Tội phạm ngân hàng số đang tấn công “lỗ hổng” con người

Ông có thể nêu “bức tranh” khái quát về tình trạng tội phạm ngân hàng số trên thế giới và Việt Nam?

Mặc dù các tổ chức đã sử dụng nhiều biện pháp phòng ngừa rủi ro trong nhiều năm qua, nhưng thiệt hại do lừa đảo qua giao dịch ngân hàng số trên thế giới tiếp tục tăng. Cụ thể, năm 2023 thiệt hại mạng toàn cầu là 8.000 tỷ USD, năm 2024 là 9.500 tỷ USD, tỷ lệ tăng 18,8%. Tuy nhiên, con số thiệt hại trực tiếp do lừa đảo qua ngân hàng số là 486 tỷ USD, năm 2024 là 1.026 tỷ USD với mức tăng “đáng báo động” lên đến trên 111%.

Tại Việt Nam, cứ 220 người dùng điện thoại thông minh thì có 1 người là nạn nhân của lừa đảo, thiệt hại ước tính trong năm 2024 lên đến 18.900 tỷ đồng.

Trước thực tế này, Việt Nam đã và đang áp dụng được những bài học gì, cũng như những hành động cụ thể để hạn chế tình trạng này, thưa ông?

Ở một số quốc gia có hệ thống tài chính - ngân hàng phát triển như Singapore, các ngân hàng triển khai tính năng Money lock cho phép khách hàng “khoá” một phần hoặc toàn bộ số dư khỏi các giao dịch trực tuyến, chỉ giải ngân khi khách chủ động mở khóa. Đây là cách biến người dùng từ “mắt xích yếu nhất” thành một lớp phòng thủ chủ động.

Hay như tại Úc, quốc gia này xây dựng mô hình Hệ sinh thái đồng thuận được Lập pháp hóa với Dự luật Khung ngăn chặn Lừa đảo 2025. Xây dựng khung pháp lý theo hướng không chỉ ngân hàng chịu trách nhiệm, mà cả nhà mạng viễn thông, nền tảng kỹ thuật số đều phải có nghĩa vụ phòng chống lừa đảo. Theo đó, các tổ chức trong hệ sinh thái có thể phải đối mặt với chế tài rất nặng nếu buông lỏng quản lý, để quảng cáo lừa đảo, SIM rác, tài khoản rác hoành hành. Như vậy, thực tế rõ ràng một mình ngân hàng không thể chống lại “liên minh tội phạm” mà phải sử dụng đủ cả 3 bên (ngân hàng - nhà mạng viễn thông - nền tảng kỹ thuật số) cho công cuộc chống lừa đảo.

Tại Việt Nam, việc ban hành Quyết định 2345 của NHNN gắn kết hệ thống ngân hàng với Cơ sở dữ liệu quốc gia về dân cư và xác thực sinh trắc học đã đánh thẳng vào tài khoản cá nhân “rác”. Động thái này đã cho một số kết quả bước đầu khi số nạn nhân là khách hàng cá nhân bị lừa qua tài khoản rác giảm rõ rệt theo từng tháng.

Việc mở tài khoản mới bằng giấy tờ giả, danh tính giả rất khó khăn để có thể thực hiện. Tuy nhiên, tội phạm lại dịch chuyển sang mô hình mới, thông qua doanh nghiệp “ma” được thành lập hợp pháp trên giấy tờ, nhưng không có hoạt động sản xuất kinh doanh thực chất. Chính vì vậy, mới đây NHNN đã ban hành Thông tư 17/2024/TT-NHNN quy định các giao dịch trực tuyến của tài khoản doanh nghiệp cũng sẽ phải được xác thực thông tin người đại diện hợp pháp bằng giấy tờ tùy thân và sinh trắc học, hạn chế đáng kể những giao dịch lừa đảo, bảo vệ người dùng.

Cùng với sự phát triển mạnh mẽ của khoa học kỹ thuật, nhất là công nghệ AI, blockchain… thúc đẩy phát triển kinh tế số, thì song hành cũng là không ít nguy cơ. Ông có thể phân tích rõ nội dung này?

Hiện, công nghệ AI tạo sinh (GenAI) cho phép tạo ra email, tin nhắn, kịch bản cuộc gọi, hình ảnh, video, thậm chí giả giọng nói giống đến mức người thân của chúng ta cũng khó nhận ra. Các vụ lừa đảo qua ngân hàng số ngày càng gắn với tài sản mã hoá (crypto): tiền từ tài khoản ngân hàng được chuyển lên sàn, đổi thành coin/stablecoin, rồi đi qua nhiều ví và nhiều quốc gia chỉ trong vài phút.

Một điểm đáng lưu ý, tội phạm ngày nay hiếm khi tấn công trực diện vào hệ thống ngân hàng, mà tập trung tấn công vào “lỗ hổng” con người, đánh vào cảm xúc, sự cả tin, nỗi sợ và tâm lý muốn giải quyết nhanh. Chúng có thể tự động hóa cả chiến dịch lừa đảo, gửi đi hàng chục nghìn thông điệp được cá nhân hoá trong thời gian rất ngắn.

Các kênh tấn công cũng đa dạng khiến người dùng luôn ở trong trạng thái bị “bao vây”. Hành vi bề mặt của giao dịch trực tuyến hoàn toàn hợp lệ, mọi thứ “đúng quy trình”, nhưng lại xuất phát từ một kịch bản lừa đảo được dàn dựng rất tinh vi. Ngoài ra, trở ngại lớn của lực lượng điều tra là dữ liệu quan trọng (log, IP, KYC, giao dịch ví…) thường nằm tại các nhà cung cấp, sàn giao dịch ở nước ngoài, trong khi để thực hiện các hiệp định tương trợ tư pháp truyền thống (MLAT) lại mất nhiều thời gian.

Vậy, theo ông để hạn chế tối đa thiệt hại do tội phạm ngân hàng số gây ra, ảnh hưởng đến sự phát triển của nền kinh tế số, chúng ta cần phải làm gì?

Trước tiên, đối với Nhà nước và cơ quan quản lý cần nghiên cứu mô hình trung tâm tác chiến chung kiểu ASCom, nơi NHNN, lực lượng điều tra chuyên trách và các ngân hàng thương mại phối hợp thời gian thực. Đồng thời, chủ động phê chuẩn, luật hóa và vận hành “Hiệp ước Hà Nội”, xây dựng quy trình chuẩn để cơ quan Việt Nam đề nghị bảo quản dữ liệu và thu hồi tài sản số.

Còn đối với ngân hàng và tổ chức trung gian thanh toán cần tận dụng dữ liệu định danh và sinh trắc học để xây dựng mô hình AI giám sát hành vi giao dịch, phát hiện các mẫu hành vi bất thường ngay cả khi từng giao dịch vẫn “đúng quy định”. Thiết kế và truyền thông các công cụ bảo vệ chủ động như “khóa tiền an toàn”, giới hạn kênh giao dịch, cảnh báo nâng cao để khách hàng có thêm lớp phòng thủ. Cũng như, tăng cường chia sẻ dữ liệu về tài khoản rác, mẫu hành vi rủi ro, SIM rác trong ngành, hướng tới một hệ sinh thái phòng thủ thống nhất, thay vì mỗi ngân hàng tự bảo vệ một mình.

Quan trọng nhất chính là “nhân vật trung tâm” - người dùng dịch vụ ngân hàng số phải nhanh chóng hoàn tất đầy đủ các bước xác thực định danh và sinh trắc học theo yêu cầu của ngân hàng - đó là lớp “áo giáp” đầu tiên bảo vệ chính mình. Đến nay, Việt Nam đã có những bước đi rất mạnh mẽ với Quyết định 2345, với hạ tầng định danh số quốc gia và với “Hiệp ước Hà Nội”. Kết nối những mảnh ghép đó lại, chúng ta hoàn toàn có thể đi sau nhưng đi nhanh, bảo vệ tốt hơn cho người dân và cho chính hệ thống tài chính quốc gia.

Xin cảm ơn ông!