Không thể phủ nhận công nghệ đã mang đến cho khách hàng những thuận lợi trong giao dịch tại ngân hàng, nhưng đi cùng với đó là nỗi lo về an toàn trên không gian mạng. Dù các ngân hàng cho biết không ngừng nâng cao bảo mật và thực tế người sử dụng dịch vụ ngân hàng trên không gian mạng có tăng nhưng rất dè chừng. Ông nhận định gì về vấn đề này?

Tôi cho rằng, do tâm lý và thói quen của khách hàng. Khi chưa có các quy định đầy đủ, đảm bảo về pháp lý của các chứng chỉ điện tử/chứng chỉ số hoặc các hệ thống công nghệ chưa hiện đại hoặc chưa đảm bảo về an toàn, bảo mật thông tin tạo niềm tin cho khách hàng thì việc sử dụng giao dịch truyền thống sẽ vẫn giúp khách hàng yên tâm hơn về tài sản của mình.

Tuy nhiên, khi có các quy định của pháp luật về việc công nhận tính cách pháp lý của các chứng từ số khi có tranh chấp, kèm theo đó là các giải pháp công nghệ đồng bộ, hiện đại của các tổ chức tài chính, ngân hàng đảm bảo về an toàn, bảo mật thông tin, đảm bảo tính vẹn toàn của các chứng chỉ số, các giải pháp phòng chống gian lận giao dịch, phát hiện giả mạo định danh…, đảm bảo tính an toàn cho các phương thức giao dịch trên kênh số sẽ giúp khách hàng xây dựng lòng tin, thay đổi thói quen.

Ông Dương Dũng Triều, Chủ tịch FPT IS

Trên các phương tiện truyền thông thời gian qua liên tục đề cập đến các thủ đoạn lừa đảo khách hàng trên không gian mạng. Cùng với việc nhận diện những hành vi này, theo ông, trách nhiệm của ngân hàng và của người sử dụng dịch vụ ngân hàng ở đâu khi sự việc diễn ra?

Theo quan điểm của tôi, hiện có 3 loại sự cố chính:

Thứ nhất, lợi dụng tính năng chuyển hướng cuộc gọi (call forwarding) để đánh cắp thông tin mã OTP các dịch vụ của khách hàng.

Thứ hai, bị sử dụng tên thương hiệu, tên ngân hàng (SMS brandname) và gắn kèm liên kết dẫn đến trang web giả mạo, liên kết này có tên gần giống với trang web chính thức của các thương hiệu, ngân hàng.

Thứ ba, “gài” vào trong ứng dụng (app), khi khách hàng click vào link sẽ bị chiếm quyền.

Để xử lý loại sự cố/cách thức thứ ba sẽ phải tốn rất nhiều chi phí và phương án phòng ngừa tốn kém nhất. Hai sự cố còn lại phòng ngừa bằng cách thông qua các phương tiện truyền thông, nhưng điều này lại không dễ dàng bởi lệ thuộc vào khách hàng là chính.

Theo thông tin tôi được biết, hàng năm, các ngân hàng chi hàng tỷ đồng cho vấn đề bảo mật và khi sự cố xảy ra lại là câu chuyện ý thức tuân thủ của nhân viên.

Theo đó, trách nhiệm của ngân hàng phải đảm bảo các quy trình giám sát, kiểm soát, bảo mật và an toàn thông tin; tăng cường các giải pháp công nghệ nhằm phát hiện và tự động hóa ngăn ngừa sớm các hình thức gian lận… đầy đủ và chặt chẽ.

Đồng thời, đầu tư triển khai các giải pháp công nghệ hiện đại hỗ trợ các quá trình này để hệ thống giao dịch ngân hàng hoạt động an toàn và ổn định, tuân thủ theo các quy định của Ngân hàng Nhà nước cũng như các tổ chức giám sát tài chính ngân hàng quốc tế. Bên cạnh đó, thông báo và khuyến nghị thường xuyên cho khách hàng về các nguy cơ mất an toàn thông tin liên quan đến hệ thống ngân hàng cũng là điều cần lưu tâm.

Trách nhiệm của người dân là đảm bảo bảo mật thông tin cá nhân, tránh các hành vi tiếp tay cho giao dịch gian lận, tuyệt đối tuân thủ các hướng dẫn và khuyến cáo của ngân hàng để đảm bảo an toàn thông tin khi thực hiện các giao dịch.

Theo báo cáo về các mối đe dọa điểm cuối, năm 2021, Việt Nam đứng thứ 2 ở châu Á về số lượng mã độc tống tiền (ransomware), tăng 200% so với năm 2020. Nghiên cứu “Fraud Report 2020” của Veriff cho thấy, Việt Nam đứng đầu về các nghi ngờ tội phạm sử dụng chứng minh nhân dân, căn cước công dân giả để xác thực, chiếm tới 12,9% trên toàn cầu. Những con số này khiến người sử dụng dịch vụ bất an, nhưng chắc hẳn phải có giải pháp để đối phó?

Hệ thống ngân hàng Việt Nam hiện đứng thứ hai khu vực về tăng trưởng chuyển đổi số, cả về số lượng và khối lượng kênh số, nhưng đồng thời, tội phạm tài chính đang tận dụng chính công nghệ để tấn công rất mạnh mẽ. Công nghệ đang trở thành “con dao hai lưỡi” khi vừa là công cụ hỗ trợ trong ngành ngân hàng, vừa tạo điều kiện cho tội phạm tấn công.

Như đề cập ở trên, ngành ngân hàng đang phải đối mặt với tình trạng giả mạo, đánh cắp thông tin người dùng, gian lận cả nội bộ và bên ngoài. Việc phòng chống tội phạm tài chính hiệu quả là thách thức đặt ra để góp phần giúp lĩnh vực tài chính - ngân hàng phát triển ổn định, bền vững, đem lại sự an toàn cho người dùng. Đây không chỉ là trách nhiệm của ngành ngân hàng, mà còn của các nhà cung cấp giải pháp công nghệ.

Trên thực tế, các sự cố đều có giải pháp song hành. Cụ thể, liên quan đến gian lận định danh người dùng (sử dụng chứng minh nhân dân, căn cước công công dân giả…) có thể được phát hiện sớm thông qua việc áp dụng các giải pháp công nghệ hiện đại, đảm bảo độ chính xác cũng như an toàn, bảo mật thông tin, mà Giải pháp eKYC của FPT IS là một minh chứng, khi có thể tự động bóc tách các dữ liệu từ ảnh chụp giấy tờ tùy thân, đồng thời kiểm tra xem giấy tờ đó có phải là giấy tờ giả hay không. Hệ thống cung cấp khả năng đối chiếu hình ảnh khuôn mặt trên giấy tờ tùy thân với hình ảnh live video trực tiếp do khách hàng cung cấp.

Ngoài ra, thông tin về nhân thân khách hàng có thể được kiểm tra chéo từ các nguồn thông tin khác nhau như từ cơ sở dữ liệu thông tin quốc gia thông qua các giải pháp xác thực căn cước công dân gắn chip như FPT.IDCheck, hay xác minh hình ảnh, vị trí, hành vi khách hàng… Kết hợp các giải pháp tổng thể và đa chiều này sẽ giúp phát hiện sớm và chính xác các hành vi gian lận định danh, thay vì chỉ sử dụng một vài giải pháp đơn lẻ.

Ông có thể chia sẻ rõ hơn về việc xây dựng hệ thống chống lại rủi ro tội phạm tài chính, bởi doanh nghiệp không thể chỉ sử dụng một, hai giải pháp công nghệ riêng lẻ?

Doanh nghiệp ngành ngân hàng cần có chiến lược tổng thể để phòng chống tội phạm tài chính dựa trên dự trù rủi ro, quy trình vận hành và nguồn nhân lực.

ông Dương Dũng Triều

Các doanh nghiệp, đặc biệt là các tổ chức tín dụng, cần có chiến lược tổng thể để phòng chống tội phạm tài chính dựa trên dự trù rủi ro, quy trình về vận hành, con người. Cụ thể, để phòng chống tội phạm tài chính, phát hiện được các gian lận, các tổ chức tài chính cần xây dựng các giải pháp đồng bộ về phòng chống gian lận, đảm bảo an toàn thông tin. Giải pháp này cần được xây dựng mang tính tổng thể dựa trên các quy định, chính sách, dựa trên khẩu vị rủi ro và các quy trình hoàn thiện về quản lý rủi ro gian lận, đảm bảo an toàn thông tin… Trong đó, các giải pháp công nghệ hiện đại về bảo mật, an toàn thông tin, phát hiện và phòng chống gian lận… là thành phần không thể thiếu.

Song song với việc dựa vào một vài hệ thống công nghệ cũng cần có sự phối hợp các giải pháp từ bảo mật hạ tầng cho đến các hệ thống phát hiện giả mạo định danh, phát hiện gian lận dựa trên hành vi khách hàng, kiểm tra đối chiếu dữ liệu từ nhiều nguồn…

Đặc biệt, nhân sự và quy trình cũng là vấn đề mà các ngân hàng cần chú trọng. Các nhân sự cần được đào tạo về bảo mật, an toàn thông tin, đồng thời, cần có các nhân sự chuyên trách để đảm bảo phát hiện rủi ro và phòng chống gian lận. Các quy trình về tuân thủ, quản trị rủi ro, phát hiện và phòng chống gian lận cũng cần được hoàn thiện và củng cố, đảm bảo tuân thủ theo các quy định, tiêu chuẩn quốc tế, các khuyến nghị của Ngân hàng Nhà nước cũng như các thông lệ quốc tế tốt nhất.

Nếu đề cập cụ thể về bộ giải pháp trong lĩnh vực bảo mật của FPT IS, ông sẽ chia sẻ điều gì?

Chúng tôi đã thực hiện khá nhiều dự án tiêu biểu như phát hiện và xử lý mã độc đào tiền xâm nhập hệ thống dữ liệu trọng yếu của ngân hàng. Dù đã được trang bị phần mềm diệt virus truyền thống, song hệ thống của một ngân hàng tại Việt Nam cũng từng bị xâm nhập bởi một mã độc.

Đây là mã độc giả danh tiến trình của windows “csrss.exe”, có thể sử dụng CPU của máy tính để đào tiền ảo với mục đích trục lợi và lây lan trên diện rộng cho các máy tính khác nằm trong mạng. Ngoài ra, FPT IS còn ghi nhận cảnh báo từ hệ thống phát hiện xâm nhập bất thường trên 2 server của khách hàng về hành vi webshell và sử dụng SysInternal Tools, có thể thực hiện xóa file che giấu vết trên các máy đã xâm nhập.

Cụ thể, người dùng máy tính trong hệ thống ngân hàng bị dẫn dụ để click vào đường link độc hại như email phishing để chiếm quyền điều khiển thiết bị của họ. Từ đó, kẻ tấn công cài cắm các công cụ độc hại backdoor vượt qua khả năng phát hiện của các phần mềm diệt virus. Các phần mềm độc hại này cho phép kẻ tấn công rà quét toàn mạng nội bộ, thâm nhập các máy khác trong mạng mà rất khó bị phát hiện, từ đó mở ra các con đường tới các hệ thống trọng yếu của ngân hàng.

Xu hướng bảo mật, an toàn thông tin đang chuyển dần từ phòng vệ sang phát hiện sớm, ngăn chặn, ứng phó sự cố kịp thời và tích hợp các giải pháp bảo mật vào một nền tảng điều hành tập trung.

Vì vậy, FPT IS đã sớm phát triển bộ giải pháp an toàn, an ninh mạng FPT.EagleEye (gồm Nền tảng điều hành An ninh mạng tập trung - FPT.EagleEye mSOC; Dịch vụ giám sát An toàn thông tin và phản ứng sự cố - FPT.EagleEye MDR; Dịch vụ tư vấn, đánh giá và cấp chứng chỉ PCI DSS; Dịch vụ Kiểm tra và đánh giá ATTT - Pentest), Chữ ký số từ xa - FPT.eSign và Nền tảng số hóa quy trình mở mới tài khoản và dịch vụ - FPT Digital Onboarding.

Trong đó, FPT.EagleEye mSOC là dịch vụ giám sát và xử lý sự cố 24/7 - với 4 chức năng chính gồm Record (Ghi nhận), Detect (Phát hiện), Investigate (Điều tra) và Act (Phản ứng), với khả năng xử lý dữ liệu lớn, tự động hóa dựa trên khung phát hiện tấn công MITRE ATT&CK. Với FPT.EagleEye mSOC, tất cả quy trình giám sát và xử lý sự cố đều được thực hiện một cách chính xác, nhanh chóng, từ đó đảm bảo an toàn, an ninh mạng, cũng như giảm tối đa các thiệt hại gây ra bởi các cuộc tấn công.

Thay vì phải xử lý từng máy trạm mà không biết nguyên nhân từ đâu, với sự hỗ trợ điều tra root cause và đưa ra khuyến nghị từ xa của các chuyên gia bảo mật FPT IS, quản trị viên của ngân hàng chỉ cần sử dụng một vài thao tác để ngăn chặn hành vi của backdoor hoạt động trái phép.

Toàn bộ quá trình phát hiện, xác thực và đưa ra biện pháp đánh chặn ban đầu được thực hiện chỉ trong vòng 10 phút, giảm thiểu tối đa nguy cơ lây lan mã độc trong mạng nội bộ của ngân hàng. Thông tin về cảnh báo và quy trình xử lý sự cố ngay lập tức được thông báo cho khách hàng và luôn được cập nhật theo thời gian thực trên Customer Portal.

FPT.EagleEye mSOC được xem là giải pháp linh hoạt (SOC as a Service), hỗ trợ triển khai nhanh chóng theo cả hình thức On Cloud và On Premise, phù hợp với mọi quy mô cũng như đặc thù của các tổ chức, doanh nghiệp. FPT IS có thể cung cấp toàn bộ phần cứng, phần mềm, bao gồm cả việc vận hành 24/7, khách hàng chỉ cần giám sát, đánh giá về chất lượng và dịch vụ đầu ra, từ đó tiết kiệm chi phí đầu tư cho hệ thống, cũng như chi phí tuyển dụng một đội ngũ nhân sự chất lượng để vận hành hệ thống.

Bên cạnh đó, nền tảng SOC của FPT IS còn cho phép tích hợp với phần lớn giải pháp về an toàn thông tin phổ biến của các hãng lớn hiện nay, qua đó giúp các doanh nghiệp, tổ chức không cần thay đổi kiến trúc, hạ tầng, mà vẫn có thể triển khai SOC một cách nhanh chóng, tiết kiệm và hiệu quả. Đến nay, các dịch vụ giám sát, xử lý sự cố của FPT IS đang được tin dùng bởi nhiều bộ/ban/ngành, cơ quan chính quyền địa phương, các ngân hàng, tổ chức tài chính và doanh nghiệp trên cả nước.

Giải pháp FPT.IDCheck giúp phát hiện giả mạo xác thực qua căn cước công dân gắn chip với độ chính xác cao.

“Bắt tay” giữa ngân hàng với các công ty công nghệ có vẻ vẫn hạn chế ở Việt Nam. Theo ông, nguyên nhân của vấn đề này là gì? Giải pháp nào để cùng nhau tạo “lá chắn” vững chắc cho ngân hàng và khách hàng?

Trong xu thế chuyển đổi số những năm gần đây, tuy việc “bắt tay” giữa ngân hàng và công ty công nghệ đang được tạo điều kiện thúc đẩy mạnh mẽ, nhưng trên thực tế vẫn còn hạn chế là do các cơ chế hợp tác giữa ngân hàng và các đơn vị cung cấp giải pháp công nghệ chưa được thực sự chú trọng. Bên cạnh đó, nhiều ngân hàng đang loay hoay trong việc lựa chọn đối tác uy tín trong việc tư vấn, triển khai giải pháp, phù hợp với nhu cầu, thực trạng của doanh nghiệp.

Giải pháp cho vấn đề này nằm ở việc cần có sự hợp tác tin cậy, chia sẻ giữa ngân hàng và công ty công nghệ trên tinh thần win - win, cũng như xây dựng cơ chế hợp tác để đưa các giải pháp ứng dụng các công nghệ mới nhất vào ngân hàng.