Lỗ hổng nguy hiểm của ngân hàng số đến từ các thiết bị người dùng

Khi người dùng phá vỡ lớp phòng thủ quan trọng nhất

Trong bối cảnh ngân hàng số phát triển mạnh mẽ,mỗi chiếc điện thoại thông minh trở thành một “chi nhánh ngân hàng thu nhỏ”. Việc người dùng can thiệp sâu vào hệ điều hành vô tình trở thành một điểm yếu chí mạng trong hệ sinh thái bảo mật. Nhất là khi ứng dụng Mobile Banking luôn được người dùng sử dụng hằng ngày.

Ứng dụng Mobile Banking được ví như ngân hàng thu nhỏ trên mỗi thiết bị người dùng. Ảnh minh hoạ

Theo ông Phạm Tiến Dũng - Phó Thống đốc Ngân hàng Nhà nước  (NHNN), hiện các tổ chức tín dụng đang nắm giữ khoảng trên dưới 15 triệu tỷ đồng tiền gửi của người dân và cho vay khoảng 20 triệu tỷ đồng. Trong khi đó, mỗi ngàyhệ thống thanh toán xử lý khoảng 900 nghìn tỷ đồng (tương đương 40-50 tỷ USD). “Chỉ cần một tác động rất nhỏ từ tin tặc, như sửa đổi một con số trong hệ thống, cũng có thể gây ra hậu quả đặc biệt nghiêm trọng”, ông Dũng nhấn mạnh.

Trong bối cảnh đó,các ngân hàng đồng loạt triển khai biện pháp chặn truy cập từ thiết bị không an toàn đang phản ánh một thực tế đáng lo ngại, cuộc chiến an ninh mạng đang dịch chuyển từ hệ thống sang người dùng.

Một số ngân hàng đã cảnh báo rủi ro đối với thiết bị di động (như điện thoại thông minh, máy tính bảng…) do người dùng đã chủ động can thiệp sâu vào hệ điều hành để mở rộng quyền kiểm soát, làm mất đi các lớp bảo vệ mặc định quan trọng nhất.

Cảnhbáo từ KienlongBank cho thấy, các thiết bị bị can thiệp có thể được nhận diện qua việc xuất hiện ứng dụng không chính thống như Sileo, Roothide (trên iOS) hoặc Magisk, SuperSU (trên Android), cũng như trạng thái thiết bị “không được chứng nhận”.

Nhiều ngân hàng thông báo ngưng cung cấp dịch vụ Mobile Banking nếu thiết bị không đạt chuẩn an toàn

Do đó, người dùng cần gỡ bỏ các ứng dụng không rõ nguồn gốc, đồng thời khôi phục cài đặt gốc hoặc cài lại phần mềm chính hãng để đưa thiết bị về trạng thái an toàn.

Một trường hợp khác, các thiết bị mua dưới dạng “xách tay” từ nước ngoài nhưng  được cài lại phần mềm để sử dụng tại Việt Nam. Người dùng có thể nhận biết khi thiết bị hiển thị thông báo “The bootloader is unlocked” ngay khi khởi động. Nhiều trường hợp, người dùng buộc phải liên hệ nhà sản xuất để khóa lại, hoặc thay đổi thiết bị nếu không thể khắc phục.

Đặc biệt, các thiết ngoại vi như USB… trở thành môi trường lý tưởng để các đối tượng phán tán mã độc, để thể đánh cắp thông tin đăng nhập, chiếm quyền điều khiển phiên giao dịch…trên thiết bị cá nhân.

Nhiều ngân hàng (BacABank, Vietcombank,BIDV, Agribank, VietinBank...)  “mạnh tay” ngừng cung cấp dịch vụ Mobile Banking đối với các thiết bị không đáp ứng tiêu chuẩn an toàn bảo mật.

Các thiết bị di động khách hàng sẽ bị từ chối truy cập nếu thuộc một trong các trường hợp:Đã bị root hoặc jailbreak; Sử dụng hệ điều hành lỗi thời, không còn bản vá bảo mật; Cài đặt ứng dụng từ nguồn không chính thống; Có dấu hiệu bị can thiệp, mở khóa bootloader hoặc chèn mã trái phép

“Khách hàng cần kiểm tra lại tình trạng thiết bị, loại bỏ các yếu tố rủi ro hoặc chuyển sang thiết bị khác đáp ứng tiêu chuẩn để tránh gián đoạn giao dịch”, phía ngân hàng khuyến cáo.

An ninh tài chính số bắt đầu từ "điểm chạm" nhỏ nhất

Theo đại diện NHNN, hiện Việt Nam đang có khoảng 60 triệu thiết bị của khách hàng đang sử dụng để giao dịch ngân hàng mỗi ngày. Tuy nhiên, trong thời gian dài, gần như mọi loại điện thoại đều có thể cài ứng dụng ngân hàng, kể cả những máy đã bị bẻ khóa hoặc root.

Do đó, nguy cơ tấn công mạng không chỉ nhắm vào hệ thống ngân hàng mà đến từ chính thiết bị đầu cuối của người dùng. Đây chính là “cửa ngõ” để tin tặc lợi dụng xâm nhập, chiếm quyền truy cập và thực hiện nhiều hành vi gian lận.

Các chuyên gia an ninh mạng cũng nhận định, việcNHNN ban hành Thông tư 77/2025/TT-NHNN không chỉ nhằm nâng cấp tiêu chuẩn kỹ thuật, mà còn để xử lý những “điểm mù” trong hệ thống an ninh ngân hàng số.

 “Thông tư nàynhư một biện pháp khép kín các “khoảng trống rủi ro” còn tồn tại trong môi trường ngân hàng số, đặc biệt là ở phía thiết bị người dùng. Còn với việc ngân hàng "từ chối phục vụ" với thiết bị không an toàn có thể gây bất tiện, nhưng lại là bước đi cần thiết để bảo vệ người dùng trong dài hạn”, chuyên gia Dương Tiến Đạt đánh giá.

Khi tội phạm mạng ngày càng tinh vi, việc kiểm soát “điểm chạm” dù là nhỏ nhất, chiếc điện thoạisẽ quyết định mức độ an toàn của cả hệ sinh thái tài chính số.

“Đây không phải là làm khó người dùng, mà là loại bỏ những điểm yếu hệ thốngngay từ đầu vào. Cần phải hiểu rằng, khi điện thoại bị tội phạm kiểm soát, mọi lớp bảo mật phía trên gần như vô hiệu”, ông Đạt cho hay.

Con theo ông Phạm Tiến Dũng, kể từ ngày1/7, các thiết bị đã bị bẻ khóa hoặc root sẽ bị hệ thống ngân hàng tự động chặn. Nói cách khác, điện thoại không bảo đảm an toàn sẽ không thể cài đặt hoặc sử dụng ứng dụng ngân hàng như trước.

Đây là biện pháp cần thiết để bịt lỗ hổng từ thiết bị đầu cuối, bởi khi hacker xâm nhập qua những máy đã bị can thiệp sâu vào hệ điều hành, chúng có thể đánh cắp email, lợi dụng cơ chế đăng nhập một lần và tiếp tục thực hiện nhiều hành vi xâm nhập nguy hiểm khác.

"Để bảo đảm tài chính số phải được thể chế hóa bằng quy định pháp lý, thay vì chỉ dừng lại cảnh báo hay khuyến nghị như hiện nay. NHNN phối hợp với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an) sẽ bàn cụ thể từng biện pháp một”, ông Dũng nói.

Sỹ Đồng