Thời gian qua, nhiều vụ lừa đảo chiếm đoạt tài sản đã lợi dụng các kẽ hở kỹ thuật trong quá trình xác thực người dùng và bảo mật thiết bị, gây thiệt hại lớn cho khách hàng. Trong đó, phổ biến nhất là các hình thức giả mạo sinh trắc học bằng trí tuệ nhân tạo, như sử dụng công nghệ deepfake để tạo khuôn mặt hoặc giọng nói giả, nhằm qua mặt hệ thống xác thực của ngân hàng.
Bên cạnh đó, các đối tượng còn triển khai nhiều kỹ thuật tấn công ứng dụng, bao gồm chèn mã độc, theo dõi dữ liệu thông qua cơ chế hook, hoặc đóng gói lại ứng dụng ngân hàng để đánh cắp thông tin đăng nhập, mã OTP và dữ liệu sinh trắc học. Đặc biệt, những thiết bị đã bị can thiệp hệ thống như root đối với Android, jailbreak đối với iOS, mở khóa bootloader, hoặc chạy ứng dụng trong môi trường giả lập, bật trình gỡ lỗi hay ADB, được đánh giá là tiềm ẩn rủi ro rất cao. Trên các thiết bị này, hacker có thể dễ dàng giành quyền kiểm soát, qua đó chiếm đoạt tiền trong tài khoản người dùng.
 |
| Nhiều ngân hàng ngừng hoạt động hoặc thoát ngay khi phát hiện thiết bị di động không đáp ứng các tiêu chuẩn |
Theo Ngân hàng Nhà nước, trong bối cảnh giao dịch trực tuyến và dịch vụ tiền di động ngày càng phổ biến, việc chuyển từ phương thức phòng vệ thụ động sang quản lý rủi ro chủ động là yêu cầu cấp thiết nhằm bảo vệ tài sản của khách hàng và bảo đảm an toàn hệ thống ngân hàng.
Chính vì vậy mà kể từ ngày 1/3/2026, hàng loạt ứng dụng ngân hàng số như BIDV SmartBanking, Vietcombank Mobile Banking, VietinBank iPay, cùng các ứng dụng của Agribank, VPBank, MB, TPBank… sẽ tự động ngừng hoạt động hoặc thoát ngay khi phát hiện thiết bị di động của người dùng không đáp ứng các tiêu chuẩn an toàn, bảo mật theo quy định mới..
Quy định này được nêu tại Thông tư 77/2025/TT-NHNN do Ngân hàng Nhà nước Việt Nam ban hành ngày 31/12/2025, sửa đổi, bổ sung một số điều của Thông tư 50/2024/TT-NHNN về an toàn, bảo mật cho việc cung cấp dịch vụ trực tuyến trong ngành ngân hàng.
Một yêu cầu đáng chú ý của Thông tư là nâng chuẩn phát hiện giả mạo sinh trắc học lên tiêu chuẩn quốc tế ISO 30107 cấp độ 2, nhằm tăng khả năng nhận diện và ngăn chặn các hình thức tấn công sử dụng AI trong quá trình xác thực giao dịch.
Ngoài ra, ứng dụng cũng sẽ ngừng hoạt động nếu được phát hiện đang chạy trong môi trường giả lập, máy ảo, bật trình gỡ lỗi, sử dụng Android Debug Bridge (ADB), hoặc có dấu hiệu bị chèn mã độc, theo dõi dữ liệu bằng kỹ thuật hook, bị đóng gói lại hay chỉnh sửa trái phép. Khi phát hiện các dấu hiệu này, ứng dụng sẽ tự động thoát và thông báo rõ nguyên nhân cho người dùng nhằm ngăn chặn nguy cơ hacker kiểm soát thiết bị và chiếm đoạt tài khoản.
Bên cạnh yêu cầu đối với thiết bị người dùng, Thông tư 77 cũng siết chặt việc quản lý vòng đời ứng dụng ngân hàng. Các tổ chức tín dụng phải đánh giá lỗ hổng bảo mật định kỳ tối thiểu 3 tháng một lần, không cho phép sử dụng hoặc hạ cấp xuống các phiên bản ứng dụng cũ tiềm ẩn rủi ro, đồng thời yêu cầu người dùng cài đặt phiên bản mới nhất khi kích hoạt lại ứng dụng trên thiết bị mới. Phạm vi áp dụng còn được mở rộng sang dịch vụ tiền di động (Mobile Money), với yêu cầu bảo mật tương đương dịch vụ ngân hàng.
Về lộ trình triển khai, Thông tư chính thức có hiệu lực từ ngày 1/3/2026. Riêng các quy định liên quan đến thanh toán trực tuyến sẽ được áp dụng theo từng giai đoạn, từ tháng 7/2026 đối với khách hàng cá nhân và từ tháng 10/2026 đối với khách hàng tổ chức. Đối với khách hàng tổ chức mới, việc sử dụng các phương thức xác thực mạnh như sinh trắc học hoặc chữ ký điện tử an toàn là bắt buộc.
Quy định mới được đánh giá là hàng rào kỹ thuật quan trọng nhằm bảo vệ tài sản của khách hàng trong bối cảnh lừa đảo ngân hàng số ngày càng phức tạp. Người dùng sử dụng thiết bị đã can thiệp hệ thống hoặc chạy môi trường không an toàn được khuyến nghị sớm khôi phục cài đặt gốc hoặc chuyển sang thiết bị đạt chuẩn để tránh gián đoạn giao dịch.
