Mất 5 tỷ đồng trong tài khoản: Không còn vụ việc 'đáng tiếc' mà cảnh báo nguy cơ an toàn hệ thống

Mất 5 tỷ đồng trong tài khoản: Không còn vụ việc 'đáng tiếc' mà cảnh báo nguy cơ an toàn hệ thốngMinh Nhật-05/09/2026 11:00 (GMT+7)(VNF) - Vụ một khách hàng K mất 5 tỷ đồng là lời nhắc cho toàn ngành: rủi ro công nghệ cao không còn là chuyện tương lai để phòng xa, mà đã xảy ra trên thực tế. Và cách xử lý vẫn chỉ dừng lại thừa nhận vụ việc "đáng tiếc", cam kết đồng hành... nhưng thực tế đến nay vẫn chưa được giải quyết dứt điểm.Ngân hàng trước bài toán "gia cố" hệ thốngTại ĐHĐCĐ thường niên năm nay, lãnh đạo ngân hàng K khẳng định vụ việc một khách hàng mất 5 tỷ đồng là một vụ việc "đáng tiếc" và "có dấu hiệu của hành vi lừa đảo công nghệ cao". Đồng thời, phía ngân hàng cũng khẳng định "đồng cảm sâu sắc với những thiệt hại mà khách hàng đã gặp phải". Ngân hàng cũng cam kết sẽ đồng hành và hỗ trợ khách hàng trong suốt quá trình giải quyết sự việc.Trên thị trường, những vụ việc như thế đã xảy ra không ít và không chỉ tại một ngân hàng. Dù nguyên nhân nào thì điều đó cho thấy rủi ro mất tiền từ tài khoản vẫn là mối lo hiện hữu với bất kỳ khách hàng nào khác. Chính khoảng trống ấy biến vụ việc thành xuất phát điểm để các ngân hàng nhìn lại hệ thống của mình trước rủi ro công nghệ cao ngày càng tinh vi.Trao đổi với VietnamFinance, TS Hoàng Văn Thành, Trưởng Bộ môn Luật Kinh tế, Khoa Luật, Học viện Ngân hàng chỉ rõ rủi ro hiện nay không chỉ nằm ở khuôn mặt giả hoặc video giả, mà nằm ở toàn bộ hành trình giao dịch, từ thiết bị, ứng dụng, phiên đăng nhập, phương thức xác nhận, người thụ hưởng, cho đến chuỗi lệnh chuyển tiền."Do đó, các tổ chức tín dụng cần nâng cấp công nghệ theo hướng kiểm soát rủi ro liên tục, không chỉ theo hướng tăng độ chính xác của thuật toán nhận diện khuôn mặt", ông nói.Vụ việc tại ngân hàng K là minh chứng rõ nét cho nhận định này. Những câu hỏi đến nay vẫn chưa có lời đáp như đối tượng xấu lấy được hình ảnh khách hàng bằng cách nào, thiết bị của khách hàng có bị cài mã độc trong quá trình mở tài khoản hay không cho thấy tấn công phi kỹ thuật (social engineering) hoàn toàn có thể là điểm xâm nhập, chứ không cần đánh bại được lớp sinh trắc học.Thậm chí, ngay cả khi lỗ hổng cụ thể này được khắc phục, không có gì đảm bảo một hệ thống phòng thủ là an toàn tuyệt đối. TS Joshua Dwight, Phó chủ nhiệm nhóm ngành Công nghệ máy tính, Đại học RMIT Việt Nam, lưu ý rằng không có hệ thống nào an toàn 100%, và ngay cả các hệ thống chống gian lận hiện đại nhất trên thế giới vẫn để ngân hàng mất trung bình 3-5% doanh thu mỗi năm vì gian lận.Chuẩn bị cho rủi ro, vì vậy, không phải là tìm một giải pháp triệt để, mà là xây dựng một hệ thống phòng thủ nhiều lớp, bao trùm toàn bộ vòng đời giao dịch, thay vì dồn nguồn lực vào một điểm duy nhất.Xây dựng hệ thống phòng thủTheo TS Hoàng Văn Thành, việc đầu tiên mà các ngân hàng cần làm là triển khai xác thực theo mức độ rủi ro. Các sự kiện như đăng nhập lần đầu, đăng nhập trên thiết bị khác, kích hoạt lại Mobile Banking, thay đổi thông tin định danh, thay đổi số điện thoại, đăng ký hình thức xác nhận mới, thêm người thụ hưởng mới, giao dịch giá trị lớn hoặc giao dịch dồn dập phải được coi là sự kiện rủi ro cao. Với những sự kiện này, ngân hàng cần áp dụng đồng thời nhiều lớp kiểm soát, bao gồm khớp đúng sinh trắc học, OTP an toàn, xác nhận hai kênh, FIDO, giới hạn giao dịch, cảnh báo ngoài kênh và tạm dừng giao dịch để xác minh khi cần thiết.Song song với đó, ngân hàng cần đầu tư vào phân tích hành vi và phát hiện bất thường theo thời gian thực. Khoản 3 Điều 3 Thông tư số 50/2024/TT-NHNN quy định giao dịch của khách hàng phải được phân loại và đánh giá rủi ro tối thiểu theo nhóm khách hàng, hành vi sử dụng, loại giao dịch và hạn mức giao dịch nếu có. Khoản 2 Điều 15 của Thông tư này yêu cầu đơn vị xây dựng tiêu chí và phần mềm cảnh báo giao dịch bất thường dựa vào thời gian, vị trí địa lý, tần suất giao dịch, số tiền giao dịch, số lần đăng nhập sai quá quy định và các dấu hiệu bất thường khác. Đây là cơ sở pháp lý để chuyển từ kiểm tra từng giao dịch riêng lẻ sang đánh giá toàn bộ chuỗi hành vi giao dịch.Tiếp đến, ông Thành cho rằng các ngân hàng cần nâng cấp năng lực chống giả mạo sinh trắc học. Điểm a khoản 5 Điều 11 Thông tư số 50/2024/TT-NHNN đã đặt ra yêu cầu về khả năng phát hiện tấn công giả mạo vật thể sống khi áp dụng hình thức khớp đúng thông tin sinh trắc học sử dụng khuôn mặt.“Vì vậy, công nghệ nhận diện không thể dừng ở việc so khớp khuôn mặt, mà phải được kiểm thử thường xuyên trước các kịch bản ảnh tĩnh, video phát lại, mặt nạ 3D và deepfake. Nếu ngân hàng sử dụng giải pháp của bên thứ ba, ngân hàng vẫn cần kiểm tra, nghiệm thu, giám sát và đánh giá định kỳ chất lượng giải pháp”, ông nói.Đồng thời cần bảo vệ ứng dụng ngân hàng trên thiết bị di động. TS Hoàng Văn Thành dẫn Khoản 4 Điều 8 Thông tư số 50/2024/TT-NHNN, được sửa đổi, bổ sung bởi Thông tư số 77/2025/TT-NHNN, yêu cầu ứng dụng Mobile Banking phải tự động thoát hoặc dừng hoạt động và thông báo cho khách hàng nếu phát hiện các dấu hiệu như trình gỡ lỗi, môi trường giả lập, Android Debug Bridge, ứng dụng bị chèn mã, bị can thiệp, bị đóng gói lại, thiết bị đã bị root hoặc jailbreak, hoặc bị mở khóa cơ chế bảo vệ. Quy định này cho thấy bảo mật ngân hàng số không chỉ là bảo mật máy chủ của ngân hàng, mà còn là bảo mật môi trường giao dịch trên thiết bị của khách hàng.Cuối cùng, các ngân hàng cần nâng cao khả năng giám sát và phản ứng sau sự cố như phân công nhân sự tiếp nhận thông tin, hỗ trợ khách hàng và kịp thời liên lạc với khách hàng khi phát hiện giao dịch bất thường; thiết lập hệ thống giám sát, theo dõi hoạt động Online Banking, thu thập log đầy đủ và cảnh báo giao dịch bất thường hay yêu cầu bảo mật dữ liệu khách hàng, mã hóa hoặc che dấu thông tin sinh trắc học khi lưu trữ, phân quyền truy cập và thông báo cho khách hàng khi xảy ra sự cố làm lộ, lọt dữ liệu.“Nhìn rộng hơn, kiến trúc bảo mật của ngành ngân hàng cần chuyển từ xác thực một lần sang kiểm soát rủi ro liên tục. Sinh trắc học là điều kiện cần, nhưng không đủ. Một mô hình bảo mật phù hợp phải kết hợp xác thực danh tính, xác thực thiết bị, phân tích hành vi, chống giả mạo sinh trắc học, bảo vệ ứng dụng di động, lưu vết đầy đủ và trách nhiệm giải trình rõ ràng. Niềm tin của thị trường không chỉ đến từ việc áp dụng sinh trắc học, mà còn đến từ khả năng chứng minh rằng ngân hàng có thể phát hiện, ngăn chặn, truy vết và xử lý rủi ro một cách minh bạch”, ông Thành nhấn mạnh.Trong khi đó, TS Joshua Dwight lưu ý các ngân hàng hoặc tổ chức tài chính tại Việt Nam cần thận trọng khi sử dụng công nghệ học máy hoặc trí tuệ nhân tạo (AI) để tự động chặn giao dịch. Điều này có thể ảnh hưởng tiêu cực đến trải nghiệm khách hàng. Không phải mọi bất thường đều đồng nghĩa với gian lận hoặc sai phạm. Chẳng hạn, các giao dịch giá trị lớn đôi khi chỉ đơn giản là khách hàng mua ô tô hoặc thực hiện một giao dịch hợp pháp khác.“Hiện nay, nhiều ngân hàng sử dụng hệ thống phát hiện gian lận dựa trên các tập quy tắc. Những yếu tố như vị trí địa lý của giao dịch, thiết bị sử dụng, thời điểm thực hiện hoặc giá trị giao dịch thường được đối chiếu với các ngưỡng cảnh báo đã được thiết lập trước. Khi phát hiện bất thường, hệ thống cần gửi cảnh báo cho đội ngũ chống gian lận để tiến hành xác minh và liên hệ với khách hàng khi cần thiết. Tuy nhiên, các hệ thống phát hiện gian lận không hoàn hảo, và các ngân hàng trên thế giới thường vẫn mất từ 3% đến 5% doanh thu mỗi năm do các hành vi gian lận”, ông cho hay.Ngoài ra, theo đại diện RMIT, các ngân hàng Việt Nam cần có trách nhiệm bảo vệ tài sản của khách hàng thông qua việc áp dụng các thông lệ an ninh mạng tốt nhất theo tiêu chuẩn quốc tế, đồng thời đáp ứng yêu cầu pháp lý trong nước.Ở chiều ngược lại, khách hàng cũng phải cảnh giác trong việc sử dụng mật khẩu mạnh, thường xuyên cập nhật thông tin bảo mật và tránh trở thành nạn nhân của các chiêu thức lừa đảo qua thao túng tâm lý hay tấn công phi kỹ thuật (social engineering). Khách hàng cũng cần đặc biệt cẩn trọng khi thực hiện các giao dịch giá trị lớn, nhất là khi vừa mở tài khoản mới bởi với tài khoản mới, ngân hàng thường chưa có đủ dữ liệu lịch sử để hiểu đầy đủ các đặc điểm hành vi giao dịch của khách hàng, ông nói.