Phishing trong dịch vụ ngân hàng quy định là gì?

Phishing trong dịch vụ ngân hàng quy định là gì?

Phishing trong dịch vụ ngân hàng là hành vi lừa đảo sử dụng các kỹ thuật giả mạo thông tin nhằm đánh cắp thông tin bảo mật của khách hàng như tên đăng nhập, mật khẩu, mã OTP (One-Time Password), số thẻ tín dụng hoặc thông tin cá nhân phục vụ cho mục đích chiếm đoạt tài sản. Đây là một trong những hình thức tấn công mạng phổ biến và nguy hiểm nhất trong lĩnh vực tài chính – ngân hàng hiện nay, được pháp luật Việt Nam quy định cụ thể trong nhiều văn bản pháp lý quan trọng. Thuật ngữ "Phishing" bắt nguồn từ cách chơi chữ của từ "fishing" (câu cá), hàm ý việc "câu mồi" dụ dỗ nạn nhân cung cấp thông tin, và đã trở thành một danh từ chuẩn trong ngành an ninh mạng toàn cầu.

Phishing thường được thực hiện thông qua email giả mạo, tin nhắn SMS, trang web hoặc ứng dụng có giao diện tương tự website chính thức của ngân hàng, yêu cầu khách hàng cung cấp thông tin nhạy cảm dưới nhiều lý do như xác minh tài khoản, nâng cấp dịch vụ hoặc nhận thưởng. Khi khách hàng cung cấp thông tin, kẻ gian sẽ sử dụng để truy cập trái phép vào tài khoản ngân hàng và thực hiện các giao dịch chiếm đoạt tiền. Ngoài hình thức truyền thống, phishing hiện đại còn kết hợp với các kỹ thuật social engineering (kỹ thuật thao túng tâm lý con người) tinh vi như giả danh nhân viên ngân hàng, cơ quan chức năng để tạo lòng tin với nạn nhân. Đối tượng mục tiêu thường là những người ít am hiểu về công nghệ, người cao tuổi hoặc những người đang gặp vấn đề về tài chính.

Tại Việt Nam, tình trạng phishing trong lĩnh vực ngân hàng đang ở mức báo động. Theo thống kê của Cục An toàn thông tin (AIS) thuộc Bộ Thông tin và Truyền thông, số vụ tấn công phishing nhắm vào lĩnh vực tài chính – ngân hàng chiếm khoảng 60-70% tổng số các cuộc tấn công mạng tại Việt Nam, với hàng nghìn trường hợp khách hàng bị mất tiền mỗi năm, thiệt hại ước tính hàng trăm tỷ đồng. Ngân hàng Nhà nước Việt Nam (NHNN) đã nhiều lần yêu cầu các tổ chức tín dụng tăng cường biện pháp bảo vệ khách hàng và phối hợp với cơ quan công an truy vết các đối tượng vi phạm.

Thuật ngữ tiếng Anh: Phishing in Banking Services Lĩnh vực: Pháp lý (Legal & Compliance)

Đặc điểm và phân loại

Đặc điểm nhận biết một cuộc tấn công Phishing

Phân loại các hình thức Phishing phổ biến

Cơ sở pháp lý điều chỉnh tại Việt Nam

Ví dụ thực tế trong ngành ngân hàng

Ví dụ 1: Vụ giả mạo Ngân hàng A qua tin nhắn SMS Brandname

Cuối năm 2023, hàng loạt khách hàng của Ngân hàng A nhận được tin nhắn SMS có đầu số brandname "VCB" hoặc tương tự với nội dung: "Tài khoản của quý khách cần xác minh trước 24h, click link https://vietcombank-xacthuc.com để cập nhật, nếu không sẽ bị khóa". Khi khách hàng truy cập, giao diện trang web được thiết kế gần giống website chính thức của Ngân hàng A với logo, màu xanh đặc trưng. Sau khi nhập tên đăng nhập, mật khẩu và mã OTP, kẻ gian đã chiếm đoạt tiền trong tài khoản của hơn 700 khách hàng với tổng số tiền thiệt hại khoảng 30 tỷ đồng chỉ trong vòng 2 tuần. Vụ việc được Công an TP. Hồ Chí Minh phối hợp với Ngân hàng A điều tra, các đối tượng chính bị bắt giữ tại TP. Hồ Chí Minh và một số tỉnh phía Nam với mức án từ 7-15 năm tù theo Điều 174 Bộ luật Hình sự.

Ví dụ 2: Giả danh nhân viên tín dụng Ngân hàng B gọi điện cho khách hàng

Quý I/2024, Ngân hàng B phát đi cảnh báo về tình trạng kẻ gian gọi điện cho khách hàng tự xưng là nhân viên tín dụng của Ngân hàng B, đề nghị cho vay với lãi suất ưu đãi chỉ từ 0,5%/tháng. Sau khi khách hàng đồng ý, đối tượng yêu cầu đóng phí bảo hiểm khoản vay 3-5 triệu đồng vào tài khoản cá nhân trước khi giải ngân. Trong 3 tháng, Ngân hàng B ghi nhận hơn 1.200 đơn tố cáo, với tổng thiệt hại ước tính 8,5 tỷ đồng. Đây là hình thức kết hợp giữa vishing và social engineering – đánh vào tâm lý cần vay vốn gấp của khách hàng, đặc biệt là người lao động thu nhập thấp, tiểu thương mùa Tết.

Ví dụ 3: Trang web giả mạo Ngân hàng C lừa đảo đầu tư

Giữa năm 2024, một trang web có tên miền "techcombank-invest.vip" được quảng cáo trên Facebook, TikTok với nội dung: "Đầu tư 5 triệu – lãi 30%/tháng, Ngân hàng C bảo chứng". Trang này có giao diện sao chép 95% website của Ngân hàng C, kèm hình ảnh giả giấy phép hoạt động. Hơn 5.000 nạn nhân đã chuyển tiền với tổng số tiền hơn 200 tỷ đồng trước khi sự việc bị phát hiện. Ngân hàng C đã phối hợp với Cục An toàn thông tin, Bộ Công an để đóng cửa trang web, đồng thời đăng tải 47 cảnh báo trên các kênh truyền thông chính thức. Vụ việc này cho thấy xu hướng kết hợp phishing với lừa đảo đầu tư tài chính, đánh vào nhóm khách hàng có tâm lý "làm giàu nhanh".

Bài học rút ra và trách nhiệm pháp lý

Theo Quyết định 2345/QĐ-NHNN, ngân hàng có nghĩa vụ thông báo, cảnh báo rủi ro cho khách hàng sử dụng dịch vụ ngân hàng điện tử tại Điều 12. Tuy nhiên, nếu khách hàng tự cung cấp thông tin bảo mật (mật khẩu, mã OTP) cho kẻ gian thì ngân hàng có thể không chịu trách nhiệm hoàn trả. Ngược lại, nếu ngân hàng không thực hiện cảnh báo định kỳ, không xây dựng hệ thống bảo mật đa lớp theo tiêu chuẩn PCI-DSS thì phải chịu trách nhiệm bồi thường một phần hoặc toàn bộ thiệt hại theo quy định tại Bộ luật Dân sự 2015 và Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.

Phishing trong dịch vụ ngân hàng quy định trong các ngôn ngữ khác

Ghi chú: Trong tiếng Nhật, thuật ngữ "フィッシング" được sử dụng phổ biến nhất, tuy nhiên chính phủ Nhật Bản cũng dùng "偽サイト" (kiji-saito – trang web giả mạo) trong các văn bản pháp lý. Trong tiếng Hàn, thuật ngữ "피싱" đã được đưa vào Đạo luật Bảo vệ Thông tin Tài chính (금융정보보호법). Tiếng Trung đại lục thường dùng "网络钓鱼" hoặc "钓鱼攻击" trong các tài liệu của Ngân hàng Trung ương Trung Quốc (PBOC). Tiếng Tây Ban Nha có hai cách dịch: phiên âm "phishing" (phổ biến) hoặc dịch nghĩa "suplantación de identidad" (mạo danh).

Câu hỏi thường gặp

Phishing trong dịch vụ ngân hàng khác gì với các hình thức lừa đảo trực tuyến khác như Scam hay Hacking?

Phishing tập trung vào việc dụ dỗ nạn nhân tự cung cấp thông tin bảo mật thông qua các kỹ thuật giả mạo danh tính, trong khi hacking (tấn công mạng) là hành vi xâm nhập trái phép vào hệ thống bằng kỹ thuật công nghệ. Scam (lừa đảo) là thuật ngữ chung cho mọi hình thức lừa đảo, bao gồm cả phishing. Điểm khác biệt lớn nhất của phishing là yếu tố "câu mồi" – kẻ gian thường chủ động gửi email/SMS/cuộc gọi để dụ nạn nhân hành động, đòi hỏi sự tham gia chủ động từ phía nạn nhân. Về mặt pháp lý, phishing thường bị xử lý theo Điều 174 (lừa đảo chiếm đoạt tài sản) hoặc Điều 290 (vi phạm quy định an toàn thông tin mạng) của Bộ luật Hình sự 2015.

Khi nào cần biết về Phishing trong dịch vụ ngân hàng quy định?

Kiến thức về phishing là bắt buộc đối với ba nhóm đối tượng: (1) Nhân viên ngân hàng – đặc biệt bộ phận tuân thủ, phòng chống gian lận, chăm sóc khách hàng để tư vấn và cảnh báo; (2) Cán bộ pháp chế, kiểm toán nội bộ cần nắm vững khung pháp lý để đánh giá rủi ro và xây dựng quy trình phòng ngừa; (3) Ứng viên thi tuyển vào ngân hàng – đây là câu hỏi thường gặp trong các vòng phỏng vấn về tuân thủ pháp lý, phòng chống rủi ro, an toàn thông tin. Bên cạnh đó, khách hàng sử dụng dịch vụ ngân hàng điện tử cũng cần trang bị kiến thức để tự bảo vệ tài sản của mình, đặc biệt trong bối cảnh Quyết định 2345/QĐ-NHNN đã có hiệu lực từ ngày 18/12/2023.

Phishing trong dịch vụ ngân hàng ảnh hưởng thế nào đến khách hàng?

Phishing gây ra nhiều hệ lụy nghiêm trọng đối với khách hàng: (1) Thiệt hại tài chính trực tiếp – mất tiền trong tài khoản, có trường hợp lên đến hàng tỷ đồng chỉ trong vài phút; (2) Lộ thông tin cá nhân theo quy định tại Nghị định 13/2023/NĐ-CP – dữ liệu bị rao bán trên dark web dẫn đến các cuộc gọi lừa đảo tiếp diễn; (3) Tổn thương tâm lý – nhiều nạn nhân rơi vào trạng thái trầm cảm, mất niềm tin vào ngân hàng số; (4) Mất thời gian và chi phí pháp lý để đòi lại tiền, trung bình một vụ kéo dài 6-18 tháng. Đối với ngân hàng, thiệt hại còn đến từ uy tín thương hiệu, chi phí điều tra, bồi thường và tăng cường hệ thống bảo mật ước tính hàng chục tỷ đồng mỗi năm cho mỗi tổ chức tín dụng cỡ lớn.

Tổng kết

Phishing trong dịch vụ ngân hàng không chỉ là vấn đề kỹ thuật mà còn là thách thức pháp lý nghiêm trọng đòi hỏi sự phối hợp đồng bộ giữa ngân hàng, cơ quan quản lý nhà nước và khách hàng. Khung pháp lý Việt Nam hiện hành đã tương đối hoàn thiện với Bộ luật Hình sự 2015, Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Nghị định 13/2023/NĐ-CP và Quyết định 2345/QĐ-NHNN – tạo hành lang pháp lý đủ mạnh để xử lý các hành vi lừa đảo. Tuy nhiên, điều quan trọng nhất vẫn là ý thức cảnh giác của mỗi khách hàng và năng lực phòng ngừa của từng tổ chức tín dụng. Đối với người ôn thi ngân hàng, việc nắm vững các mốc thời gian pháp lý, phân biệt trách nhiệm giữa ngân hàng và khách hàng, cùng khả năng nhận diện các dạng phishing sẽ là lợi thế lớn trong cả bài thi lẫn thực tiễn nghề nghiệp sau này. Hãy nhớ quy tắc vàng: ngân hàng không bao giờ hỏi mật khẩu và mã OTP qua điện thoại, email hay tin nhắn – bất kỳ ai yêu cầu những thông tin này đều là kẻ lừa đảo.