Cảnh báo “tài khoản đen” bảo vệ người dùng

Thưa ông, trong bối cảnh hành vi lừa đảo trên môi trường mạng ngày càng gia tăng, hệ thống SIMO có vai trò thế nào đối với việc bảo vệ người dùng số?

Có thể thấy, bức tranh chung là tội phạm lừa đảo - gian lận thanh toán tiếp tục leo thang trên quy mô toàn cầu, cả về số vụ và giá trị thiệt hại. Báo cáo IC3 của FBI cho thấy riêng năm 2024, người dùng báo mất mát khoảng 16-16,6 tỷ USD, tăng 33% so với 2023; các thủ đoạn chiếm đoạt phổ biến gồm lừa đảo mạo danh, lừa đầu tư, chiếm quyền truy cập tài khoản… Đi kèm tình hình rủi ro gia tăng, các sáng kiến phòng chống tội phạm đang được triển khai đồng loạt tại nhiều quốc gia cũng như tổ chức quốc tế.

Với Việt Nam, hiệu quả của cơ chế cảnh báo tài khoản nghi ngờ thông qua hệ thống SIMO là tương đối rõ: khoảng 600.000 tài khoản đáng ngờ đã được đưa vào kho dữ liệu tập trung. Đồng thời thông qua đối soát theo thời gian thực và cảnh báo trên ứng dụng, gần 300.000 lượt khách hàng đã dừng giao dịch, tránh thiệt hại ước 1.500 tỷ đồng. Tuy nhiên điều quan trọng hơn con số đó là “hiệu ứng niềm tin”. Người dùng thấy tín hiệu cảnh báo minh bạch, có hành động kịp thời, từ đó niềm tin vào hạ tầng thanh toán số và hệ thống ngân hàng được củng cố. Tác động này tương đồng với các mô hình quốc tế như Name-Check ở châu Âu/Anh - nơi xác thực tên người thụ hưởng trước khi chuyển giúp giảm mạnh chuyển nhầm và hỗ trợ giảm các vụ lừa đảo giả danh…

Vậy định hướng tiếp của cơ quan quản lý nhằm mở rộng phạm vi giám sát, nhận diện và ngăn chặn lừa đảo thanh toán số trên diện rộng?

Về nền tảng, thời gian qua ngành Ngân hàng đã và đang tiến hành song song hai trụ cột đó là tăng cường việc đối chiếu, xác thực sinh trắc học chủ tài khoản dựa trên triển khai Đề án 06 và quy định “chỉ cho phép rút tiền, thanh toán điện tử sau khi hoàn tất đối chiếu giấy tờ tùy thân và thông tin sinh trắc học” có hiệu lực từ 1/1/2025. Qua đây, đã giúp ngành Ngân hàng đối chiếu gần như 100% tài khoản và ví điện tử cá nhân phát sinh giao dịch trên kênh số với CCCD/tài khoản VNeID; yêu cầu xác thực sinh trắc học và tăng cường xác thực hai lớp được áp dụng cho các ngưỡng giá trị cao giảm đáng kể số lượng tài khoản giả mạo và lạm dụng.

Về tối ưu mô hình, có ba hướng cụ thể có thể tham khảo từ các thực tiễn trên thế giới. Một là, “xác thực tên người nhận” qua đối chiếu tên tài khoản thụ hưởng trước khi chuyển và hiển thị cảnh báo “khớp/không khớp/khớp gần đúng”, trực tiếp giảm chuyển nhầm và góp phần hãm đà lừa đảo giả danh.

Hai là, “ma sát theo rủi ro” ở lớp giao dịch bằng việc áp dụng chấm điểm thời gian thực, tương tự mô hình của Mastercard hay các mô hình AI của Visa chỉ áp dụng tăng cường thêm các bước xác minh với các giao dịch có điểm rủi ro cao; trong khi đối với các giao dịch rủi ro thấp chỉ hiển thị khuyến cáo.

Ba là, mở rộng phạm vi giám sát sang tài khoản tổ chức, tài khoản có mẫu hình “money mule” (tài khoản được dùng để chuyển/nhận tiền lừa đảo, gian lận). Các tài khoản này có đặc điểm nhận tiền vào nhiều, quay vòng nhanh, tách thành các khoản nhỏ để rút tiền ra. Triển khai cơ chế tích hợp cơ chế “giữ - chờ xác minh” ngắn hạn cho giao dịch đáng ngờ giống khuyến nghị của Singapore (giữ 24 giờ, thông báo và yêu cầu xác nhận).

Bên cạnh đó, lớp hạ tầng liên ngân hàng cần những “chốt chặn” để cảnh báo/giữ lệnh bất thường ngay tại tầng kết nối; việc này sẽ giúp giảm tải cảnh báo giả ở tuyến front-end (tuyến trước tiên), nhưng vẫn chặn được các chuỗi tiền đi qua nhiều tài khoản, nhiều tổ chức.

Như ông đã đề cập, để phòng ngừa lừa đảo và triệt tiêu mạng lưới tài khoản “money mule” cần thiết phải xây dựng “lá chắn” nhiều lớp. Xin ông cho biết những giải pháp cần triển khai?

Ở lớp chính sách pháp lý, theo tôi, cần hoàn thiện quy định về chia sẻ dữ liệu thời gian thực, trách nhiệm giám sát và hoàn tiền trong một số kịch bản. Mô hình Singapore SRF là kinh nghiệm đáng tham khảo, khi ngân hàng, nhà mạng và nền tảng số cùng chịu trách nhiệm ngăn chặn gian lận.

Ở lớp hạ tầng và vận hành của ngân hàng, trung gian thanh toán, cần kết hợp kho dữ liệu tập trung SIMO với mô hình chấm điểm theo thời gian thực ở tuyến giao dịch; triển khai xác định tên người thụ hưởng trước khi chuyển khoản; áp dụng xác thực sinh trắc - liveness (yêu cầu quay mặt, đọc số…) cho giao dịch giá trị cao; bổ sung “giữ - điều tra nhanh” với luồng đáng ngờ; triển khai công cụ kiểm soát ở tầng kết nối liên ngân hàng.

Với lớp thực thi liên ngành theo tôi, cần tăng cường truy quét, bóc gỡ mạng lưới tài khoản dùng để gian lận, lừa đảo theo mô hình EMMA của Europol; Chuẩn hóa việc chia sẻ dữ liệu để theo dõi “đường đi của tiền” giữa nhiều ngân hàng và nền tảng.

Còn đối với người dùng, cần chuẩn hành vi an toàn tối thiểu phải trở thành “thói quen số” gồm: không cho thuê/mượn/bán tài khoản; không cài app cấp quyền Trợ năng/điều khiển từ xa; cảnh giác đối với các yêu cầu chuyển tiền gấp; xác minh danh tính người nhận khi hệ thống báo “không khớp”; sử dụng các công cụ chặn lọc.

Xin cảm ơn ông!