Mục tiêu tấn công không chỉ là hệ thống
Từ góc nhìn của một CISO, theo ông, đâu là thách thức lớn nhất đối với an ninh ngân hàng số hiện nay?
Tôi cho rằng những thách thức lớn và không thể xem nhẹ yếu tố nào là: tin tặc (hacker) tấn công hệ thống, khách hàng bị thao túng để tự thực hiện giao dịch và rủi ro từ bên trong. Nhưng nhìn rộng hơn một chút thì sẽ thấy bản chất của các cuộc tấn công đang thay đổi rất rõ. Nếu trước đây, hacker chủ yếu tìm cách tấn công trực tiếp vào hệ thống thì bây giờ họ dành nhiều công sức hơn để khai thác yếu tố con người, bởi đó luôn là mắt xích khó bảo vệ nhất.
Ở góc độ nội bộ cũng vậy. Nếu công tác quản trị không đủ chặt chẽ thì rủi ro hoàn toàn có thể xuất phát từ những việc tưởng như rất bình thường: một thay đổi trái phép về cấu hình, một chính sách (rule, policies) bị chỉnh sửa không đúng quy trình hay việc tạo thêm tài khoản khi có người được tiếp cận tài khoản đặc quyền.
Chỉ cần một mắt xích như vậy bị bỏ lọt thì nó có thể trở thành cánh cửa để hacker đi sâu hơn vào hệ thống. Trong trường hợp xấu hơn, nó có thể bị chính người bên trong lợi dụng để đánh cắp dữ liệu, phá hoại, tống tiền hoặc thực hiện các giao dịch gian lận.
Bên cạnh đó còn có những vấn đề mang tính nền tảng như vá lỗi không kịp thời, nợ kỹ thuật tích tụ quá lâu, thiếu đội ngũ giám sát và ứng phó hoạt động liên tục hoặc chưa có hệ thống quản lý định danh và phân quyền tự động. Đây đều là những việc không mới, nhưng nếu làm không tốt thì sớm muộn cũng sẽ trở thành điểm yếu.
Vì thế, những nguyên tắc như phân tách nhiệm vụ, kiểm soát kép (maker-checker), cấp quyền tối thiểu hay giám sát hành vi người dùng luôn phải được duy trì một cách rất kỷ luật. Còn với hacker thì áp lực gần như không bao giờ dừng lại. Mỗi ngày, họ vẫn liên tục dò quét các hệ thống và dịch vụ công khai của ngân hàng để tìm kiếm một sơ hở có thể khai thác. Đó là cuộc đối đầu diễn ra 24 giờ mỗi ngày và 7 ngày mỗi tuần.
Tuy nhiên, nếu phải chọn đâu là thách thức lớn nhất ở thời điểm hiện nay, tôi vẫn nghiêng về phía khách hàng. Không phải vì khách hàng thiếu hiểu biết hay bất cẩn, mà bởi con người luôn là đối tượng dễ bị tác động nhất. Điều khiến những vụ việc này trở nên phức tạp là khi khách hàng đã bị dẫn dắt để tự mình thực hiện giao dịch thì gần như mọi tiêu chí kỹ thuật đều hoàn toàn hợp lệ: đúng tài khoản, đúng mật khẩu, đúng mã xác thực dùng một lần (OTP), thậm chí xác thực sinh trắc học cũng chính chủ. Khi đó, các lớp bảo vệ truyền thống của ngân hàng rất khó phân biệt đâu là giao dịch bình thường và đâu là giao dịch phát sinh do khách hàng đang bị lừa.
Các kịch bản lừa đảo thì thay đổi liên tục, từ giả danh công an, cơ quan thuế, nhân viên ngân hàng, thông báo trúng thưởng, mời gọi “việc nhẹ, lương cao”, giả mạo người thân cho đến gửi đường link giả website ngân hàng hoặc hướng dẫn cài ứng dụng dịch vụ công giả mạo. Dù cách tiếp cận khác nhau thì mục tiêu cuối cùng của kẻ gian vẫn là khiến khách hàng tự cung cấp thông tin thẻ, hoặc cài phần mềm độc hại để chiếm quyền điều khiển điện thoại, từ đó lấy tài khoản và chuyển tiền.
Điều khó là đây không phải cuộc chơi có điểm kết thúc. Mỗi khi thị trường nhận diện được một thủ đoạn thì ngay sau đó lại xuất hiện một kịch bản mới. Với sự hỗ trợ của AI, các đối tượng có thể tạo ra rất nhiều tình huống lừa đảo trong thời gian rất ngắn, thậm chí điều chỉnh nội dung cho phù hợp với từng nhóm khách hàng, nên khả năng đánh trúng tâm lý cũng cao hơn rất nhiều.
Vì vậy, theo tôi, công nghệ vẫn là nền tảng quan trọng, nhưng cuối cùng con người mới là yếu tố quyết định. Hệ thống có thể cập nhật, thiết bị có thể nâng cấp, còn nhận thức thì không có bản vá nào thay thế được. Đó cũng chính là mặt trận khó nhất trong việc bảo vệ an toàn cho các giao dịch số hiện nay.
Khi hệ thống đánh giá một giao dịch có dấu hiệu bất thường, ngân hàng xử lý thế nào để cân bằng giữa an toàn và trải nghiệm khách hàng?
Mỗi giao dịch được chấm điểm dựa trên hàng trăm tín hiệu khác nhau: thiết bị sử dụng, vị trí địa lý, hành vi giao dịch, lịch sử khách hàng, tài khoản nhận tiền, dấu hiệu điều khiển từ xa trên thiết bị và nhiều yếu tố khác. Phản ứng được phân tầng theo mức điểm đó: rủi ro thấp thì đi qua; rủi ro trung bình kích hoạt xác thực nâng cấp (step-up); rủi ro cao thì tạm giữ để xác minh, chuyển đánh giá thủ công hoặc chủ động liên hệ khách hàng; một số kịch bản có đặc trưng gian lận rõ ràng thì chặn thẳng.
Ở khâu vận hành, mỗi ngân hàng đều có bộ phận chuyên trách về giao dịch bất thường, bao gồm cả lừa đảo. Thậm chí nhiều nơi lập hẳn nhóm đặc nhiệm, quy tụ đủ các bộ phận từ nghiệp vụ đến IT để phản ứng nhanh, với quy trình riêng nhằm ứng phó ngay từ thời điểm phát hiện, dù là qua chủ động theo dõi hay qua phản ánh của khách hàng.
Và bài toán cân bằng luôn được đặt lên hàng đầu. Lấy một tình huống rất thực: khi phát hiện dấu hiệu phần mềm lừa đảo trên điện thoại khách hàng, có nên chặn tài khoản không, có nên không cho chạy ứng dụng mobile banking, có yêu cầu khách hàng gỡ phần mềm không? Có những lúc dấu hiệu rất rõ ràng, nhưng cũng có lúc một phần mềm hợp lệ lại dễ bị nhầm là mã độc, đặc biệt trên nền tảng Android.
Với giao dịch chuyển tiền lần đầu ở một ngưỡng lớn nhất định, hệ thống có thể giữ lại trong khoảng 24 giờ để làm rõ, đồng thời cho khách hàng thêm thời gian nhận ra mình có đang bị lừa hay không trước khi tiền thực sự được chuyển đi. Đây chính là ví dụ điển hình cho tinh thần chấp nhận đánh đổi một chút thuận tiện để bảo vệ khách hàng.
Việc nhận diện còn khó hơn nữa bởi thủ đoạn ngày càng tinh vi. Kẻ gian không phát tán công khai mà gửi riêng đường link và phần mềm độc hại “may đo” cho từng đối tượng đã nhận được tin nhắn dẫn dụ. Vì mã độc không được phát tán rộng và không xuất hiện công khai, ngân hàng rất khó thu thập mẫu, phân tích và cập nhật biện pháp ứng phó kịp thời. Mỗi nạn nhân gần như đối mặt với một biến thể riêng.
Khi đó, thách thức lớn nhất là làm sao phân tích thật nhanh và ra quyết định sớm, dứt khoát, chấp nhận rằng đôi lúc vẫn có thể gây bất tiện cho khách hàng nhưng mục tiêu là bảo vệ tiền và thông tin khách hàng. Quan trọng nữa là truyền thông để khách hàng hiểu rõ ý nghĩa của việc đó. Khi hiểu, họ sẽ chấp nhận sự bất tiện đôi chút.
AI và Machine Learning đã thay đổi cách phát hiện gian lận như thế nào?
Hệ thống dựa trên quy tắc cố định có ba điểm yếu: ngưỡng tĩnh, mang tính phản ứng và dễ bị kẻ gian “học” rồi lách qua; đồng thời tạo nhiều cảnh báo giả. AI và Machine Learning thay đổi cuộc chơi vì học được mẫu hình trên nhiều chiều dữ liệu cùng lúc, thích ứng liên tục và học được “đường nền hành vi” của riêng từng khách hàng.
Ở tuyến chủ động, chúng tôi phát triển các tính năng nhận biết phần mềm lừa đảo và dấu hiệu lừa đảo ngay trên ứng dụng mobile banking để ứng phó kịp thời - từ chặn tài khoản đến chặn ứng dụng cho đến khi thiết bị được làm sạch. Điểm mấu chốt là AI/ML cho phép xâu chuỗi các sự kiện để phát hiện các loại ứng dụng lừa đảo, thay vì chỉ dựa vào quy tắc tĩnh như tên hay ID phần mềm, IP... - vốn là những thứ kẻ gian dễ dàng thay đổi.
Có một số ví dụ điển hình về những gì mô hình phát hiện được mà mắt người rất khó thấy. Đó là chuỗi và tốc độ hành vi: từng thao tác đơn lẻ đều bình thường, nhưng ghép lại thành một chuỗi đáng ngờ - đổi thiết bị, rồi đổi thông tin liên hệ, thêm người thụ hưởng mới, rồi chuyển một khoản lớn, tất cả trong thời gian rất ngắn.
Đó là sinh trắc học hành vi: nhịp gõ phím, cách cầm và nghiêng điện thoại, quỹ đạo vuốt và thứ tự thao tác. Một kẻ dùng thông tin đăng nhập đánh cắp vẫn “vào” đúng tài khoản, nhưng hành vi thao tác khác hẳn chủ thật. Và một yếu tố ngày càng quan trọng là nhận diện các hành vi sinh trắc học giả mạo bằng deepfake.
Đó là dấu hiệu phiên đăng nhập bị điều khiển từ xa - các tín hiệu cho thấy màn hình đang bị chia sẻ hoặc thiết bị được điều khiển từ xa, vốn là đặc trưng của một vụ lừa đảo đang diễn ra theo thời gian thực. Đó là độ lệch so với chính khách hàng - sai khác về thời điểm, giá trị, nhịp thao tác so với đường nền quen thuộc của riêng người đó.
Cuối cùng là phân tích mạng lưới - nhận diện các cụm tài khoản trung gian liên kết bất thường, điều gần như không thể thấy khi nhìn từng tài khoản riêng lẻ.
 |
An toàn giao dịch số là một bài toán kỹ thuật - xã hội. Công nghệ là điều kiện cần, nhưng chưa bao giờ là điều kiện đủ |
Từ xác thực một lần đến bảo vệ liên tục
Các yêu cầu mới của Ngân hàng Nhà nước đã thay đổi cách ngân hàng xây dựng hệ thống an toàn giao dịch như thế nào?
Đây là giai đoạn có những thay đổi mang tính nền tảng và điểm dễ nhận thấy nhất là các yêu cầu từ Ngân hàng Nhà nước ngày càng chặt chẽ, quyết liệt, thậm chí sẵn sàng đánh đổi một phần sự thuận tiện để lấy an toàn. Hai văn bản định hình rõ nhất là Quyết định 2345/QĐ-NHNN và Thông tư 50/2024/TT-NHNN.
Quyết định 2345 được ký ngày 18/12/2023, hiệu lực từ 1/7/2024, yêu cầu xác thực sinh trắc học bằng khuôn mặt hoặc vân tay với chuyển tiền trực tuyến trên 10 triệu đồng, hoặc khi tổng giá trị giao dịch trong ngày vượt 20 triệu đồng. Đây cũng là văn bản thay thế Quyết định 630/QĐ-NHNN năm 2017.
Còn Thông tư 50/2024, ban hành ngày 31/10/2024, có hiệu lực từ đầu năm 2025, đi sâu vào yêu cầu vận hành hệ thống, với bốn thay đổi nền tảng.
Thứ nhất, trục xác thực dịch chuyển từ “điều bạn biết” (mật khẩu, OTP) sang “bạn là ai” (sinh trắc học), neo vào danh tính đã xác minh với căn cước công dân gắn chip - đánh thẳng vào nền kinh tế tài khoản không chính chủ và mạo danh.
Cuộc đối đầu với hacker diễn ra 24 giờ mỗi ngày và 7 ngày mỗi tuần
Thứ hai, thiết bị trở thành đối tượng an ninh hạng nhất. Thông tư 50 yêu cầu lưu trữ trực tuyến thông tin định danh duy nhất của thiết bị giao dịch (IMEI, serial, MAC, Android ID…) cùng nhật ký giao dịch tối thiểu 3 tháng và sao lưu tối thiểu 1 năm. Việc “khớp thiết bị” khi khách hàng đăng nhập lần đầu hoặc trên thiết bị lạ trở thành một chốt chặn mặc định.
Thứ ba, khả năng truy vết được đưa vào ngay từ khâu thiết kế, buộc kiến trúc hệ thống đặt tính kiểm toán làm yêu cầu bắt buộc, chứ không còn là việc “làm thêm” sau sự cố.
Thứ tư, quy định nâng mặt bằng chung của cả ngành. Chẳng hạn, Thông tư 50 cấm ngân hàng gửi SMS, email chứa đường link cho khách hàng - một biện pháp trực diện chống mạo danh.
Xu hướng này sẽ còn đi xa hơn. Hiện đã có những nghiên cứu theo hướng: với giao dịch chuyển tiền lần đầu ở một ngưỡng lớn nhất định, hệ thống có thể giữ lại trong khoảng 24 giờ để làm rõ, đồng thời cho khách hàng thêm thời gian nhận ra mình có đang bị lừa hay không, trước khi tiền thực sự được chuyển đi. Đây chính là ví dụ điển hình cho tinh thần chấp nhận đánh đổi một chút thuận tiện để bảo vệ khách hàng. Điều đáng nói là nhiều yêu cầu khởi đầu chỉ như một nghĩa vụ tuân thủ, nhưng khi triển khai lại trở thành năng lực giảm thiểu rủi ro thực chất.
Trong 5 năm tới, theo ông, đâu sẽ là thay đổi lớn nhất trong kiến trúc an toàn của ngân hàng số?
Xu hướng đã khá rõ: dịch chuyển từ xác thực tại một thời điểm sang xác thực liên tục, dựa trên rủi ro và tiến tới không mật khẩu.
OTP có những điểm yếu cố hữu - bị tráo SIM, bị chặn bắt và đặc biệt là bị lấy qua thao túng tâm lý khi khách hàng tự đọc mã cho kẻ gian. Vì vậy, OTP sẽ dần lùi từ vai trò xác thực chính xuống vai trò dự phòng, chứ chưa biến mất ngay vì còn ràng buộc về hệ thống cũ và khả năng tiếp cận của người dùng. Thay vào đó sẽ là bộ ba: FIDO2/passkey - chống lừa đảo, khóa mật mã gắn với thiết bị; sinh trắc học hành vi chạy nền liên tục (continuous authentication) và xác thực thích ứng theo rủi ro.
Về bản chất, “danh tính” khách hàng sẽ được nhìn như một điểm tin cậy liên tục, thay vì một cánh cổng đóng/mở nhị phân và toàn bộ kiến trúc sẽ nghiêng dần về mô hình không tin tưởng tuyệt đối (zero-trust). Nhưng cần thẳng thắn rằng, đây là cuộc chiến cam go. GenAI và deepfake đang thách thức chính lớp sinh trắc học, nên phát hiện thực thể sống (liveness detection) và chống tấn công tiêm dữ liệu (injection attack) sẽ trở thành năng lực sống còn.
Ẩn số lớn nhất trong 5 năm tới có thể là máy tính lượng tử - hoàn toàn có khả năng thay đổi cuộc chơi giống như cách AI đã làm cách đây 5 năm - bởi một khi đủ mạnh, máy tính lượng tử có thể phá vỡ hầu hết các giải thuật mã hóa hiện hành trong thời gian ngắn. Đây là lý do ngay từ bây giờ, ngành ngân hàng đã phải bắt đầu tính đến bài toán mã hóa kháng lượng tử (post-quantum), thay vì đợi đến khi mối đe dọa thành hiện thực.
Có ý kiến cho rằng, chỉ cần ngân hàng đầu tư đủ lớn vào công nghệ thì có thể loại bỏ hoàn toàn gian lận. Với kinh nghiệm của mình, ông có đồng tình với quan điểm đó không? Đâu là điều kiện để hình thành một hệ sinh thái giao dịch số thực sự an toàn?
Tôi không đồng tình với quan điểm đó. Công nghệ có thể giảm gian lận một cách ngoạn mục, nhưng không thể triệt tiêu hoàn toàn. Cách hình dung đúng nhất, theo tôi, là một trò mèo vờn chuột - hay chính xác hơn là một cuộc chạy marathon giữa ba bên: kẻ lừa đảo, khách hàng và ngân hàng. Mục tiêu thực tế không phải là “về đích” và xóa sổ gian lận, mà là luôn chạy thật sát nhau, không để khoảng cách bị nới rộng bởi ba lý do. Thứ nhất, bạn không thể “vá” lòng tin, nỗi sợ hay lòng tham của con người bằng một bức tường lửa. Thứ hai, gian lận là đối thủ thích nghi, phòng thủ mạnh lên thì chúng đổi hướng và đây là bài toán không có điểm dừng. Thứ ba, mắt xích yếu nhất thường nằm ngoài vành đai ngân hàng: thiết bị của khách hàng, nhà mạng và cả hệ sinh thái lừa đảo.
Điều kiện để có một hệ sinh thái giao dịch số thực sự an toàn phải là trách nhiệm được chia sẻ giữa nhiều bên: ngân hàng, nhà mạng viễn thông, cơ quan quản lý, cơ quan điều tra, các nền tảng công nghệ và chính khách hàng. Trong đó, giáo dục nhận thức cộng đồng là biện pháp có hiệu quả trên chi phí cao nhất để chống lừa đảo phi kỹ thuật.
Cần thêm cơ chế chia sẻ dữ liệu tình báo gian lận và mạng lưới tài khoản trung gian giữa các tổ chức; khung pháp lý và quy trình phản ứng đủ nhanh để phong tỏa, thu hồi dòng tiền và trao quyền cho khách hàng nhưng không đẩy toàn bộ gánh nặng lên vai họ. Nói ngắn gọn, an toàn giao dịch số là một bài toán kỹ thuật - xã hội. Công nghệ là điều kiện cần, nhưng chưa bao giờ là điều kiện đủ.
