Trắc địa kỹ thuật số là gì?

Trắc địa kỹ thuật số là gì?

Trắc địa kỹ thuật số (tiếng Anh: Digital Forensics) trong lĩnh vực ngân hàng là một chuyên ngành khoa học và kỹ thuật tập trung vào việc thu thập, bảo quản, phân tích và trình bày các bằng chứng dưới dạng dữ liệu số từ các thiết bị điện tử, hệ thống máy tính, máy chủ, thiết bị di động, mạng internet và cơ sở dữ liệu nhằm phục vụ công tác điều tra, xác minh các hành vi gian lận tài chính, rửa tiền, vi phạm nội quy hoặc các sự cố an ninh mạng trong hoạt động ngân hàng. Đây được xem là công cụ then chốt trong kiểm toán và tuân thủ hiện đại, giúp các tổ chức tài chính truy vết, làm rõ trách nhiệm và ngăn chặn các rủi ro phát sinh từ môi trường số.

Về bản chất, Digital Forensics không đơn thuần là việc "khôi phục dữ liệu" như nhiều người lầm tưởng, mà là một quy trình pháp lý - kỹ thuật - quản trị được thực hiện có hệ thống. Mỗi hành động từ lúc tiếp nhận yêu cầu điều tra đến khi đưa ra kết luận cuối cùng đều phải tuân thủ nguyên tắc khách quan, toàn vẹn và có thể kiểm chứng độc lập. Điều này đảm bảo kết quả phân tích có giá trị pháp lý, được tòa án, cơ quan điều tra hoặc cơ quan quản lý nhà nước chấp nhận. Trong bối cảnh ngân hàng số hóa toàn diện tại Việt Nam, khi hơn 95% giao dịch được thực hiện qua kênh số (theo số liệu Ngân hàng Nhà nước công bố năm 2023), trắc địa kỹ thuật số đã trở thành "huyết mạch" không thể thiếu trong kiểm soát nội bộ.

Trong hệ thống tài chính, ba nhóm đối tượng chính thường xuyên sử dụng kết quả Digital Forensics gồm: (1) Đơn vị kiểm toán nội bộ khi phát hiện dấu hiệu gian lận hoặc vi phạm quy trình; (2) Cơ quan điều tra, thanh tra khi cần xác minh hành vi phạm pháp; (3) Ban quản trị rủi ro khi cần đánh giá mức độ tổn thương sau sự cố an ninh mạng. Sự giao thoa giữa ba nhóm này tạo nên một bức tranh đa chiều, đòi hỏi người làm trắc địa kỹ thuật số phải có kiến thức liên ngành: công nghệ thông tin, luật pháp, tài chính ngân hàng và quản trị rủi ro.

Thuật ngữ tiếng Anh: Digital Forensics Lĩnh vực: Kiểm toán & Tuân thủ

Đặc điểm và phân loại

Trắc địa kỹ thuật số có thể được phân loại theo nhiều tiêu chí khác nhau, tùy thuộc vào đối tượng điều tra, mục đích sử dụng và phạm vi áp dụng. Dưới đây là bảng phân loại chi tiết:

Bên cạnh cách phân loại trên, trắc địa kỹ thuật số còn được đặc trưng bởi một số nguyên tắc cốt lõi mà mọi chuyên gia trong ngành phải tuân thủ tuyệt đối:

• Nguyên tắc toàn vẹn bằng chứng (Evidence Integrity): Mọi thao tác thu thập, sao chép dữ liệu phải sử dụng kỹ thuật bit-by-bit kèm mã hóa băm (hash) SHA-256 hoặc MD5. Bất kỳ sự thay đổi nào dù nhỏ nhất (1 bit) cũng khiến mã hash thay đổi hoàn toàn, qua đó phát hiện được sự can thiệp trái phép.
• Nguyên tắc chuỗi giám sát (Chain of Custody): Toàn bộ quá trình bằng chứng đi từ tay người này sang người khác phải được ghi nhận bằng văn bản, có chữ ký, thời gian, địa điểm cụ thể. Một bằng chứng dù có giá trị đến đâu nhưng không duy trì được chain of custody sẽ bị tòa án bác bỏ.
• Nguyên tắc thu thập một lần (One-Time Seizure): Bằng chứng số phải được thu thập trong một lần duy nhất với phương pháp chuẩn, tránh việc mở tệp tin hoặc cắm USB vào máy nghi ngờ nhiều lần vì có thể làm thay đổi metadata.
• Nguyên tắc không thay đổi bằng chứng gốc (Original Evidence Preservation): Luôn làm việc trên bản sao (forensic image), tuyệt đối không phân tích trên bằng chứng gốc.
• Nguyên tắc khả năng tái lập (Reproducibility): Bất kỳ chuyên gia điều tra số độc lập nào cũng có thể thu được kết quả tương tự khi phân tích cùng bằng chứng bằng quy trình chuẩn.

Ví dụ thực tế trong ngành ngân hàng

Để minh họa rõ hơn vai trò của Digital Forensics trong kiểm toán và tuân thủ ngân hàng, dưới đây là ba tình huống thực tế đã được tái cấu trúc và ẩn danh theo quy tắc bảo mật:

Ví dụ 1: Vụ chuyển tiền trái phép của nhân viên quản trị hệ thống

Vào quý III năm 2023, Ngân hàng A phát hiện một giao dịch chuyển tiền trị giá 8,5 tỷ đồng từ tài khoản của khách hàng doanh nghiệp lớn sang một tài khoản cá nhân không xác định. Giao dịch được thực hiện vào lúc 2 giờ sáng thông qua quyền truy cập quản trị (admin) của nhân viên IT tên X. Ngay khi phát hiện, Phòng Kiểm toán nội bộ phối hợp với đội ngũ Digital Forensics tiến hành:

• Thu thập hình ảnh ổ cứng (forensic image) máy tính xách tay của nhân viên X bằng phần mềm EnCase, đảm bảo hash SHA-256 trùng khớp với ổ cứng gốc.
• Trích xuất nhật ký VPN cho thấy nhân viên X đã đăng nhập từ địa chỉ IP thuộc quán cafe vào đúng khung giờ 1 giờ 47 phút - 2 giờ 03 phút sáng ngày xảy ra giao dịch.
• Phục hồi các tệp Excel đã bị xóa từ 2 tuần trước, chứa danh sách 14 tài khoản nhận tiền với tổng giá trị giao dịch 23,7 tỷ đồng trong vòng 6 tháng.
• Phân tích email nội bộ cho thấy nhân viên X đã nhận hối lộ 350 triệu đồng từ đối tượng bên ngoài qua ví điện tử.

Kết quả điều tra đã được chuyển cho cơ quan công an, làm cơ sở khởi tố vụ án "Lạm dụng chức vụ, quyền hạn chiếm đoạt tài sản" theo Điều 355 Bộ luật Hình sự 2015. Toàn bộ quy trình tuân thủ chặt chẽ chain of custody, đảm bảo bằng chứng được tòa án chấp nhận.

Ví dụ 2: Điều tra vụ lừa đảo qua ứng dụng ngân hàng giả mạo

Tháng 4 năm 2024, Ngân hàng B tiếp nhận 47 đơn trình báo của khách hàng về việc bị mất tổng cộng 12,3 tỷ đồng sau khi cài đặt một ứng dụng "Ngân hàng B Plus" được quảng cáo trên Facebook. Đội ngũ Digital Forensics của ngân hàng kết hợp với Cục An ninh mạng (A05) - Bộ Công an đã tiến hành:

• Phân tích mã nguồn (decompile) tệp APK giả mạo phát hiện có chứa mã độc (malware) loại "banking trojan" với khả năng đánh cắp OTP, mật khẩu và thực hiện giao dịch ngầm.
• Truy vết dòng tiền qua 23 tài khoản trung gian tại 4 ngân hàng khác nhau, làm rõ đường đi của tiền và xác định 6 đối tượng chính trong đường dây.
• Phân tích 156 GB dữ liệu từ 3 máy chủ đặt tại nước ngoài (theo yêu cầu tương trợ tư pháp quốc tế), thu hồi được 7,8 tỷ đồng chuyển về Việt Nam.
• Tổng thời gian điều tra: 89 ngày, với 312 trang báo cáo kỹ thuật số có giá trị pháp lý.

Ví dụ 3: Sự cố ransomware tại Ngân hàng C

Vào tháng 11 năm 2023, Ngân hàng C - một ngân hàng cỡ vừa tại TP.HCM - bị nhóm tin tặc LockBit tấn công bằng mã độc tống tiền (ransomware), mã hóa toàn bộ dữ liệu trên 2 máy chủ lưu trữ (file server) chứa báo cáo tài chính nội bộ. Nhóm tin tặc đòi tiền chuộc 2 triệu USD bằng Bitcoin. Đội ngũ Digital Forensics đã:

• Phân tích memory dump của máy chủ ngay khi phát hiện, phát hiện mã độc đã xâm nhập từ 17 ngày trước thông qua lỗ hổng phần mềm quản lý tài liệu (CVE-2023-38831) chưa được vá.
• Truy vết nhật ký truy cập cho thấy điểm xâm nhập ban đầu là một tài khoản nhân viên kế toán bị đánh cắp mật khẩu qua email lừa đảo (phishing).
• Phục hồi 87% dữ liệu bị mã hóa từ bản backup ngoại tuyến (offline backup), giúp ngân hàng tiết kiệm khoản tiền chuộc và thời gian gián đoạn hoạt động.
• Báo cáo sự cố tuân theo quy định tại Thông tư 31/2017/TT-NHNN và Nghị định 13/2023/NĐ-CP, nộp báo cáo cho Ngân hàng Nhà nước trong vòng 24 giờ theo quy định.

Trắc địa kỹ thuật số trong các ngôn ngữ khác

Câu hỏi thường gặp

Trắc địa kỹ thuật số khác gì Giám sát an ninh mạng (Cybersecurity Monitoring)?

Trắc địa kỹ thuật số là hoạt động điều tra sau sự kiện (post-incident) với mục tiêu thu thập bằng chứng pháp lý, trong khi Giám sát an ninh mạng là hoạt động thời gian thực (real-time) nhằm phát hiện, cảnh báo và ngăn chặn mối đe dọa. Nói cách khác, Cybersecurity Monitoring là "lính canh gác" còn Digital Forensics là "thám tử điều tra" sau khi sự cố xảy ra. Trong ngân hàng, hai bộ phận này thường phối hợp chặt chẽ: SOC (Security Operations Center) phát hiện sự cố và kích hoạt quy trình IR (Incident Response), sau đó đội Forensic tiếp quản để điều tra nguyên nhân gốc rễ.

Khi nào cần biết về Trắc địa kỹ thuật số trong công việc ngân hàng?

Người làm việc trong các bộ phận Kiểm toán nội bộ, Tuân thủ, Quản trị rủi ro, An ninh thông tin, Phòng chống gian lận (Fraud) và Ban Pháp chế cần nắm vững kiến thức Digital Forensics để: (1) Xử lý đúng quy trình khi phát hiện dấu hiệu gian lận nội bộ; (2) Phối hợp hiệu quả với cơ quan điều tra khi xảy ra vụ án; (3) Đánh giá năng lực điều tra số của nhà cung cấp dịch vụ (vendor) khi ký hợp đồng; (4) Thiết kế chính sách bảo mật và quy trình IR phù hợp với quy định pháp luật Việt Nam. Đối với thí sinh ôn thi tuyển dụng ngân hàng, đây là chủ đề thường xuyên xuất hiện trong phần thi về Tuân thủ và Quản trị rủi ro vận hành (ORM).

Trắc địa kỹ thuật số ảnh hưởng thế nào đến khách hàng?

Đối với khách hàng cá nhân và doanh nghiệp, Digital Forensics mang lại ba tác động tích cực rõ rệt: (1) Tăng cường bảo vệ tài sản: Khi xảy ra gian lận, khả năng truy vết và thu hồi tiền bị lừa đảo tăng lên đáng kể - theo số liệu của Ngân hàng Nhà nước, tỷ lệ thu hồi tiền trong các vụ lừa đảo ngân hàng số năm 2023 đạt khoảng 38%, cao hơn gấp đôi so với năm 2020 nhờ ứng dụng trắc địa kỹ thuật số. (2) Răn đe tội phạm: Việc ngân hàng có năng lực điều tra số mạnh là yếu tố răn đe quan trọng, giảm thiểu ý định phạm tội. (3) Nâng cao niềm tin: Khách hàng yên tâm hơn khi giao dịch trực tuyến, biết rằng mọi giao dịch đều có "dấu vết số" có thể truy ngược. Tuy nhiên, khách hàng cũng cần lưu ý: các hoạt động điều tra phải tuân thủ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, không được xâm phạm quyền riêng tư.

Tổng kết

Trắc địa kỹ thuật số (Digital Forensics) là một trong những trụ cột quan trọng nhất của hệ thống kiểm toán và tuân thủ trong ngân hàng hiện đại. Với sự bùng nổ của thanh toán số, ngân hàng mở, ví điện tử và tiền số, ranh giới giữa "tài sản vật lý" và "tài sản số" ngày càng mờ nhạt, đặt ra yêu cầu cấp thiết về năng lực điều tra số cho mọi tổ chức tín dụng. Để thành thạo lĩnh vực này, người học cần nắm vững cả ba trụ cột: kiến thức kỹ thuật (công cụ EnCase, FTK, Autopsy, X-Ways, Volatility), quy trình pháp lý (chain of custody, ISO/IEC 27037, 27042) và khung pháp luật Việt Nam (Luật An toàn thông tin mạng 2015, Bộ luật Tố tụng Hình sự 2015, Nghị định 13/2023/NĐ-CP, Thông tư 31/2017/TT-NHNN). Đối với ứng viên thi tuyển ngân hàng, việc hiểu rõ khái niệm Digital Forensics không chỉ giúp ghi điểm trong bài thi mà còn là nền tảng cho sự nghiệp lâu dài trong bất kỳ vị trí nào liên quan đến kiểm soát nội bộ và quản trị rủi ro.