Đi tìm niềm tin ngân hàng số (Bài 2): Điều gì khiến ngân hàng “tin” một giao dịch?

Từ xác thực danh tính đến xác thực ý chí

Ông Văn Anh Tuấn, Giám đốc Cao cấp An ninh Thông tin (CISO) Techcombank chia sẻ: “Gần như mọi tiêu chí kỹ thuật đều hoàn toàn hợp lệ: đúng tài khoản, đúng mật khẩu dùng một lần do ngân hàng tạo ra (OTP-One Time Password), thậm chí xác thực sinh trắc học cũng chính chủ. Đó không phải mô tả về một giao dịch an toàn, mà là một trong những thách thức lớn nhất mà các ngân hàng số đang phải đối mặt hiện nay”.

Thoạt nghe, tưởng như đây là một nghịch lý. Nếu một giao dịch đã vượt qua đầy đủ các lớp bảo mật mà ngân hàng thiết lập, vì sao hệ thống vẫn có thể coi đó là giao dịch có rủi ro? Theo ông Tuấn, câu trả lời nằm ở sự thay đổi trong thủ đoạn của tội phạm công nghệ cao. Nếu trước đây, tin tặc (hacker) chủ yếu tìm cách vượt qua các lớp phòng vệ của ngân hàng thì nay, mục tiêu của đối tượng này là khiến chính khách hàng vượt qua những lớp phòng vệ ấy.

“Tin tặc khai thác yếu tố con người, luôn là mắt xích khó bảo vệ nhất”, ông Tuấn nói.

Sự thay đổi ấy làm đảo ngược cách nhìn về một giao dịch “an toàn”. Hệ thống không chỉ ngăn chặn những yêu cầu không hợp lệ, mà còn đối mặt với những giao dịch gần như hoàn toàn hợp lệ về mặt kỹ thuật. Chủ tài khoản tự đăng nhập, tự nhập OTP, tự xác thực sinh trắc học và là người nhấn nút chuyển tiền. Điều khác biệt nằm ở chỗ, toàn bộ quá trình ấy có thể diễn ra dưới sự dẫn dắt của một kịch bản lừa đảo đã được chuẩn bị từ trước.

Xu hướng này cũng được ghi nhận trong tổng quan 78 nghiên cứu về an ninh mạng trong ngân hàng số giai đoạn 2015 - 2024 mà phóng viên tiếp cận. Phần lớn các vụ gian lận hiện nay không bắt đầu từ việc tin tặc phá vỡ hệ thống công nghệ, mà từ việc thao túng chính người sử dụng thông qua các kỹ thuật tấn công phi kỹ thuật (social engineering). Website giả mạo, cuộc gọi, tin nhắn hay ứng dụng độc hại chỉ là công cụ; mục tiêu cuối cùng vẫn là khiến khách hàng tự thực hiện giao dịch theo ý đồ của kẻ gian.

Ông Tuấn cho biết, sự phát triển của AI đang khiến xu hướng này tăng tốc. Các kịch bản lừa đảo chủ yếu được phát tán hàng loạt trước kia được AI cho phép tạo ra những nội dung giả mạo có khả năng cá nhân hóa theo từng nhóm khách hàng, kết hợp với công nghệ mô phỏng hình ảnh khuôn mặt con người (deepfake) để gia tăng mức độ thuyết phục. Điều đó cũng đồng nghĩa, cuộc đối đầu giữa ngân hàng và tội phạm mạng không còn đơn thuần là cuộc chiến bảo vệ hạ tầng công nghệ, mà ngày càng trở thành cuộc chiến bảo vệ khả năng nhận biết và đưa ra quyết định đúng đắn của chính khách hàng.

Chính sự thay đổi của tội phạm mạng đã buộc các ngân hàng phải thay đổi cách đánh giá một giao dịch. Câu hỏi đầu tiên của hệ thống không chỉ là “người đang giao dịch có đúng là chủ tài khoản hay không?”, mà còn phải trả lời là một câu hỏi khó hơn nhiều: “giao dịch đó có thực sự phản ánh đúng ý chí của chủ tài khoản hay không?”.

Đó cũng là lý do xác thực danh tính không còn là điểm kết thúc của quy trình bảo vệ mà chỉ là điều kiện đầu tiên. Sau khi khách hàng vượt qua các lớp xác thực, hệ thống vẫn phải tiếp tục đánh giá liệu giao dịch đó có đủ căn cứ để tin cậy hay không. Để đi đến quyết định ấy, ngân hàng không còn dựa vào một mã OTP, hay một lần xác thực sinh trắc học, mà dựa vào toàn bộ dữ liệu mà giao dịch tạo ra trong suốt quá trình diễn ra. Chính từ đây, khái niệm “niềm tin” trong ngân hàng số cũng bắt đầu được định nghĩa lại.

Niềm tin được tạo ra từ dữ liệu

Đặt vụ việc của khách hàng S. dưới góc nhìn của hệ thống ngân hàng, câu hỏi đầu tiên không phải là mã OTP có đúng hay xác thực sinh trắc học có thành công hay không. Những thông tin đó chỉ cho thấy người đang thao tác đã vượt qua các bước xác thực. Điều hệ thống còn phải quyết định là một câu hỏi khác: Liệu giao dịch ấy có đủ đáng tin để dòng tiền tiếp tục hay không?

Theo ông Văn Anh Tuấn, mỗi giao dịch được chấm điểm dựa trên hàng trăm tín hiệu khác nhau: thiết bị sử dụng, vị trí địa lý, hành vi giao dịch, lịch sử khách hàng, tài khoản nhận tiền, dấu hiệu điều khiển từ xa trên thiết bị và nhiều yếu tố khác. Một thiết bị mới, một khoản chuyển tiền lớn hay một tài khoản thụ hưởng mới đều chưa đủ để kết luận rủi ro. Điều hệ thống tìm kiếm là mối liên hệ giữa các tín hiệu.

Khi nhiều tín hiệu cùng xuất hiện - thiết bị thay đổi, vị trí truy cập khác thường, tài khoản nhận tiền chưa từng phát sinh giao dịch, thiết bị có dấu hiệu bị điều khiển từ xa hay cách thao tác khác với thói quen của khách hàng - hệ thống sẽ lượng hóa toàn bộ chúng thành một mức độ rủi ro. Chính kết quả đánh giá đó mới là căn cứ để quyết định cho phép giao dịch tiếp tục, yêu cầu xác thực bổ sung hay chủ động tạm dừng để kiểm tra.

Ông Tuấn cho rằng, mục tiêu của hệ thống không phải là chặn càng nhiều giao dịch càng tốt. Điều khó nhất là đưa ra quyết định đủ nhanh và đủ chính xác giữa hàng triệu giao dịch diễn ra mỗi ngày.

“Thách thức lớn nhất là làm sao phân tích thật nhanh và ra quyết định sớm, dứt khoát, chấp nhận rằng đôi lúc vẫn có thể gây bất tiện cho khách hàng nhưng mục tiêu là bảo vệ tiền và thông tin khách hàng”, Giám đốc Cao cấp An ninh Thông tin Techcombank nhấn mạnh.

Vì vậy, phản ứng của hệ thống không chỉ có hai trạng thái “cho phép” hoặc “từ chối”. Có giao dịch được xử lý ngay, có giao dịch phải xác thực bổ sung và cũng có những trường hợp được chủ động giữ lại trong một khoảng thời gian để khách hàng có cơ hội nhận ra mình đang bị dẫn dắt bởi một kịch bản lừa đảo.

Nếu điểm rủi ro là kết quả cuối cùng của quá trình đánh giá thì AI chính là công cụ giúp hệ thống đi tới quyết định đó. Theo ông Tuấn, khi các quy tắc cố định không còn theo kịp sự thay đổi của các thủ đoạn lừa đảo, AI cho phép hệ thống nhận ra mối liên hệ giữa nhiều sự kiện tưởng như hoàn toàn bình thường để hình thành một mô hình rủi ro mà con người rất khó phát hiện nếu chỉ quan sát từng giao dịch độc lập.

Từ góc nhìn của TS. Nguyễn Thanh Bình, Chuyên gia tư vấn an ninh mạng, Công ty TNHH FPT IS (Tập đoàn FPT), “OTP hay xác thực sinh trắc học chỉ chứng minh bạn là ai tại một thời điểm nhất định, chứ không đủ để bảo vệ một giao dịch nếu toàn bộ môi trường giao dịch đã bị chiếm quyền kiểm soát”. Điều quyết định không còn là số lượng lớp xác thực, mà là khả năng giám sát và đánh giá rủi ro liên tục dựa trên dữ liệu phát sinh trong suốt vòng đời của giao dịch.

“Cuộc đua với tội phạm ngân hàng hiện nay là cuộc chiến AI đấu AI”, ông Bình nhận định và giải thích, “nếu AI giúp tội phạm mạng công nghiệp hóa các chiến dịch lừa đảo, thì AI cũng cho phép ngân hàng chuyển từ thế phòng vệ thụ động sang chủ động dự báo rủi ro theo thời gian thực, đưa ra quyết định trước khi dòng tiền rời khỏi hệ thống”.

Có lẽ thay đổi lớn nhất không nằm ở việc ngân hàng bổ sung thêm một lớp xác thực hay ứng dụng thêm một công nghệ mới. Điều thay đổi là cách hệ thống hình thành niềm tin. Nếu trước đây, niềm tin được đặt vào kết quả của một lần xác thực thì nay, niềm tin được tạo ra từ khả năng đối chiếu, phân tích và kiểm chứng toàn bộ dữ liệu phát sinh trong suốt hành trình của giao dịch. Điều hệ thống phải quyết định không còn là khách hàng đã nhập đúng mật khẩu hay OTP hay chưa, mà là giao dịch ấy có đủ đáng tin để dòng tiền tiếp tục hay không.

Không còn niềm tin mặc định

Khi cách hình thành niềm tin thay đổi, kiến trúc an toàn của ngân hàng số buộc phải thay đổi. Điều được bảo vệ không chỉ là tài khoản hay phiên đăng nhập, mà là toàn bộ hành trình của giao dịch, từ thời điểm khách hàng bắt đầu truy cập cho đến khi dòng tiền được chuyển đi.

Theo TS. Nguyễn Thanh Bình, ngành tài chính thế giới đang chứng kiến một sự chuyển dịch mang tính nền tảng: từ mô hình phòng thủ dựa trên niềm tin mặc định sang mô hình không tin tưởng mặc định (Zero Trust). Nếu trước đây, việc người dùng đăng nhập thành công thường được xem là điều kiện đủ để hệ thống tiếp tục tin tưởng toàn bộ phiên giao dịch, thì nay mọi hành động đều phải được đánh giá liên tục dựa trên dữ liệu và bối cảnh phát sinh trong suốt vòng đời của giao dịch.

"Nói cách khác, xác thực không còn là một thao tác diễn ra tại một thời điểm, mà trở thành một quá trình diễn ra liên tục. Thiết bị, hành vi và dữ liệu giao dịch đều trở thành những tín hiệu để hệ thống liên tục đánh giá mức độ tin cậy trước khi quyết định có cho phép dòng tiền tiếp tục hay không", TS. Bình nói.

Nhìn từ góc độ đó, những thay đổi trong quy định của Ngân hàng Nhà nước giai đoạn 2024 - 2025 không đơn thuần là việc bổ sung thêm các yêu cầu kỹ thuật mà phản ánh sự thay đổi trong tư duy thiết kế hệ thống ngân hàng số. Giám đốc Cao cấp An ninh Thông tin Techcombank cho biết, một trong những thay đổi rõ nhất là “trục xác thực dịch chuyển từ “điều bạn biết” (mật khẩu, OTP) sang “bạn là ai” (sinh trắc học), neo vào danh tính đã được xác minh với căn cước công dân gắn chip”. Đó không chỉ là sự thay đổi về phương thức xác thực. Khi danh tính số được gắn với dữ liệu sinh trắc học đã được xác minh, nền tảng để hệ thống thiết lập niềm tin cũng thay đổi. Điều hệ thống tin không còn chỉ là mật khẩu hay mã OTP mà là danh tính số đã được xác minh của người thực hiện giao dịch.

Sự thay đổi ấy cũng mở rộng sang chính thiết bị giao dịch. Nếu trước đây, điện thoại chỉ được xem là phương tiện truy cập thì nay, như ông Tuấn nhấn mạnh, thiết bị đã trở thành một đối tượng an ninh. Lịch sử sử dụng thiết bị, các thay đổi khi đăng nhập, dấu hiệu bị điều khiển từ xa hay những bất thường trong môi trường sử dụng đều trở thành dữ liệu đầu vào để hệ thống liên tục đánh giá rủi ro.

Quan trọng hơn, yêu cầu lưu giữ dữ liệu cũng thay đổi. Dấu vết giao dịch không còn chỉ được lưu lại để phục vụ vận hành, mà còn để giải thích mọi quyết định của hệ thống khi cần kiểm toán, điều tra hoặc giải quyết tranh chấp.

“Ngay từ khi thiết kế hệ thống, các ngân hàng đã phải tính đến yêu cầu lưu giữ đầy đủ dấu vết của giao dịch để phục vụ kiểm toán, điều tra và xử lý tranh chấp. Điều đó đồng nghĩa dữ liệu không chỉ được tạo ra để vận hành hệ thống, mà còn để có thể giải thích vì sao hệ thống đã chấp nhận hoặc từ chối một giao dịch”, ông Tuấn cho biết.

Theo TS. Nguyễn Thanh Bình, đây cũng là điểm khác biệt căn bản của kiến trúc an ninh hiện đại. Một hệ thống an toàn không chỉ phải ngăn chặn được các cuộc tấn công, mà còn phải có khả năng giải thích mọi quyết định của mình trên cơ sở dữ liệu có thể lưu giữ, đối chiếu và kiểm chứng.

Điều quan trọng nhất nằm ở sự thay đổi trong tư duy quản trị, như ông Tuấn chia sẻ, “nhiều yêu cầu khởi đầu chỉ như một nghĩa vụ tuân thủ, nhưng khi triển khai lại trở thành năng lực giảm thiểu rủi ro thực chất”. Khi đó, tuân thủ không còn là gánh nặng của hệ thống, mà trở thành một phần của năng lực cạnh tranh trong môi trường ngân hàng số.

Có thể khách hàng sẽ không bao giờ nhìn thấy toàn bộ kiến trúc đang vận hành phía sau mỗi lần chuyển tiền. Nhưng chính kiến trúc ấy quyết định liệu một giao dịch có được phép tiếp tục hay không, liệu mỗi quyết định của hệ thống có thể được giải thích bằng dữ liệu hay không và liệu những dữ liệu đó có đủ giá trị để bảo vệ quyền lợi của các bên khi tranh chấp phát sinh?

Từ đây, hành trình của một giao dịch không còn chỉ là câu chuyện của công nghệ, mà bước sang một câu hỏi khác: Khi ra trước pháp luật, dữ liệu sẽ được nhìn nhận như một chứng cứ thế nào?

Hồng Dung