Tổng quan nghiên cứu

Làn sóng chuyển đổi số trong lĩnh vực tài chính - ngân hàng tại Việt Nam đang ghi nhận những bước nhảy vọt chưa từng có. Thống kê cho thấy Việt Nam hiện đứng thứ 13 trên thế giới về số lượng người dùng Internet, trong khi tỷ lệ người tiêu dùng tiếp cận dịch vụ tài chính số tăng vọt từ 16% năm 2017 lên 56% vào năm 2021. Hơn 92% các ngân hàng thương mại trong nước đã và đang đầu tư mạnh mẽ vào hệ thống Internet Banking và Mobile Banking, điển hình với các nền tảng quy mô lớn như Vietcombank Digibank, BIDV SmartBanking, hay Agribank E-Mobile Banking.

Tuy nhiên, sự bùng nổ của giao dịch ngân hàng di động đi liền với thách thức bảo mật nghiêm trọng. Tội phạm mạng sử dụng các phương thức tấn công tinh vi, từ phần mềm độc hại vượt qua xác thực hai yếu tố (2FA), mã độc đánh cắp mã OTP, đến lừa đảo qua tin nhắn giả mạo (Phishing) và tấn công từ chối dịch vụ (DoS/DDoS). Trong khi đó, khung pháp lý điều chỉnh hoạt động ngân hàng điện tử tại Việt Nam, đặc biệt là cơ chế phân định trách nhiệm pháp lý khi xảy ra rủi ro giao dịch, vẫn bộc lộ nhiều khoảng trống cần hoàn thiện.

Luận văn thạc sĩ tập trung nghiên cứu toàn diện cơ sở lý luận, đánh giá thực trạng hệ thống văn bản quy phạm pháp luật chuyên ngành (tiêu biểu như Thông tư số 09/2020/TT-NHNN và Thông tư số 21/VBHN-NHNN), đồng thời đối chiếu với kinh nghiệm lập pháp của các quốc gia tiên tiến như Singapore, Vương quốc Anh và Hoa Kỳ. Mục tiêu nghiên cứu hướng tới việc xác lập hệ thống giải pháp pháp lý đồng bộ, bảo đảm an toàn dữ liệu khách hàng, nâng cao khả năng chống chịu rủi ro công nghệ và tạo dựng nền tảng vững chắc cho kinh tế số Việt Nam giai đoạn 2025-2030.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được thiết lập dựa trên ba nền tảng lý thuyết chủ đạo:

Thứ nhất, Lý thuyết Quản trị rủi ro hệ thống thông tin tài chính (Financial Information System Risk Management Theory), phân tích mối liên kết giữa các lỗ hổng bảo mật công nghệ và mức độ phơi nhiễm rủi ro của định chế tài chính.

Thứ hai, Lý thuyết Trách nhiệm pháp lý đa bên trong giao dịch thương mại điện tử (Multi-party Liability Theory), làm sáng tỏ sự phân chia quyền và nghĩa vụ giữa tổ chức tín dụng, khách hàng và bên thứ ba cung cấp giải pháp trung gian.

Thứ ba, Khung tiêu chuẩn kỹ thuật an toàn hệ thống thông tin cấp độ TCVN 11930:2017 và các chuẩn mực bảo mật thanh toán quốc tế PCI-DSS.

Bên cạnh đó, nghiên cứu làm rõ các khái niệm cốt lõi:

  • Dịch vụ Mobile Banking: Kênh giao dịch ngân hàng trực tuyến 24/7 thông qua ứng dụng chuyên biệt cài đặt trên thiết bị di động.
  • Tính toàn vẹn của dữ liệu (Data Integrity): Nguyên tắc bảo đảm thông tin tài chính không bị can thiệp, chỉnh sửa hay làm sai lệch trong suốt quá trình truyền tải và lưu trữ.
  • Kỹ thuật làm rối mã nguồn (Obfuscation): Biện pháp phòng vệ công nghệ ngăn chặn việc dịch ngược phần mềm trái phép (Reverse Engineering).
  • Gian lận phi kỹ thuật (Social Engineering) và Mã độc ngân hàng (Banking Trojan): Các phương thức xâm nhập tài khoản số qua việc khai thác tâm lý hoặc mã độc tống tiền.

Phương pháp nghiên cứu

Nghiên cứu sử dụng mẫu dữ liệu pháp lý và thực tiễn gồm 25 văn bản quy phạm pháp luật chuyên ngành do Ngân hàng Nhà nước, Chính phủ và Quốc hội ban hành từ năm 2010 đến năm 2023, cùng báo cáo kỹ thuật từ hơn 20 ngân hàng thương mại cổ phần có thị phần thanh toán điện tử chiếm trên 70% toàn hệ thống. Phương pháp chọn mẫu có chủ đích (Purposive Sampling) được lựa chọn nhằm tập trung sâu vào các tổ chức tín dụng có quy mô triển khai ứng dụng ngân hàng số lớn nhất và có tần suất cập nhật hệ thống định kỳ.

Phương pháp nghiên cứu kết hợp giữa phân tích quy phạm pháp luật (Doctrinal Legal Research) và phương pháp luật học so sánh (Comparative Law). Nghiên cứu tiến hành so sánh đối chiếu hệ thống quy định an toàn mạng của Việt Nam với Khung pháp lý thử nghiệm có kiểm soát (Regulatory Sandbox) của Singapore, Chỉ thị Dịch vụ Thanh toán sửa đổi (PSD2) của Liên minh Châu Âu và quy chế chống gian lận thẻ của Vương quốc Anh. Việc kết hợp này giúp đánh giá khách quan các lỗ hổng lập pháp trong nước và xây dựng các luận cứ khoa học có tính khả thi cao.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình khảo sát và phân tích dữ liệu thực tế đã chỉ ra ba phát hiện quan trọng:

Thứ nhất, mức độ phơi nhiễm trước các cuộc tấn công mã độc di động gia tăng đột biến. Báo cáo an ninh mạng ghi nhận hơn 25% các vụ tấn công mã độc trên thế giới nhắm trực diện vào các ngân hàng và tổ chức tài chính. Riêng tại khu vực Đông Nam Á, trong nửa đầu năm 2022 đã có 122.000 cuộc tấn công từ phần mềm độc hại di động. Tại Việt Nam, hệ thống kỹ thuật đã phát hiện và ngăn chặn 208 phần mềm độc hại nhắm vào ứng dụng ngân hàng di động, cho thấy mức độ rủi ro liên tục leo thang.

Thứ hai, các lỗ hổng kỹ thuật và hình thức lừa đảo ngày càng tinh vi vượt qua các biện pháp bảo mật truyền thống. Các biến thể mã độc như Godfather (từng tấn công 215 ngân hàng quốc tế tại Mỹ, Đức, Canada) và Trojan Ghimob có khả năng ghi lại màn hình, vượt qua cơ chế xác thực hai lớp (2FA) và đánh cắp mã OTP. Thêm vào đó, tội phạm mạng chuyển dịch mạnh từ tấn công máy chủ sang khai thác điểm yếu của người dùng thông qua hoán đổi SIM (SIM Swapping) và tạo ứng dụng giả mạo trên các kho ứng dụng mở.

Thứ ba, sự bất cập trong quy định pháp lý về bảo vệ người tiêu dùng và phân bổ gánh nặng chứng minh thiệt hại. Phần lớn các vụ mất tiền trong tài khoản người dùng hiện nay đều xuất phát từ việc khách hàng bị thao túng tâm lý hoặc mã độc can thiệp. Quy định hiện hành chưa quy định chi tiết trách nhiệm bồi thường của ngân hàng trong trường hợp lỗi thuộc về cả hai bên hoặc khi bên thứ ba (nhà mạng viễn thông, đơn vị trung gian) để rò rỉ dữ liệu.

Thảo luận kết quả

Thực trạng trên phản ánh khoảng cách lớn giữa tốc độ phát triển công nghệ tài chính và khả năng thích ứng của các văn bản quy phạm pháp luật. Dữ liệu nghiên cứu có thể được tổng hợp thành bảng đối chiếu đa chiều giữa quy chuẩn kỹ thuật (TCVN 11930:2017, Thông tư 09/2020/TT-NHNN) với thực tiễn triển khai tại các ngân hàng thương mại. Bảng so sánh này minh chứng rằng dù các ngân hàng đã áp dụng mã hóa SSL/TLS và giới hạn số lần nhập sai mật khẩu (tối đa 5 lần), nhưng quy định bắt buộc về kỹ thuật chống dịch ngược (Obfuscation) vẫn chưa được kiểm toán định kỳ một cách đồng bộ.

So sánh với mô hình của Singapore và Vương quốc Anh, các quốc gia này áp dụng nguyên tắc bồi hoàn mặc định cho khách hàng trong các giao dịch gian lận không được ủy quyền (Zero Liability Policy), trừ khi tổ chức tín dụng chứng minh được khách hàng có hành vi gian lận cố ý hoặc bất cẩn nghiêm trọng. Tại Việt Nam, người dùng phải chịu gánh nặng chứng minh bản thân không để lộ mật khẩu, tạo ra rào cản tâm lý e ngại rất lớn khi sử dụng dịch vụ thanh toán số.

MÔ HÌNH SO SÁNH CƠ CHẾ BẢO VỆ GIAO DỊCH MOBILE BANKING

Đề xuất và khuyến nghị

Nhằm hoàn thiện khung pháp lý về bảo đảm an toàn dịch vụ Mobile Banking tại Việt Nam, luận văn đề xuất 4 nhóm giải pháp chiến lược:

  1. Xây dựng và ban hành Quy chế bồi hoàn thiệt hại và phân định trách nhiệm pháp lý tự động: Ngân hàng Nhà nước cần ban hành thông tư quy định rõ ràng nghĩa vụ bồi hoàn tạm thời trong vòng 48 giờ đối với các giao dịch có dấu hiệu gian lận phi kỹ thuật, giảm gánh nặng chứng minh cho khách hàng cá nhân.
  2. Chuẩn hóa quy chuẩn kiểm toán an ninh ứng dụng định kỳ: Bắt buộc 100% các ngân hàng thương mại phải thực hiện kiểm toán độc lập về khả năng chống dịch ngược mã nguồn (Obfuscation), khả năng kháng cự trước các cuộc tấn công từ chối dịch vụ (DoS/DDoS) và quét lỗ hổng mã độc trước khi phát hành mọi bản cập nhật ứng dụng.
  3. Mở rộng khung pháp lý thử nghiệm có kiểm soát (Regulatory Sandbox): Cơ quan quản lý cần cấp phép thí điểm các giải pháp bảo mật thế hệ mới như định danh sinh trắc học hành vi (Behavioral Biometrics), xác thực không mật khẩu (FIDO2) và tích hợp trí tuệ nhân tạo (AI) trong phát hiện giao dịch bất thường theo thời gian thực.
  4. Tăng cường cơ chế phối hợp liên ngành và nâng cao chế tài xử phạt: Thiết lập cổng chia sẻ dữ liệu đe dọa an ninh mạng trực tiếp giữa Ngân hàng Nhà nước, Bộ Công an và Bộ Thông tin và Truyền thông; đồng thời tăng mức phạt vi phạm hành chính đối với các hành vi mua bán tài khoản số hoặc để lộ lọt dữ liệu người dùng cá nhân.

Đối tượng nên tham khảo luận văn

Nội dung nghiên cứu mang tính ứng dụng và giá trị học thuật cao, phục vụ thiết thực cho 4 nhóm đối tượng:

  • Cơ quan quản lý nhà nước và Nhà lập pháp: Cung cấp cơ sở lý luận vững chắc và bằng chứng thực tiễn để phục vụ quá trình sửa đổi, bổ sung các thông tư về an toàn thanh toán trực tuyến và Luật Các tổ chức tín dụng.
  • Khối Quản trị rủi ro, Pháp chế và Công nghệ thông tin tại các Ngân hàng: Tham khảo mô hình đối chiếu chuẩn mực an toàn, giúp rà soát lỗ hổng bảo mật và hoàn thiện quy trình ứng phó sự cố gian lận ứng dụng di động.
  • Chuyên gia nghiên cứu, Giảng viên và Học viên ngành Luật kinh tế - Tài chính số: Tài liệu tham khảo hữu ích cho các chuyên đề nghiên cứu về công nghệ tài chính (Fintech), an ninh mạng và pháp luật thương mại điện tử.
  • Khách hàng doanh nghiệp và Người sử dụng dịch vụ tài chính: Nâng cao nhận thức về quyền lợi pháp lý, nhận diện các phương thức lừa đảo mới và nắm vững quy trình khiếu nại bảo vệ tài sản số.

Câu hỏi thường gặp

1. Dịch vụ Mobile Banking tại Việt Nam hiện chịu sự điều chỉnh của những văn bản pháp luật cốt lõi nào?

Hoạt động Mobile Banking chịu sự điều chỉnh chính của Luật Các tổ chức tín dụng, Luật Giao dịch điện tử, Thông tư số 09/2020/TT-NHNN về an toàn hệ thống thông tin trong hoạt động ngân hàng và Thông tư số 21/VBHN-NHNN quy định về an toàn, bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet.

2. Các hình thức tấn công mạng phổ biến nhất nhắm vào người dùng Mobile Banking hiện nay là gì?

Các mối đe dọa hàng đầu bao gồm phần mềm độc hại giả mạo (như Trojan Godfather, Ghimob), lừa đảo chiếm quyền điều khiển SIM điện thoại (SIM Swapping), mã độc đánh cắp mã OTP qua SMS và các đường dẫn lừa đảo mạo danh thương hiệu ngân hàng trên mạng xã hội.

3. Quy định pháp luật hiện hành yêu cầu gì về việc bảo vệ mã nguồn ứng dụng Mobile Banking?

Theo quy định tại Thông tư 21/VBHN-NHNN, ngân hàng phải áp dụng các kỹ thuật chống dịch ngược mã nguồn (Obfuscation), kiểm tra thử nghiệm tính an toàn trước khi nâng cấp phiên bản và quản lý phân quyền nghiêm ngặt đối với việc chỉnh sửa tập tin mã nguồn.

4. Khi xảy ra sự cố bị đánh cắp tiền qua ứng dụng Mobile Banking, trách nhiệm bồi thường được xác định ra sao?

Hiện nay trách nhiệm được xác định dựa trên lỗi của các bên. Nếu lỗi do lỗ hổng hệ thống ngân hàng, tổ chức tín dụng phải bồi thường toàn bộ. Nếu lỗi do khách hàng để lộ mã OTP hoặc mật khẩu cho bên thứ ba, khách hàng phải tự chịu thiệt hại, trừ khi có thỏa thuận khác.

5. Kinh nghiệm quốc tế nào từ Singapore và Vương quốc Anh có thể áp dụng ngay tại Việt Nam?

Việt Nam có thể học hỏi mô hình thiết lập hạn mức bồi hoàn nhanh cho người dùng khi bị lừa đảo không chủ ý, bắt buộc áp dụng xác thực sinh trắc học đối với giao dịch vượt hạn mức và xây dựng trung tâm chia sẻ dữ liệu gian lận tài chính quốc gia.

Kết luận

  • Đóng góp lý luận: Hệ thống hóa toàn diện các quy chuẩn an toàn thông tin và lý thuyết trách nhiệm pháp lý trong hoạt động cung cấp dịch vụ Mobile Banking.
  • Giá trị thực tiễn: Đánh giá chi tiết các điểm nghẽn pháp lý và thách thức bảo mật từ các loại mã độc mới tại Việt Nam giai đoạn 2020-2023.
  • Kinh nghiệm quốc tế: Tiếp thu hiệu quả các chuẩn mực bảo vệ người dùng và cơ chế thử nghiệm chính sách (Sandbox) từ các trung tâm tài chính lớn.
  • Đề xuất khả thi: Đưa ra lộ trình 4 bước cụ thể giúp cơ quan lập pháp và các ngân hàng thương mại nâng cao năng lực quản trị rủi ro an ninh số.
  • Hành động tiếp theo: Các nhà hoạch định chính sách và tổ chức tài chính cần nhanh chóng phối hợp chuẩn hóa khung pháp lý bảo vệ giao dịch trực tuyến, hướng tới hệ sinh thái ngân hàng số an toàn và bền vững.