Phân Tích, Đánh Giá Thực Trạng Bảo Mật Trong Dịch Vụ Internet Banking Của Một Số Nước Trên Thế Giới

Khóa luận phân tích thực trạng bảo mật dịch vụ internet banking tại Việt Nam và thế giới, đề xuất mô hình bảo mật cho ngân hàng BIDV.

• Tác giả: Vũ Thị Hồng Ngọc
• Người hướng dẫn: ThS. Lê Văn Hùng
• Trường học: Học viện Ngân hàng
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Phân Tích Bảo Mật Dịch Vụ Internet Banking: Đề Xuất Mô Hình Cho Ngân Hàng BIDV
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• MỤC LỤC
• 1. CHƯƠNG 1: TỔNG QUAN VÀ CƠ SỞ LÝ THUYẾT
• 1.1. Tổng quan về đơn vị thực tập
• 1.2. Tổng quan về dịch vụ Internet Banking
• 1.2.1. Khái niệm Internet Banking
• 1.2.2. Lịch sử hình thành và phát triển Internet Banking
• 1.2.3. Các loại hình Internet Banking
• 1.2.4. Lợi ích của Internet Banking
• 1.2.4.1. Đối với khách hàng
• 1.2.4.2. Đối với hệ thống ngân hàng
• 1.2.5. Một số rủi ro của Internet Banking
• 1.2.5.1. Các hình thức tấn công mạng phổ biến
• 1.2.5.1.1. Tấn công giả mạo (Phishing)
• 1.2.5.1.2. Tấn công chèn mã độc chéo trang (Cross-site scripting)
• 1.2.5.1.3. Lừa đảo qua điện thoại (Vishing)
• 1.2.5.1.4. Chiếm đoạt tên miền (Cybersquatting)
• 1.2.5.1.5. Phần mềm độc hại (Malware)
• 1.2.5.1.6. Tấn công từ chối dịch vụ (Denial of Service (DOS) attack)
• 1.2.5.1.7. Giả mạo tin nhắn SMS (SMS Spoofing)
• 1.2.5.1.8. Giả mạo địa chỉ TCP/IP (TCP/IP Spoofing)
• 1.2.5.1.9. Các mối đe dọa nội bộ (Insider threats)
• 1.3. Các cuộc tấn công vào OTP (Attacks on OTP)
• 1.4. Các biện pháp bảo mật trong ngân hàng
• 1.4.1. Mã hóa cơ sở dữ liệu (Database encryption)
• 1.4.2. Kiểm tra an ninh định kỳ
• 1.4.3. Quản lý danh sách kiểm soát truy cập (ACL)
• 1.4.4. Bảo vệ từ các mối đe dọa nội bộ
• 1.4.5. Đào tạo và nâng cao nhận thức về an ninh
• 1.4.6. Secure Socket Layer (SSL)
• 1.4.7. Các thiết bị bảo vệ hệ thống mạng lưới (Network protection devices)
• 1.4.8. Công nghệ chống xâm nhập và phát hiện xâm nhập (IDS/IPS)
• 1.4.9. Các hệ thống ngăn chặn xâm nhập mạng lưới (Network intrusion prevention systems)
• 1.4.10. Cấu hình DNS (DNS Placement)
• 1.4.11. Cơ chế bảo vệ mật khẩu (Password protection mechanisms)
• 1.4.12. Cảnh báo tin nhắn (SMS Alerts)
• 1.4.13. Tiêu chuẩn mã hóa AES
• 1.4.13.1. Định nghĩa về AES
• 1.4.13.2. Nguyên lý hoạt động
• 1.4.13.3. Ứng dụng thực tế
• 1.4.13.4. Ưu, nhược điểm
• 2. CHƯƠNG II: THỰC TRẠNG RỦI RO TRONG INTERNET BANKING
• 2.1. Thực trạng rủi ro trong Internet Banking tại một số nước trên thế giới
• 2.1.1. Tại Trung Quốc
• 2.2. Thực trạng vấn đề rủi ro trong Internet Banking tại Việt Nam
• 2.2.1. Đối với người dùng
• 2.2.2. Đối với hệ thống ngân hàng
• 2.3. Khảo sát độ tin cậy của người dùng đối với dịch vụ Internet Banking
• 2.4. Một số mô hình bảo mật cho Internet Banking
• 2.4.1. Mô hình bảo mật cho Internet Banking tại Mỹ
• 2.4.2. Mô hình bảo mật của ngân hàng Chase
• 2.4.3. Mô hình bảo mật của ngân hàng Wells Fargo
• 2.4.4. Mô hình bảo mật cho Internet Banking tại Việt Nam
• 3. CHƯƠNG III: MÔ HÌNH ĐỀ XUẤT VÀ XÂY DỰNG THỬ NGHIỆM
• 3.1. Giới thiệu về ngân hàng BIDV
• 3.2. Đề xuất mô hình bảo mật Internet Banking cho ngân hàng BIDV
• 3.2.1. Quy trình đăng nhập hệ thống
• 3.2.2. Quy trình mã hóa và giải mã dữ liệu
• 3.2.2.1. Quy trình mã hóa dữ liệu
• 3.2.2.2. Quy trình giải mã dữ liệu
• 3.2.3. Quy trình thực hiện giao dịch chuyển tiền
• 3.2.4. Quy trình thực hiện thanh toán mua sắm trực tuyến
• 3.3. Xây dựng chương trình thử nghiệm
• 3.3.1. Mã hóa và giải mã dữ liệu
• 3.3.2. Đăng nhập hệ thống
• 3.3.3. Giao dịch chuyển tiền
• 3.3.4. Thanh toán hóa đơn mua sắm trực tuyến
• 3.4. Kết quả đạt được của mô hình
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về bảo mật dịch vụ Internet Banking hiện nay

Bảo mật dịch vụ Internet Banking là một trong những vấn đề quan trọng nhất trong ngành ngân hàng hiện đại. Với sự phát triển nhanh chóng của công nghệ thông tin, các ngân hàng phải đối mặt với nhiều thách thức trong việc bảo vệ thông tin khách hàng. Việc bảo mật không chỉ giúp bảo vệ tài sản của khách hàng mà còn duy trì uy tín của ngân hàng. Theo một nghiên cứu gần đây, tỷ lệ tấn công mạng vào các dịch vụ ngân hàng trực tuyến đã tăng lên đáng kể, khiến cho việc cải tiến các biện pháp bảo mật trở nên cấp thiết.

1.1. Khái niệm và tầm quan trọng của bảo mật Internet Banking

Bảo mật Internet Banking đề cập đến các biện pháp và công nghệ được sử dụng để bảo vệ thông tin và giao dịch của khách hàng. Điều này bao gồm việc sử dụng mã hóa, xác thực đa yếu tố và các công nghệ bảo mật khác nhằm ngăn chặn các cuộc tấn công mạng.

1.2. Các hình thức tấn công phổ biến trong Internet Banking

Các hình thức tấn công phổ biến bao gồm tấn công giả mạo (phishing), tấn công chèn mã độc (malware) và tấn công từ chối dịch vụ (DDoS). Những hình thức này có thể gây ra thiệt hại lớn cho ngân hàng và khách hàng nếu không được phát hiện và xử lý kịp thời.

II. Thách thức trong bảo mật dịch vụ Internet Banking tại ngân hàng BIDV

Ngân hàng BIDV, một trong những ngân hàng lớn nhất tại Việt Nam, đang phải đối mặt với nhiều thách thức trong việc bảo mật dịch vụ Internet Banking. Sự gia tăng của các cuộc tấn công mạng và sự phát triển của công nghệ thông tin đã tạo ra áp lực lớn lên hệ thống bảo mật của ngân hàng. Đặc biệt, việc sử dụng mã OTP để xác thực giao dịch đang gặp nhiều rủi ro, khi mà tin tặc có thể dễ dàng chiếm đoạt mã OTP thông qua các phương thức lừa đảo.

2.1. Rủi ro bảo mật trong việc sử dụng mã OTP

Mã OTP thường được sử dụng để xác thực giao dịch, nhưng nó cũng là mục tiêu của nhiều cuộc tấn công. Tin tặc có thể sử dụng các phương thức như phishing để lấy cắp mã OTP, dẫn đến việc chiếm đoạt tài khoản ngân hàng.

2.2. Các thách thức trong việc nâng cao nhận thức về bảo mật

Một trong những thách thức lớn nhất là nâng cao nhận thức của khách hàng về các rủi ro bảo mật. Nhiều khách hàng vẫn chưa hiểu rõ về các hình thức tấn công và cách bảo vệ thông tin cá nhân của mình.

III. Giải pháp bảo mật cho dịch vụ Internet Banking của ngân hàng BIDV

Để đảm bảo an toàn cho dịch vụ Internet Banking, ngân hàng BIDV cần áp dụng nhiều giải pháp bảo mật khác nhau. Việc sử dụng công nghệ mã hóa tiên tiến và xác thực đa yếu tố là những biện pháp quan trọng giúp bảo vệ thông tin khách hàng. Ngoài ra, ngân hàng cũng cần thường xuyên cập nhật và nâng cấp hệ thống bảo mật để đối phó với các mối đe dọa mới.

3.1. Ứng dụng công nghệ mã hóa tiên tiến

Sử dụng các tiêu chuẩn mã hóa tiên tiến như AES để bảo vệ dữ liệu trong quá trình truyền tải. Điều này giúp đảm bảo rằng thông tin của khách hàng không bị rò rỉ trong quá trình giao dịch.

3.2. Xác thực đa yếu tố trong giao dịch

Áp dụng xác thực đa yếu tố (MFA) để tăng cường bảo mật cho các giao dịch. Điều này có thể bao gồm việc yêu cầu khách hàng cung cấp thêm thông tin xác thực ngoài mã OTP, như mã xác nhận từ ứng dụng di động.

IV. Kết quả nghiên cứu và ứng dụng thực tiễn

Nghiên cứu cho thấy rằng việc áp dụng các biện pháp bảo mật mới đã giúp giảm thiểu rủi ro trong dịch vụ Internet Banking của ngân hàng BIDV. Khách hàng ngày càng tin tưởng hơn vào hệ thống bảo mật của ngân hàng, điều này thể hiện qua sự gia tăng số lượng giao dịch trực tuyến. Tuy nhiên, ngân hàng cần tiếp tục cải tiến và cập nhật các biện pháp bảo mật để đáp ứng nhu cầu ngày càng cao của khách hàng.

4.1. Đánh giá hiệu quả của các biện pháp bảo mật

Các biện pháp bảo mật đã được áp dụng cho thấy hiệu quả rõ rệt trong việc giảm thiểu các cuộc tấn công mạng. Khách hàng cảm thấy an tâm hơn khi thực hiện giao dịch trực tuyến.

4.2. Tương lai của dịch vụ Internet Banking tại ngân hàng BIDV

Với sự phát triển không ngừng của công nghệ, ngân hàng BIDV cần tiếp tục đầu tư vào các giải pháp bảo mật mới để bảo vệ thông tin khách hàng và duy trì vị thế cạnh tranh trên thị trường.

V. Kết luận và hướng phát triển trong tương lai

Bảo mật dịch vụ Internet Banking là một vấn đề không thể xem nhẹ trong bối cảnh hiện nay. Ngân hàng BIDV cần tiếp tục cải tiến các biện pháp bảo mật để bảo vệ thông tin khách hàng và duy trì sự tin tưởng của họ. Việc đầu tư vào công nghệ mới và nâng cao nhận thức của khách hàng sẽ là chìa khóa cho sự thành công trong tương lai.

5.1. Tầm quan trọng của việc nâng cao bảo mật

Bảo mật không chỉ là trách nhiệm của ngân hàng mà còn là trách nhiệm của khách hàng. Cả hai bên cần hợp tác để đảm bảo an toàn cho các giao dịch trực tuyến.

5.2. Định hướng phát triển bảo mật trong tương lai

Ngân hàng cần theo dõi các xu hướng mới trong công nghệ bảo mật và áp dụng chúng vào hệ thống của mình để đảm bảo an toàn cho khách hàng.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự phát triển mạnh mẽ của cuộc cách mạng công nghiệp 4.0 và công nghệ thông tin đã thúc đẩy quá trình chuyển đổi số trong lĩnh vực tài chính – ngân hàng. Dịch vụ Internet Banking (IB) trở thành kênh giao dịch trọng yếu, cho phép khách hàng thực hiện các thao tác quản lý tài khoản, chuyển tiền và thanh toán trực tuyến mọi lúc, mọi nơi thông qua các thiết bị kết nối mạng. Tuy nhiên, dữ liệu tài chính của khách hàng luôn là mục tiêu hàng đầu của tội phạm mạng nhằm chiếm đoạt tài sản và trục lợi bất chính. Trong bối cảnh thực tập tại Công ty Cổ phần Mattech – đơn vị cung cấp giải pháp ngân hàng số cho Ngân hàng Thương mại Cổ phần Đầu tư và Phát triển Việt Nam (BIDV), tác giả nhận thấy việc xác thực giao dịch thông qua mã OTP gửi qua tin nhắn SMS truyền thống còn tồn tại nhiều rủi ro bị khai thác (như tấn công giả mạo SMS, phần mềm độc hại, tấn công can thiệp dữ liệu).

Đề tài được thực hiện nhằm giải quyết 4 nhiệm vụ nghiên cứu cụ thể sau:

1. Tổng quan cơ sở lý thuyết về dịch vụ Internet Banking, các hình thức tấn công mạng phổ biến, các biện pháp bảo mật hiện hành trong hệ thống ngân hàng và tiêu chuẩn mã hóa tiên tiến AES.
2. Thực hiện khảo sát thực nghiệm về mức độ tín nhiệm và đánh giá của khách hàng đối với tính an toàn của dịch vụ Internet Banking.
3. Phân tích, đánh giá thực trạng rủi ro và mô hình bảo mật trong dịch vụ Internet Banking tại Việt Nam và một số quốc gia trên thế giới.
4. Đề xuất, xây dựng và đánh giá mô hình bảo mật cho dịch vụ Internet Banking của ngân hàng BIDV: kết hợp tiêu chuẩn mã hóa AES để bảo vệ dữ liệu và xác thực giao dịch bằng mã xác nhận gửi qua email.

Đối tượng và phạm vi nghiên cứu của khóa luận được xác định rõ:

• Đối tượng nghiên cứu: Các cơ chế bảo mật, kỹ thuật mã hóa dữ liệu giao dịch và quy trình xác thực người dùng trong dịch vụ Internet Banking.
• Phạm vi công nghệ: Ứng dụng ngôn ngữ/framework Laravel, React, hệ quản trị cơ sở dữ liệu PostgreSQL và thuật toán mã hóa khối đối xứng AES.
• Phạm vi dữ liệu: Khảo sát thu thập 262 phiếu câu hỏi từ khách hàng sinh sống và làm việc tại khu vực Hà Nội cùng một số tỉnh lân cận; sau khi làm sạch thu được 200 phản hồi hợp lệ (đạt tỷ lệ 76,3%).
• Phạm vi ứng dụng: Dịch vụ ngân hàng điện tử (SmartBanking) của Ngân hàng TMCP Đầu tư và Phát triển Việt Nam (BIDV).

---

Cơ sở lý thuyết và phương pháp

Khóa luận kế thừa các cơ sở lý thuyết học thuật và khung tiêu chuẩn kỹ thuật an toàn thông tin:

• Khái niệm và phân loại Internet Banking: Tiếp cận định nghĩa theo Tan & Teo (2000) và Seetharaman cùng cộng sự (2016). Phân loại 3 hình thức dịch vụ IB theo Gaur (2023) và DBS Bank (2022) gồm: Internet Banking giao dịch (Transactional Internet Banking), Internet Banking thông tin (Informational Internet Banking), và Internet Banking tương tác (Communicative Internet Banking).
• Phân loại hiểm họa an ninh mạng: Nghiên cứu phân loại chi tiết 10 hình thức tấn công mạng điển hình gồm Tấn công giả mạo (Phishing), Tấn công chèn mã độc chéo trang (Cross-Site Scripting - XSS), Lừa đảo qua điện thoại (Vishing), Chiếm đoạt tên miền (Cybersquatting), Mạng máy tính ma (Botnet) và Tấn công từ chối dịch vụ (DoS/DDoS), Phần mềm độc hại (Malware/Ransomware), Giả mạo tin nhắn SMS (SMS Spoofing), Giả mạo địa chỉ IP (TCP/IP Spoofing), Mối đe dọa nội bộ (Insider threats) và Các dạng tấn công vào mã OTP (MITM, MITB, MITPC).
• Hệ thống phòng thủ an ninh ngân hàng: Tổng hợp các cơ chế phòng vệ gồm Mã hóa cơ sở dữ liệu, Kiểm thử xâm nhập (Pentest), Danh sách kiểm soát truy cập (ACL), Nguyên tắc kiểm soát kép (Dual Control), Đào tạo nhận thức an ninh, Giao thức mã hóa kênh truyền SSL (128-bit/256-bit), Tường lửa (Packet Filtering, Stateful Inspection, Proxy, Mức ứng dụng), Hệ thống IDS/IPS theo chuẩn NIST, NIPS, Cấu hình phân tách DNS (Split DNS), Cơ chế bảo vệ mật khẩu sử dụng chuỗi SALT kết hợp số vòng băm Iteration Count, và cơ chế cảnh báo tin nhắn SMS Alerts (Push/Pull).
• Tiêu chuẩn mã hóa tiên tiến AES (Advanced Encryption Standard): Thuật toán mã hóa khối đối xứng được chuẩn hóa bởi NIST, xử lý khối dữ liệu cố định 128 bit với các kích thước khóa 128, 192 hoặc 256 bit tương ứng với 10, 12 và 14 vòng lặp. Cấu trúc mã hóa dựa trên mạng hoán vị - thay thế SPN (Substitution-Permutation Network) với 4 phép biến đổi thành phần:
  1. SubBytes: Ánh xạ phi tuyến từng byte qua bảng thay thế S-box ($16 \times 16$) được xây dựng trên trường hữu hạn Galois $GF(2^8)$ với đa thức bất khả quy $f(x) = x^8 + x^4 + x^3 + x + 1$.
  2. ShiftRows: Phép dịch chuyển vòng các byte trên từng hàng của ma trận trạng thái (hàng 0 giữ nguyên, hàng 1 dịch 1 byte, hàng 2 dịch 2 byte, hàng 3 dịch 3 byte sang trái).
  3. MixColumns: Nhân ma trận trạng thái với ma trận đa thức cố định trên trường $GF(2^8)$ kết hợp phép toán XOR để tạo tính phân tán dữ liệu.
  4. AddRoundKey: Phép toán XOR ma trận trạng thái với khóa vòng tương ứng.
  5. ExpandKey: Quy trình sinh 44 từ khóa con (độ dài 4 byte mỗi từ) từ khóa gốc 128 bit để phục vụ 10 vòng mã hóa của AES-128.

Phương pháp nghiên cứu thực hiện bao gồm: phương pháp phân tích – tổng hợp tài liệu thứ cấp; phương pháp điều tra xã hội học định lượng qua bảng hỏi khảo sát người dùng ($n = 200$); phương pháp phân tích so sánh các mô hình bảo mật quốc tế và trong nước; phương pháp mô hình hóa quy trình nghiệp vụ và phương pháp thực nghiệm phát triển phần mềm.

---

Nội dung chính theo từng chương

Chương I: Tổng quan và cơ sở lý thuyết

Chương này giới thiệu về đơn vị thực tập (Công ty CP Mattech) và hệ thống hóa toàn diện lý thuyết về dịch vụ Internet Banking. Tác giả trình bày lịch sử hình thành IB từ những năm 1980 (với Nottingham Building Society, The Bank of Scotland), giai đoạn mở rộng thập niên 1990 và bước phát triển mạnh mẽ từ năm 2000 đến nay. Chương luận phân tích chi tiết lợi ích hai chiều đối với khách hàng và tổ chức ngân hàng, đồng thời chỉ ra các rủi ro kỹ thuật và vận hành.

Tác giả phân tích cụ thể 10 hình thức tấn công mạng kèm các dẫn chứng thực tế:

• Chiến dịch mã độc XSS mang tên "Water Pamola" tấn công sàn thương mại điện tử năm 2019.
• Thống kê gian lận Vishing tại Anh trong 6 tháng đầu năm 2020 gây thiệt hại hơn 58 triệu bảng Anh với hơn 15.000 vụ.
• Đạo luật ACPA năm 1999 tại Mỹ và các trường hợp chiếm đoạt tên miền giả mạo (Walmart44.com, Bestbuy-survey.org).
• Tỷ lệ tấn công DDoS nhắm vào ngành tài chính – ngân hàng tăng từ 10% (các năm trước) lên khoảng 20% (năm 2021–2022) và đạt đỉnh 35% trong năm 2023; vụ tấn công DDoS đạt đỉnh 55,1 triệu gói tin/giây (633,7 Gbps) vào một ngân hàng lớn tại Mỹ do Akamai ngăn chặn vào tháng 9/2023.
• Vụ tấn công mã độc tống tiền LockBit vào Ngân hàng Syariah Indonesia (tháng 5/2023) làm tê liệt hệ thống và lộ 1,5 TB dữ liệu của hơn 15 triệu khách hàng và nhân viên.
• Sự cố lừa đảo SMS Spoofing mạo danh Bank of America, Ngân hàng ACB (tháng 2/2021) và vụ lừa đảo chiếm đoạt gần 400 triệu đồng tại Thanh Hóa (tháng 7/2023).
• Các vụ tấn công IP Spoofing làm tê liệt 17 ngân hàng Mỹ (2007), Sony PlayStation Network (2013) và FDA (2017).

Chương luận khép lại bằng việc phân tích cấu trúc toán học, nguyên lý 4 bước chuyển đổi và quy trình mở rộng khóa ExpandKey của thuật toán mã hóa đối xứng AES, cùng khả năng tăng tốc phần cứng thông qua tập lệnh Intel AES-NI.

Chương II: Thực trạng rủi ro trong Internet Banking

Chương II tập trung phân tích thực trạng rủi ro an ninh mạng đối với dịch vụ Internet Banking tại một số quốc gia (Trung Quốc, Mỹ, Anh, Úc) và tại Việt Nam. Văn bản ghi nhận Việt Nam thuộc nhóm 25 quốc gia dẫn đầu về Chỉ số an toàn, an ninh mạng toàn cầu (GCI 2020), tăng 25 bậc so với kỳ đánh giá năm 2018.

Tác giả công bố kết quả điều tra xã hội học từ 200 khách hàng hợp lệ về độ tin cậy và thói quen sử dụng Internet Banking:

• Phân tích tần suất giao dịch và mức độ hài lòng về tính bảo mật.
• Đánh giá mức độ tin tưởng vào khả năng bảo vệ dữ liệu cá nhân cũng như các lo ngại liên quan đến gian lận trực tuyến.
• Thống kê các tính năng dịch vụ và phương thức bảo mật mà người dùng thực tế đã sử dụng.

Chương này cũng tiến hành khảo sát, so sánh mô hình bảo mật của hai ngân hàng lớn tại Mỹ (JPMorgan Chase và Wells Fargo) với các mô hình bảo mật Internet Banking đang được triển khai tại hệ thống ngân hàng thương mại Việt Nam.

Chương III: Mô hình đề xuất và xây dựng thử nghiệm

Chương III giới thiệu tổng quan về Ngân hàng TMCP Đầu tư và Phát triển Việt Nam (BIDV), lịch sử đổi tên và thực trạng giao diện đăng nhập SmartBanking trên nền tảng website. Trên cơ sở đó, tác giả đề xuất mô hình bảo mật mới gồm 4 quy trình lõi:

• Quy trình đăng nhập hệ thống: Kết hợp xác thực tài khoản và kiểm tra OTP gửi qua email.
• Quy trình mã hóa và giải mã dữ liệu giao dịch: Sử dụng bộ mã riêng Unicode để chuyển đổi dữ liệu sang dạng bit, sau đó thực hiện mã hóa và giải mã bằng thuật toán AES.
• Quy trình thực hiện giao dịch chuyển tiền: Thiết lập luồng xử lý phân biệt giữa giao dịch bình thường và giao dịch bất thường (yêu cầu bổ sung mã PIN và OTP email).
• Quy trình thực hiện thanh toán mua sắm trực tuyến: Phân loại hạn mức thanh toán để áp dụng xác thực mã PIN đơn thuần hoặc kết hợp mã PIN và OTP email.

Tác giả tiến hành lập trình xây dựng chương trình thử nghiệm để chứng minh tính khả thi của các quy trình trên và đánh giá kết quả đạt được về mặt bảo mật thông tin.

---

Thiết kế và triển khai

Hệ thống thử nghiệm mô hình bảo mật Internet Banking cho ngân hàng BIDV được thiết kế và hiện thực hóa dựa trên các thông số kỹ thuật sau:

Thành phần hệ thống	Công nghệ / Kỹ thuật triển khai	Chức năng chi tiết trong mô hình
Giao diện người dùng (Frontend)	React	Xây dựng màn hình đăng nhập, trang chủ, giao diện tạo giao dịch chuyển tiền và thanh toán hóa đơn mua sắm trực tuyến.
Xử lý phía máy chủ (Backend)	Laravel	Xử lý logic nghiệp vụ, quản lý phiên làm việc, điều phối các hàm xác thực và thực thi thuật toán mật mã.
Cơ sở dữ liệu (Database)	PostgreSQL	Lưu trữ thông tin tài khoản người dùng, trạng thái giao dịch, lịch sử mã hóa và quản lý mã OTP tạm thời.
Mật mã hóa dữ liệu	AES (kết hợp bộ mã Unicode riêng)	Chuyển đổi dữ liệu sang chuỗi bit qua bảng mã riêng, thực hiện mã hóa khối AES trước khi lưu trữ và giải mã khi truy xuất.
Cơ chế xác thực giao dịch	OTP qua Email & Mã PIN	Thay thế SMS OTP bằng mã xác nhận gửi trực tiếp tới email đã đăng ký nhằm triệt tiêu nguy cơ giả mạo tin nhắn viễn thông.

Quy trình vận hành chi tiết trong hệ thống thử nghiệm được hiện thực hóa qua các mô-đun:

1. Mô-đun Đăng nhập: Khi người dùng nhập tên đăng nhập và mật khẩu, hệ thống gọi hàm sendOtp để tự động sinh mã OTP ngẫu nhiên, lưu vào cơ sở dữ liệu và gửi tới email của người dùng. Màn hình yêu cầu nhập mã OTP; hàm login sẽ kiểm tra tính hợp lệ của email, mật khẩu và mã OTP để cho phép truy cập vào trang chủ.
2. Mô-đun Mã hóa và Giải mã: Khi phát sinh giao dịch, dữ liệu được chuyển từ dạng ký tự sang dạng bit bằng bộ mã riêng Unicode, sau đó được mã hóa bằng thuật toán AES tạo ra chuỗi mã hóa an toàn. Khi hệ thống cần xử lý thông tin, chu trình giải mã AES được kích hoạt để đưa dữ liệu từ dạng mã về dạng bit và tái tạo lại dữ liệu gốc.
3. Mô-đun Chuyển tiền: Người dùng nhập thông tin người nhận và số tiền. Nếu là giao dịch trong hạn mức bình thường, hệ thống hiển thị thông tin xác nhận và yêu cầu nhập mã PIN. Nếu phát hiện giao dịch bất thường, hệ thống yêu cầu xác thực hai lớp gồm mã PIN và mã OTP gửi qua email. Hàm acceptOtpTransaction đảm nhiệm việc đối soát mã xác nhận; chỉ khi nhập chính xác thì giao dịch mới được ghi nhận thành công.
4. Mô-đun Thanh toán Mua sắm: Tương tự quy trình chuyển tiền, các khoản thanh toán trong định mức chỉ yêu cầu mã PIN giao dịch. Khi số tiền thanh toán vượt định mức cho phép, hệ thống kích hoạt yêu cầu xác thực mã OTP gửi qua email. Giao dịch sẽ bị từ chối nếu người dùng nhập sai OTP.

---

Kết quả và đóng góp

Khóa luận đạt được các kết quả nghiên cứu cụ thể gắn liền với số liệu trích xuất từ văn bản:

• Hệ thống hóa dữ liệu an ninh mạng: Tổng hợp bức tranh toàn cảnh về rủi ro ngân hàng số với các số liệu thực tế (chi phí trung bình một vụ vi phạm dữ liệu tài chính năm 2021 là 5,72 triệu USD theo IBM/Ponemon; tấn công DDoS vào ngành tài chính chiếm 35% tổng số vụ năm 2023; chỉ số an toàn an ninh mạng GCI 2020 của Việt Nam tăng 25 bậc).
• Dữ liệu khảo sát thực chứng: Phân tích dữ liệu từ 200 khách hàng hợp lệ (trong tổng số 262 phiếu thu thập, đạt tỷ lệ 76,3%), phản ánh chính xác thực trạng nhận thức, tần suất sử dụng và mối lo ngại gian lận trong giao dịch Internet Banking tại khu vực khảo sát.
• Đề xuất mô hình bảo mật tích hợp: Thiết kế hoàn chỉnh mô hình bảo mật 4 quy trình cho dịch vụ Internet Banking của BIDV, giải quyết triệt để điểm yếu của phương thức xác thực SMS OTP truyền thống thông qua cơ chế phân luồng giao dịch (bình thường/bất thường, trong/vượt định mức) và xác thực kép qua email.
• Hiện thực hóa mô hình: Xây dựng thành công ứng dụng web thử nghiệm hoàn chỉnh sử dụng Laravel, React, PostgreSQL và giải thuật mã hóa AES, chứng minh tính khả thi của việc mã hóa dữ liệu giao dịch kết hợp bộ mã Unicode riêng biệt.

---

Hạn chế và hướng nghiên cứu tiếp

Khóa luận ghi nhận các hạn chế dựa trên phạm vi nghiên cứu thực tế:

• Phạm vi khảo sát người dùng chỉ thực hiện trên cỡ mẫu 200 khách hàng hợp lệ tại khu vực thành phố Hà Nội và một số địa phương lân cận, chưa bao quát được toàn bộ các nhóm khách hàng trên toàn quốc.
• Chương trình thử nghiệm được xây dựng như một hệ thống mô phỏng độc lập (prototype) nhằm kiểm chứng giải thuật mã hóa AES và luồng xác thực email OTP, chưa tích hợp trực tiếp vào hạ tầng Core Banking phức tạp của BIDV do yêu cầu nghiêm ngặt về chính sách an toàn thông tin của ngân hàng thương mại.

Hướng nghiên cứu mở rộng được xác định:

• Mở rộng quy mô điều tra xã hội học với cỡ mẫu lớn hơn trên phạm vi toàn quốc để có dữ liệu phân tích đa chiều hơn.
• Nghiên cứu tối ưu hóa hiệu năng thuật toán AES khi xử lý khối lượng giao dịch lớn trong thời gian thực, đồng thời tìm hiểu khả năng tích hợp các phương thức xác thực sinh trắc học hoặc chuẩn FIDO2 vào hệ thống ngân hàng số.

---

Giá trị tham khảo

Tài liệu khóa luận mang lại giá trị tham khảo chuyên môn cho các đối tượng:

• Sinh viên và học viên: Thuộc các ngành Hệ thống thông tin, Công nghệ thông tin, Công nghệ tài chính (Fintech), An toàn thông tin và Kinh tế số có thể sử dụng khóa luận làm tài liệu tham khảo về phương pháp phân tích rủi ro an ninh mạng ngân hàng và kỹ thuật áp dụng chuẩn mã hóa AES trong ứng dụng web.
• Kỹ sư phát triển phần mềm và chuyên viên an toàn thông tin: Tham khảo quy trình phân luồng giao dịch kiểm soát rủi ro và giải pháp thiết kế kiến trúc phần mềm tích hợp xác thực đa yếu tố bằng Laravel, React và PostgreSQL.
• Phần nội dung đáng tham khảo nhất: Chương I (phần phân tích toán học và các bước biến đổi của thuật toán mã hóa AES) và Chương III (thiết kế chi tiết 4 quy trình bảo mật và mã nguồn các hàm xử lý xác thực sendOtp, login, acceptOtpTransaction).

---

Câu hỏi thường gặp

1. Khóa luận sử dụng thuật toán nào để bảo vệ dữ liệu giao dịch và nguyên lý cốt lõi của nó là gì?
Khóa luận sử dụng Tiêu chuẩn mã hóa tiên tiến AES (Advanced Encryption Standard) – thuật toán mã hóa khối đối xứng với kích thước khối 128 bit. Nguyên lý cốt lõi dựa trên mạng hoán vị – thay thế SPN gồm 4 bước biến đổi lặp: SubBytes (thay thế phi tuyến qua S-box trên trường $GF(2^8)$), ShiftRows (dịch chuyển vòng các hàng), MixColumns (trộn các cột trên trường Galois) và AddRoundKey (cộng khóa vòng bằng phép XOR).

2. Quy mô và phạm vi của cuộc khảo sát thực chứng trong khóa luận được thực hiện như thế nào?
Tác giả đã phát ra bảng hỏi và thu thập ý kiến của 262 khách hàng đang sinh sống và làm việc tại Hà Nội cùng một số tỉnh lân cận. Sau quá trình sàng lọc loại bỏ các phiếu không hợp lệ hoặc thiếu thông tin, tác giả thu được 200 phản hồi hợp lệ (đạt tỷ lệ 76,3% tổng số phiếu) để đưa vào phân tích thống kê.

3. Tại sao khóa luận đề xuất thay thế việc xác thực SMS OTP bằng OTP gửi qua email trong dịch vụ của BIDV?
Phương thức SMS OTP tiềm ẩn nhiều nguy cơ an ninh nghiêm trọng như tấn công giả mạo tin nhắn thương hiệu (SMS Spoofing), phần mềm độc hại can thiệp tin nhắn, và các chiêu trò lừa đảo qua mạng xã hội nhằm chiếm đoạt OTP. Việc chuyển sang xác thực qua email đã đăng ký kết hợp phân loại giao dịch bất thường/vượt định mức giúp gia tăng mức độ an toàn và giảm thiểu rủi ro bị tấn công từ mạng viễn thông.

4. Ba loại hình dịch vụ Internet Banking được phân loại trong cơ sở lý thuyết gồm những loại nào?
Theo tài liệu, Internet Banking được chia thành 3 loại hình:

• Transactional Internet Banking: Xử lý các giao dịch tài chính trực tiếp (chuyển khoản, thanh toán hóa đơn, gửi tiền, đầu tư).
• Informational Internet Banking: Cung cấp thông tin cơ bản về sản phẩm, dịch vụ, lãi suất, địa điểm chi nhánh/ATM.
• Communicative Internet Banking: Cho phép khách hàng tương tác đơn giản với ngân hàng qua chatbot hoặc gửi yêu cầu tư vấn trực tuyến.

5. Ngăn xếp công nghệ (Tech Stack) được sử dụng để xây dựng chương trình thử nghiệm gồm những công cụ nào?
Chương trình thử nghiệm được xây dựng hoàn chỉnh với: giao diện người dùng bằng thư viện React, xử lý logic máy chủ bằng framework Laravel, cơ sở dữ liệu quan hệ PostgreSQL, kết hợp giải thuật mã hóa đối xứng AES và bộ mã riêng Unicode để mã hóa thông tin giao dịch.

---

Kết luận

Khóa luận tốt nghiệp của sinh viên Vũ Thị Hồng Ngọc đã hoàn thành việc phân tích, đánh giá toàn diện bức tranh rủi ro an ninh mạng trong dịch vụ Internet Banking trên thế giới và tại Việt Nam. Trên cơ sở lý thuyết vững chắc về chuẩn mã hóa khối AES và kết quả khảo sát thực tế từ 200 khách hàng, tác giả đã đề xuất thành công mô hình bảo mật tối ưu hóa cho dịch vụ SmartBanking của BIDV. Việc xây dựng chương trình thử nghiệm bằng React, Laravel và PostgreSQL đã chứng minh tính khả thi và hiệu quả của các quy trình mã hóa dữ liệu giao dịch cũng như cơ chế xác thực phân tầng rủi ro.

Trích đoạn nội dung tài liệu

chương I của khóa luận, em sẽ giới thiệu tổng quan về đơn vị thực tập, dịch vụ Internet Banking và các hình thức tấn công mạng, các biện pháp bảo mật và tiêu chuẩn mã hóa tiên tiến AES. Kết quả của chương này sẽ tạo nền tảng cho việc trình bày cơ sở lý thuyết về giải pháp nghiên cứu được đề cập trong chương tiếp theo. Tổng quan về đơn vị thực tập Công ty Cổ phần (CP) Mattech là một công ty trẻ, được thành lập năm 2020, chuyên về tư vấn các giải pháp công nghệ thông tin (CNTT) và phát triển phần mềm. Với các tổ chức CNTT và cả các tổ chức ngoài CNTT, Mattech luôn lắng nghe yêu cầu của khách hàng và sẵn sàng giúp họ đạt được đạt được các mục tiêu đa dạng thông qua các giải pháp kỹ thuật số và công nghệ tiên tiến.

Website: https://mattech.vn/about-us/ Địa chỉ: Tầng 5, Tòa nhà NewSkyLine, Khu đô thị mới Văn Quán - Yên Phúc, Phường Văn Quán, Quận Hà Đông, Thành phố Hà Nội, Việt Nam. Năm 2024 được coi là may mắn khi Mattech có cơ hội được trở thành nhà cung cấp dịch vụ cho ngân hàng số của Ngân hàng TMCP Đầu tư và Phát triển BIDV. Đây cũng là cơ hội để em tiếp cận thông tin, kiến thức thực hiện đề tài khóa luận này. Tổng quan về dịch vụ Internet Banking 1.

Khái niệm Internet Banking 1. Định nghĩa Theo (Tan & Teo, 2000), Internet Banking (hay còn gọi là Ngân hàng điện tử) là dịch vụ của ngân hàng cho phép khách hàng thực hiện các giao dịch và quản lý tài khoản của mình thông qua trang web của ngân hàng. Dịch vụ Internet Banking Nguồn: https://tanbinhthanhpho.vn/ Vũ Thị Hồng Ngọc – K23HTTTB 4 Khóa luận tốt nghiệp Phân tích, đánh giá thực trạng bảo mật trong dịch vụ Internet Banking của một số nước trên thế giới và Việt Nam. Đề xuất mô hình bảo mật cho dịch vụ Internet Banking của ngân hàng BIDV Khi mới ra mắt, khách hàng sử dụng dịch vụ IB để truy vấn thông tin tài khoản và các dịch vụ mà ngân hàng cung cấp.

Nhờ sự phát triển của các công nghệ không đồng bộ và công nghệ giao dịch điện tử an toàn, ngày càng nhiều ngân hàng sử dụng IB như một kênh giao dịch và truy xuất thông tin. Do đó, khách hàng có thể thực hiện các giao dịch ngân hàng thông thường (thanh toán hóa đơn, chuyển tiền, in sao kê,…). Khách hàng có thể thực hiện các giao dịch này ở bất kỳ đâu, miễn là có kết nối internet. Lịch sử hình thành và phát triển Internet Banking Dựa theo nghiên cứu trong bài báo “Customers' Expectations for Next GenerationIB” (Seetharaman, Singhal, Galdhar, Raj, & Saravanan, 2016), dịch vụ IB bắt đầu hình thành vào đầu những năm 1980.

Nottingham Building Society và The Bank of Scotland là một trong những ngân hàng đầu tiên cung cấp dịch vụ ngân hàng trực tuyến. Ban đầu, các dịch vụ ngân hàng trực tuyến cho phép khách hàng xem sao kê và thanh toán hóa đơn. Đối với các dịch vụ khác, chẳng hạn như gửi hoặc rút tiền, khách hàng vẫn phải đến các chi nhánh ngân hàng truyền thống. Những năm 1980 được coi là thời điểm ra đời của IB.

Vào những năm 1990, với sự phát triển nhanh chóng của CNTT, nhiều ngân hàng triển khai dịch vụ IB tới khách hàng. Một số ngân hàng bắt đầu cung cấp các dịch vụ như xem các giao dịch ngân hàng, thanh toán hóa đơn, v. Nhìn chung, cách tiếp cận ngân hàng trực tuyến lúc bấy giờ còn thụ động, hầu hết các trang web của ngân hàng chỉ được sử dụng cho các tài liệu giới thiệu thông tin. Lịch sử phát triển của Internet Banking Nguồn: https://thefinancialbrand.