Bài cuối: Cuộc đua ngăn chặn tăng tốc khắp thế giới

Ba năm "dựng rào" ở Việt Nam

Hàng rào đầu tiên được dựng lên vào cuối năm 2023, khi Thống đốc Ngân hàng Nhà nước ban hành Quyết định số 2345/QĐ-NHNN về triển khai các giải pháp an toàn, bảo mật trong thanh toán trực tuyến, có hiệu lực từ ngày 1/7/2024. Theo quy định, các giao dịch chuyển tiền điện tử của cá nhân có giá trị trên 10 triệu đồng, hoặc có tổng giá trị giao dịch trong ngày vượt 20 triệu đồng, phải áp dụng một trong các biện pháp xác thực sinh trắc học.

Theo thống kê của Ngân hàng Nhà nước, khoảng 70% giao dịch thanh toán cá nhân có giá trị dưới 1 triệu đồng; các giao dịch trên 10 triệu đồng chỉ chiếm khoảng 11%; còn số khách hàng có tổng giá trị giao dịch trên 20 triệu đồng mỗi ngày chiếm chưa đến 1%.

Lớp phòng vệ này tiếp tục được luật hóa và mở rộng thông qua Thông tư số 50/2024/TT-NHNN ngày 31/10/2024, có hiệu lực từ ngày 1/1/2025. Thông tư bổ sung quy định ứng dụng ngân hàng không được lưu mật khẩu đăng nhập; đồng thời, mọi trường hợp thay đổi thiết bị Mobile Banking đều phải xác thực sinh trắc học. Cũng từ thời điểm này, khách hàng chỉ được thực hiện giao dịch thanh toán điện tử hoặc rút tiền sau khi hoàn tất việc đối chiếu, khớp đúng giấy tờ tùy thân với dữ liệu sinh trắc học của chủ tài khoản.

Tuy nhiên, bước ngoặt quan trọng nhất trong quá trình hoàn thiện hệ thống bảo vệ lại nằm ở văn bản mới nhất. Cuối năm 2025, trước tình trạng tội phạm công nghệ cao lợi dụng lỗ hổng bảo mật trên thiết bị người dùng để vượt qua cơ chế xác thực sinh trắc học của các ngân hàng, Ngân hàng Nhà nước ban hành Thông tư số 77/2025/TT-NHNN. Theo quy định có hiệu lực từ ngày 1/3/2026, các tổ chức tín dụng phải triển khai giải pháp đối chiếu sinh trắc học có khả năng phát hiện tấn công giả mạo người sống (Presentation Attack Detection - PAD), đáp ứng tiêu chuẩn ISO/IEC 30107 cấp độ 2. Đồng thời, ứng dụng Mobile Banking phải tự động dừng hoạt động hoặc từ chối thực hiện giao dịch khi phát hiện thiết bị có dấu hiệu rủi ro về an toàn, bảo mật.

Đây chính là lời đáp trực tiếp cho khoảng trống kỹ thuật đã được đề cập ở phần trước. Nếu yêu cầu đạt PAD cấp độ 2 giúp tăng khả năng chống chịu trước các hình thức giả mạo sinh trắc học tinh vi hơn, thì quy định buộc ứng dụng tự động dừng giao dịch khi phát hiện thiết bị có rủi ro bảo mật lại là bước đi đầu tiên nhằm bảo vệ chính "hành lang" truyền dữ liệu - nơi các cuộc tấn công chèn bằng camera ảo có thể xảy ra - thay vì chỉ tập trung bảo vệ "đôi mắt" là cảm biến camera.

Song song với các giải pháp kỹ thuật, ngày 26/6/2025, Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 1/1/2026. Luật nghiêm cấm hành vi mua bán dữ liệu cá nhân và quy định mức xử phạt tối đa lên tới 10 lần khoản thu bất chính từ hành vi vi phạm. Ngành ngân hàng cũng đang phối hợp với Bộ Công an triển khai Kế hoạch phối hợp số 513/KHPH-BCA-NHNNVN về phòng, chống lừa đảo trực tuyến.

Đến cuối tháng 6/2026, toàn ngành ngân hàng đã hoàn thành đối chiếu sinh trắc học đối với hơn 162,9 triệu hồ sơ khách hàng cá nhân và hơn 2,6 triệu hồ sơ khách hàng tổ chức, đạt 100% số tài khoản phát sinh giao dịch trên kênh số.

Một nghi phạm trong vụ mua bán tài khoản ngân hàng tại cơ quan điều tra Công an Thanh Hóa

Hiệu quả của các biện pháp này cũng bước đầu được phản ánh qua khảo sát độc lập. Theo Khảo sát an ninh mạng năm 2025 của Hiệp hội An ninh mạng Quốc gia, thực hiện với 60.300 người dùng trên toàn quốc, tỷ lệ người trở thành nạn nhân của lừa đảo trực tuyến trong năm 2025 giảm xuống còn 0,18%, so với mức 0,45% của năm 2024. Đây là lần đầu tiên sau nhiều năm, chỉ số này ghi nhận xu hướng giảm.

Tuy nhiên, thiệt hại về kinh tế vẫn chưa giảm tương xứng. Theo thống kê của Bộ Công an công bố đầu tháng 1/2026, tổng thiệt hại do lừa đảo trực tuyến trong 11 tháng của năm 2025 vẫn ước tính trên 6.000 tỷ đồng. Đến tháng 4/2026, số liệu được VOV dẫn lại cho thấy thiệt hại của cả năm 2025 đã lên tới khoảng 8.000 tỷ đồng.

Như nhận định của một chuyên gia an ninh mạng, tội phạm không cần nhiều nạn nhân; chúng chỉ cần công cụ đủ tinh vi để vượt qua hệ thống bảo vệ của một số ít tài khoản có giá trị lớn.

Các nước đang ứng phó ra sao?

Việt Nam không đơn độc trong cuộc dựng "hàng rào" này. Tại Thái Lan - nơi tài khoản ngân hàng của người dân thường xuyên bị lợi dụng làm tài khoản trung gian cho các đường dây lừa đảo đặt tại Myanmar và Campuchia - các quy định mới đã tăng cường giám sát quy trình định danh khách hàng (KYC), giới hạn giá trị giao dịch hằng ngày và mở rộng thẩm quyền đình chỉ tài khoản của cơ quan giám sát. Tại Mỹ, từ cuối năm 2024, Cơ quan Kiểm soát Tội phạm Tài chính (FinCEN) đã phát đi cảnh báo về nguy cơ deepfake trong quy trình KYC và việc sử dụng camera ảo để qua mặt hệ thống xác thực. Trong khi đó, Campuchia - nơi nhiều cuộc điều tra quốc tế xác định là địa bàn đặt các trung tâm vận hành công cụ deepfake - đã thành lập Ủy ban Chống lừa đảo trực tuyến, cơ quan điều phối cấp cao do Thủ tướng làm Chủ tịch với sự tham gia của đại diện 25 bộ, ngành.

Ở cấp độ tiêu chuẩn kỹ thuật toàn cầu, trọng tâm cũng đang dịch chuyển sang các bộ tiêu chuẩn mới như NIST SP 800-63-4, CEN/TS 18099 và chứng nhận FIDO Face Verification. Điểm chung của các tiêu chuẩn này là không chỉ yêu cầu phát hiện giả mạo tại cảm biến mà còn đòi hỏi bảo đảm tính toàn vẹn của luồng dữ liệu từ thiết bị đến hệ thống xác thực. Việt Nam cũng đang bổ sung một mắt xích ở quy mô khu vực. Ngày 10/7/2026, Trụ sở Trung tâm Phòng, chống tội phạm mạng khu vực châu Á - Thái Bình Dương chính thức được khởi công xây dựng.

Song song với những thay đổi về chính sách là sự chuyển dịch ngay trong công nghệ xác thực danh tính: từ liveness chủ động sang liveness thụ động. Nếu trước đây người dùng phải thực hiện các thao tác như nháy mắt, quay đầu hoặc mỉm cười theo yêu cầu của hệ thống, thì các giải pháp mới chuyển sang phân tích vi cấu trúc của da, đặc tính phản xạ ánh sáng, dấu vết quang học của camera và các đặc trưng sinh trắc học hành vi được ghi nhận xuyên suốt phiên giao dịch. Người dùng hầu như không nhận ra quá trình kiểm tra này và cũng không thể chủ động giả lập theo yêu cầu.

Đây đều là những công nghệ vận hành bằng AI, được huấn luyện để nhận diện các dấu hiệu cực kỳ tinh vi mà mắt người không thể quan sát. Điều đáng chú ý là chính những kỹ thuật AI từng được sử dụng để tạo ra deepfake nay được phát triển theo chiều ngược lại nhằm phát hiện deepfake.

Ở lớp "hành lang" truyền dữ liệu - điểm mù của tiêu chuẩn PAD truyền thống như đã phân tích ở phần trước - một lớp công nghệ mới cũng đang được triển khai: phát hiện tấn công chèn (Injection Attack Detection - IAD). Thay vì chỉ phân tích khuôn mặt, IAD kiểm tra tính toàn vẹn của toàn bộ luồng dữ liệu trước khi dữ liệu được đưa vào bộ máy xác thực. Hệ thống sẽ phân tích metadata kỹ thuật của luồng video, phát hiện dấu hiệu của camera hoặc driver ảo, đồng thời đối chiếu thông tin thiết bị khai báo với các đặc điểm thực tế quan sát được. Đây cũng chính là hướng tiếp cận mà yêu cầu "tự động dừng giao dịch khi thiết bị có dấu hiệu rủi ro bảo mật" trong Thông tư số 77/2025/TT-NHNN hướng tới khi buộc các ngân hàng phải triển khai.

Tuy nhiên, cuộc đua giữa tội phạm và các hệ thống phòng thủ vẫn chưa có hồi kết. Gartner dự báo đến năm 2026, khoảng 30% doanh nghiệp sẽ không còn coi các giải pháp xác thực danh tính đơn lẻ là đủ tin cậy, chủ yếu do sự phát triển nhanh của các cuộc tấn công deepfake nhắm vào sinh trắc học khuôn mặt.

Nói cách khác, ngay cả một hệ thống AI phòng thủ tốt nhất cũng không còn đủ sức nếu hoạt động đơn lẻ. Một mô hình phòng thủ hiệu quả hiện nay phải là nhiều lớp AI phối hợp với nhau: một lớp kiểm tra khuôn mặt, một lớp giám sát tính toàn vẹn của đường truyền dữ liệu, một lớp theo dõi hành vi trong suốt phiên giao dịch và một lớp giám sát dòng tiền sau khi giao dịch được thực hiện.

Đó cũng chính là lớp phòng vệ cuối cùng mà hệ thống giám sát tài khoản nghi ngờ gian lận (SIMO) của Việt Nam đang đảm nhiệm. Tính đến cuối tháng 6/2026, hệ thống này đã góp phần ngăn chặn các giao dịch gian lận với tổng giá trị hơn 5.200 tỷ đồng.