếm quyền điều khiển. Đây là vũ khí nguy hiểm nhất khiến các lớp xác thực truyền thống bị vô hiệu hóa. Kẻ gian lừa người dùng cài đặt các ứng dụng giả mạo (như app thuế, dịch vụ công) qua các tệp .APK trên hệ điều hành Android. Khi người dùng cấp quyền Dịch vụ trợ năng (Accessibility Service) cho ứng dụng giả mạo, mã độc sẽ có khả năng xem màn hình, tự động đọc/sao chép mã OTP, thậm chí tự động bấm nút 'Chuyển tiền' mà người dùng không biết. Lúc này, dòng dữ liệu truyền về hệ thống ngân hàng hoàn toàn hợp lệ về mặt kỹ thuật, vì nó xuất phát từ đúng thiết bị, đúng tài khoản khách hàng.
Ba là, công nghiệp hóa và ứng dụng AI của tội phạm mạng. Tội phạm mạng hiện nay hoạt động theo mô hình doanh nghiệp có tổ chức cao, quy mô xuyên biên giới. Chúng mua bán dữ liệu cá nhân rò rỉ để xây dựng hồ sơ chính xác về nạn nhân, đồng thời ứng dụng Trí tuệ nhân tạo (AI) giúp tự động hóa quy trình gửi tin nhắn và tạo ra các biến thể mã độc mới liên tục để qua mặt các phần mềm quét virus truyền thống.
So với khoảng 5 năm trước, đâu là những khác biệt đáng chú ý nhất trong cách thức hoạt động của tội phạm mạng hiện nay?
Để phác họa rõ nét nhất sự thay đổi này, tôi muốn dùng một hình ảnh so sánh. Cách đây 5 năm, tội phạm mạng đi 'cạy cửa' hệ thống; còn hiện nay, chúng 'hack' vào chính con người và chiếm quyền điều khiển phương tiện của họ.
Điểm khác biệt lớn nhất nằm ở đối tượng mục tiêu và quy mô vận hành, được thể hiện rõ qua ba khía cạnh:
Thứ nhất, phá vỡ niềm tin thị giác và thính giác bằng AI & Deepfake. Trong giai đoạn trước, phương thức lừa đảo chủ yếu là gửi tin nhắn SMS giả mạo thương hiệu hoặc lập website phishing. Kịch bản lúc đó còn thô sơ, sai lỗi chính tả mà người dùng có thể nhận biết nếu có kiến thức cơ bản. Hiện nay, Deepfake tạo hình ảnh và giọng nói giả mạo theo thời gian thực khiến nạn nhân nhìn tận mắt, nghe tận tai đúng người thân hoặc cơ quan pháp luật, xóa nhòa ranh giới thật giả và đẩy tỷ lệ sập bẫy tăng vọt.
Thứ hai, từ đánh cắp thông tin chuyển sang chiếm quyền điều khiển thiết bị thông qua mã độc điều khiển từ xa (RAT). Trước đây, mục tiêu của tin tặc là lừa người dùng nhập mật khẩu và OTP vào trang web giả mạo. Hiện nay, mã độc lợi dụng dịch vụ trợ năng không cần lừa lấy mật khẩu mà ngấm ngầm chiếm quyền điều khiển điện thoại của nạn nhân. Tin tặc có thể theo dõi màn hình, đọc OTP, tự điền thông tin và thực hiện lệnh chuyển tiền ngay trên app ngân hàng chính chủ. Hệ thống e-banking ghi nhận mọi thông số kỹ thuật (địa chỉ IP, định danh thiết bị IMEI) đều hợp lệ nên hệ thống giám sát truyền thống không thể phát hiện.
Thứ ba, công nghiệp hóa quy mô lớn. Các cuộc tấn công phishing trước đây mang tính chất 'quăng lưới' ngẫu nhiên. Trong khoảng 5 năm trở lại đây, với sự hỗ trợ của các mô hình ngôn ngữ lớn (LLM), tin tặc tự động hóa quy trình xây dựng kịch bản lừa đảo cá nhân hóa chuyên sâu dựa trên các tệp dữ liệu rò rỉ, vận hành các tổng đài lừa đảo tự động 24/7 với quy mô tiếp cận hàng triệu người mỗi ngày.
Nhiều lớp xác thực như OTP, sinh trắc học đang được áp dụng rộng rãi. Vì sao những biện pháp này vẫn chưa đủ để bảo đảm an toàn cho một giao dịch?
Dưới góc độ kỹ thuật an ninh mạng, quan điểm này là một sai lầm phổ biến. Cách nhìn này đang nhầm lẫn giữa hai khái niệm: xác thực và bảo mật toàn trình. OTP và sinh trắc học chỉ chứng minh bạn là ai tại một thời điểm nhất định, chứ không thể bảo vệ bạn nếu toàn bộ môi trường giao dịch đã bị nhiễm độc hoặc bị kiểm soát.
Như đề cập ở trên, mã độc chiếm quyền trợ năng hoàn toàn có thể đọc ngầm OTP và ẩn đi thông báo biến động số dư. Đối với xác thực sinh trắc học trên điện thoại, khi hệ điều hành xác thực thành công sẽ ký một token kỹ thuật số gửi về app ngân hàng. Nếu điện thoại bị can thiệp sâu ở mức mã độc khai thác lỗ hổng hệ điều hành (với điện thoại đã Root/Jailbreak hoặc chạy chế độ Developer), tin tặc có thể dùng kỹ thuật can thiệp mã lệnh (Hooking) để giả mạo tín hiệu trả về của hệ điều hành, đánh lừa ứng dụng ngân hàng rằng 'vừa quét khuôn mặt thành công' mà thậm chí không cần khuôn mặt thật của nạn nhân.
Vì vậy, trong kỷ nguyên hiện nay, yếu tố quyết định tính bảo mật của ngân hàng số không nằm ở việc 'thêm bao nhiêu lớp khóa vào cửa', mà nằm ở hệ thống giám sát và quản trị rủi ro thông minh dựa trên dữ liệu (FDS). Khả năng phòng vệ thực sự được quyết định bởi 3 trụ cột kỹ thuật:
Một là giám sát hành vi theo thời gian thực: hệ thống FDS hiện đại ứng dụng học máy để phân tích hành vi liên tục. Hệ thống sẽ ngay lập tức chặn giao dịch nếu phát hiện bất thường thiết bị, ví dụ đang bật tính năng điều khiển từ xa hoặc chạy quyền trợ năng cho app lạ; hoặc bất thường hành vi, như tốc độ gõ bàn phím, góc cầm máy, cách vuốt màn hình thay đổi đột ngột - dấu hiệu của mã độc tự động click...
Hai là cơ chế kiểm soát dòng tiền nhận. Một hệ thống bảo mật tốt phải ngăn chặn được cả đầu ra của dòng tiền gian lận. Nhờ Quyết định 2345 và Thông tư 17/2024/TT-NHNN, khi việc xác thực sinh trắc học bắt buộc phải đối chiếu với dữ liệu gốc của Bộ Công an, nó triệt tiêu hoàn toàn các tài khoản rác ẩn danh. Khi dòng tiền gian lận không còn nơi trú ẩn và rửa tiền, động cơ tấn công của tội phạm mạng sẽ bị giảm đi một nửa.
Ba là kiến trúc Không tin tưởng (Zero Trust). Hệ thống phải liên tục đánh giá mức độ an toàn của phiên giao dịch từ lúc đăng nhập cho đến khi kết thúc, chứ không chỉ kiểm tra duy nhất lúc bấm nút chuyển tiền.
AI đang được cả ngân hàng và tội phạm mạng ứng dụng ngày càng sâu. Theo ông, cuộc đua này đang tạo ra những thay đổi gì đối với năng lực phòng, chống gian lận của ngành ngân hàng?
Cuộc đua ứng dụng AI giữa ngành ngân hàng và tội phạm mạng hiện nay có thể ví như một trận chiến 'AI đấu AI'. Cán cân quyền lực liên tục thay đổi, tạo ra một thế trận bất đối xứng nhưng cực kỳ khốc liệt.
AI đã làm thay đổi cán cân theo hướng đẩy tốc độ 'giao chiến' lên mức tối đa. Về phía tội phạm, AI tạo sinh giúp chúng bình dân hóa và công nghiệp hóa các kỹ thuật tấn công cao cấp, cho phép những nhóm tội phạm trình độ trung bình vẫn vận hành được các chiến dịch lừa đảo quy mô lớn. Ngược lại, về phía ngân hàng, AI giúp chuyển dịch sang thế phòng vệ chủ động dựa trên dự đoán rủi ro ở tốc độ mili-giây, thay vì phòng vệ dựa trên luật cứng kiểu cũ, tức là sự việc xảy ra rồi mới rút kinh nghiệm để chặn.
AI mang lại cho các tổ chức tài chính những lợi thế vượt trội, như chấm điểm rủi ro thời gian thực trước khi quyết toán. AI phân tích đồng thời hàng trăm chiều dữ liệu và đưa ra quyết định chặn giao dịch đáng ngờ chỉ trong vòng dưới 50 mili-giây, trước khi tiền kịp rời khỏi hệ thống. Đồng thời, công nghệ này cũng triệt tiêu hiện tượng 'báo động giả'. Các mô hình học máy tự thích ứng giúp giảm tỷ lệ chặn nhầm giao dịch hợp pháp của khách hàng lên tới 40 - 50%, tối ưu hóa trải nghiệm người dùng và giải phóng nguồn lực cho trung tâm điều hành an ninh mạng (SOC).
Đáng chú ý là khả năng phát hiện mạng lưới rửa tiền bằng đồ thị AI. Đồ thị AI có khả năng liên kết, vẽ bản đồ dòng tiền lòng vòng và phát hiện ra các cụm tài khoản rửa tiền dựa trên sự tương đồng về hành vi di chuyển dòng tiền.
Tuy nhiên, AI cũng mở ra những rủi ro mới mà hệ thống tài chính phải đối mặt như tấn công chèn video Deepfake (tin tặc sử dụng mã độc để chèn trực tiếp luồng video đã được xử lý Deepfake vào thẳng API của ứng dụng ngân hàng để vượt qua bước quét eKYC, thay vì đưa ảnh trước camera điện thoại); sử dụng mã độc tự thích ứng (tin tặc dùng AI để tự động chỉnh sửa cấu trúc tệp của malware sau mỗi vài giờ, khiến các phần mềm EDR truyền thống dựa trên nhận diện chữ ký hoàn toàn bị 'mù' dữ liệu). Đặc biệt là rủi ro nhiễm độc mô hình AI (tin tặc cố ý thực hiện các giao dịch gian lận 'mồi' có hành vi giống giao dịch sạch nhằm làm sai lệch dữ liệu huấn luyện của mô hình AI ngân hàng, khiến mô hình tự động hạ thấp mức độ cảnh giác theo thời gian).
Xu hướng bảo vệ giao dịch ngân hàng trên thế giới đang chuyển dịch theo hướng nào? Theo ông, Việt Nam đang ở đâu trong quá trình này?
Bức tranh ngành an ninh bảo mật thế giới đang chứng kiến một cuộc chuyển dịch mang tính triết lý: từ 'phòng thủ biên giới cố định' sang 'phòng thủ động, liên tục và không tin tưởng mặc định'.
Trên thế giới, các khái niệm này đang hội tụ để bảo vệ khách hàng hoàn toàn mượt mà ở chế độ ngầm. Kiến trúc Zero Trust và việc xác thực liên tục loại bỏ tư duy cấp quyền cho toàn bộ phiên làm việc sau khi nhập đúng mật khẩu. Thay vào đó, hệ thống liên tục đánh giá độ tin cậy sau mỗi vài giây dựa trên mạng lưới, trạng thái thiết bị và đặc biệt là sinh trắc học hành vi. Nếu một mã độc RAT đang điều khiển máy, tốc độ bấm nút hoặc quỹ đạo vuốt màn hình sẽ lệch pha so với thói quen sinh học của chủ tài khoản. AI sẽ phát hiện ra điều này ngay lập tức và tự động ngắt kết nối phiên giao dịch, bất kể kẻ tấn công có giữ trong tay OTP hay khuôn mặt tĩnh.
Việt Nam nằm trong nhóm các quốc gia có bước đi quyết liệt nhất khu vực về mặt chính sách và làm sạch hạ tầng dữ liệu. Ngành ngân hàng đã làm sạch gốc dữ liệu tài khoản cực tốt thông qua Thông tư 17/2024 và Thông tư 25/2025 của Ngân hàng Nhà nước bằng cách bắt buộc eKYC đối chiếu với Cơ sở dữ liệu quốc gia về dân cư. Đặc biệt, Thông tư 77/2025/TT-NHNN (có hiệu lực từ tháng 3/2026), với quy định bắt buộc ứng dụng Mobile Banking của ngân hàng phải tự động thoát hoặc ngừng hoạt động nếu phát hiện thiết bị bị Root/Jailbreak, bị can thiệp mã lệnh, hoặc đang chạy trong môi trường nhà phát triển đã bẻ gãy trực tiếp vũ khí nguy hiểm nhất của tội phạm là mã độc trợ năng.
Dù hạ tầng dữ liệu và chốt chặn pháp lý đã rất tốt, nhưng ở tầng hệ thống FDS, các ngân hàng Việt Nam đang có sự phân hóa rõ rệt. Các ngân hàng lớn và ngân hàng số năng động đã tích hợp sâu AI vào trung tâm SOC để chấm điểm rủi ro thời gian thực. Trong khi đó, nhóm tầm trung và nhỏ vẫn đang dừng lại ở mức độ 'tuân thủ' cấu hình đáp ứng đúng các tiêu chí tối thiểu của cơ quan quản lý, chưa thực sự xây dựng được mô hình Machine Learning riêng để phân tích hành vi sâu do hạn chế về ngân sách và nhân lực.
Ngoài những rủi ro đã phân tích, theo ông, đâu là những vấn đề mới mà ngân hàng và người dùng cần đặc biệt lưu ý trong thời gian tới?
Chúng ta đã nói nhiều về phần mềm, thiết bị di động và AI, nhưng có một 'vùng tối' nguy hiểm đang bị bỏ ngỏ, nằm ngoài tầm kiểm soát của các ứng dụng Mobile Banking thông thường. Có ba rủi ro cốt lõi mà tôi muốn cảnh báo:
Thứ nhất, tấn công trạm phát sóng giả công nghệ cao: Chúng ta thường nghĩ không cài app lạ là an toàn, nhưng tội phạm mạng hiện nay đã nâng cấp lên mức độ tấn công hạ tầng viễn thông. Chúng đặt các trạm phát sóng giả trên ô tô hoặc xe máy, di chuyển vào các khu vực đông dân cư, phát tín hiệu cực mạnh để 'ép' các điện thoại xung quanh ngắt kết nối với nhà mạng hợp pháp và kết nối vào trạm giả. Khi đã làm chủ sóng viễn thông, chúng thực hiện cuộc tấn công chặn bắt cuộc gọi/SMS hoặc khai thác lỗ hổng của giao thức mạng cũ (2G/3G) để ép điện thoại tải xuống các gói dữ liệu độc hại mà không cần người dùng bấm vào link.
Thứ hai, rủi ro từ xu hướng ngân hàng mở (Open Banking) và API bên thứ ba. Để chuyển đổi số, các ngân hàng tích cực mở cổng API kết nối với các ứng dụng thanh toán, ví điện tử, sàn thương mại điện tử, app gọi xe... Hệ thống lõi ngân hàng bảo mật rất tốt, nhưng các đối tác thứ ba (ví dụ một công ty khởi nghiệp ví điện tử nhỏ hoặc một đối tác tích điểm thưởng) có thể có hệ thống an ninh lỏng lẻo. Tin tặc sẽ tấn công vào 'mắt xích yếu' này trong chuỗi cung ứng, chiếm quyền API kết nối để gửi các lệnh thanh toán hợp lệ về phía ngân hàng hoặc khai thác lỗ hổng rò rỉ dữ liệu xuyên suốt hệ thống tài chính.
Thứ ba, vấn nạn 'bắt cóc dữ liệu' để tống tiền kép. Nhắm vào các tổ chức tín dụng, tin tặc không còn đánh sập hệ thống làm tê liệt giao dịch vì dễ bị phát hiện mà âm thầm nằm vùng hàng tháng trời, lặng lẽ sao lưu các dữ liệu nhạy cảm của khách hàng doanh nghiệp lớn, khách hàng VIP. Sau đó, chúng đe dọa sẽ tung dữ liệu này lên Dark Web nếu ngân hàng không trả tiền chuộc, đe dọa trực tiếp đến uy tín hệ thống và an ninh tài chính quốc gia.
Để giải quyết bài toán, các cơ quan quản lý cần sớm ban hành tiêu chuẩn bảo mật bắt buộc riêng cho hạ tầng Open Banking API. Đồng thời, các nhà mạng viễn thông phải đẩy nhanh lộ trình tắt hoàn toàn sóng 2G/3G (vốn có độ bảo mật kém, dễ bị Fake BTS lợi dụng) và bắt buộc áp dụng các cơ chế mã hóa định danh SIM (như mã hóa IMSI) trên hạ tầng mạng 5G.
Các tổ chức tín dụng phải áp dụng nghiêm ngặt mô hình quản lý rủi ro chuỗi cung ứng. Khi kết nối API với bất kỳ bên nào, phải thực hiện đánh giá an ninh định kỳ nghiêm ngặt đối với hệ thống của đối tác đó, luôn coi họ như một vùng mạng không an toàn để thiết lập bộ lọc phòng vệ.
Đối với công chúng, cần nâng cao nhận thức rằng an ninh mạng không dừng lại ở chiếc điện thoại. Hãy chủ động tắt chế độ 'tự động kết nối Wifi công cộng', chuyển sang dùng eSIM nếu có thể để tăng tính định danh phần cứng và luôn ghi nhớ nguyên tắc: Không bao giờ có một giao dịch tài chính an toàn trên một đường truyền không đáng tin cậy.