Sự phát triển của ngân hàng số, cùng việc tin tặc khai thác trí tuệ nhân tạo (AI) để gia tăng tốc độ, quy mô và độ tinh vi của các cuộc tấn công, khiến các mối đe dọa an ninh mạng ngày càng khó nhận diện và ứng phó. Điều này đặt ra yêu cầu cấp thiết về năng lực phòng thủ chủ động, phát hiện sớm và ngăn chặn rủi ro của các ngân hàng.
Gia tăng sức ép tấn công mạng
Theo ông Phan Hoàng Giáp, Phó Tổng Giám đốc kiêm Giám đốc Công nghệ, Công ty cổ phần An ninh mạng Việt Nam (VSEC), AI đang tạo thêm sức ép đối với an toàn thông tin ngân hàng khi giúp gia tăng số lượng lỗ hổng, chiến dịch tấn công và hỗ trợ hacker xây dựng các phương thức xâm nhập tinh vi, khó phát hiện.
Khi tội phạm đã tận dụng AI, ngân hàng cũng cần đầu tư công nghệ tương ứng để tăng năng lực phòng thủ. Tuy nhiên, ông Hoàng Giáp nhấn mạnh công nghệ không phải yếu tố quyết định duy nhất: "Trong mọi cuộc chiến, yếu tố quyết định là con người". Các ngân hàng cần phát triển đội ngũ kỹ sư đủ năng lực làm chủ và khai thác AI hiệu quả, an toàn.
Không chỉ nhắm vào hệ thống ngân hàng, tội phạm mạng còn mở rộng tấn công sang khách hàng thông qua những chuỗi hành vi có tổ chức. Ông Lê Quang Hà, Phó Giám đốc phụ trách Công nghệ, Công ty TNHH MTV An ninh mạng Viettel (VCS), cho biết các đối tượng có thể đánh cắp dữ liệu, sử dụng thông tin thu thập được để xây dựng kịch bản lừa đảo thuyết phục hơn, sau đó chiếm đoạt tài sản và phối hợp rửa tiền.
Dữ liệu bị đánh cắp trở thành công cụ giúp tội phạm cá nhân hóa kịch bản lừa đảo, khiến nạn nhân dễ tin tưởng và làm theo hướng dẫn. Vì vậy, rủi ro an ninh mạng ngày càng gắn chặt với gian lận tài chính, không chỉ giới hạn ở việc xâm nhập hạ tầng công nghệ.
Từ góc độ ngân hàng, ông Nguyễn Hưng, Tổng Giám đốc Ngân hàng TMCP Tiên Phong (TPBank), cũng cảnh báo nguy cơ tấn công liên quan đến các mô hình AI ngày càng lớn. Khi công nghệ được tích hợp sâu vào giao dịch số và hoạt động nghiệp vụ, ngân hàng phải bảo vệ đồng thời hệ thống nội bộ và người dùng, bởi các cuộc tấn công có thể xuất phát từ cả hai phía.
Điều này cho thấy bài toán an ninh mạng không đơn thuần là bảo vệ máy chủ hay ngăn chặn một giao dịch đáng ngờ. Ngân hàng cần kiểm soát rủi ro xuyên suốt quá trình cung cấp dịch vụ, từ xác thực người dùng, xử lý giao dịch đến quản lý dữ liệu và vận hành AI.
Phòng thủ đi trước
Trước những rủi ro mới, Ngân hàng Nhà nước đã ban hành Thông tư số 53/2026/TT-NHNN quy định về an toàn, quản lý rủi ro và điều kiện triển khai AI trong ngành ngân hàng. Ông Lê Hoàng Chính Quang, Cục trưởng Cục Công nghệ thông tin (Ngân hàng Nhà nước), cho biết thông tư phân loại hệ thống AI theo ba mức rủi ro thấp, trung bình và cao, với yêu cầu quản trị, an toàn tương ứng.
Đáng chú ý, con người và tổ chức triển khai phải chịu trách nhiệm cuối cùng, không thể đổ lỗi cho AI hoặc nhà cung cấp. Hệ thống phải cho phép con người can thiệp, ghi đè quyết định hoặc dừng khẩn cấp; khách hàng cũng cần được thông báo khi tương tác với AI và được bảo đảm quyền khiếu nại.
Tại Ngân hàng TMCP Công Thương Việt Nam (VietinBank), nguyên tắc này được cụ thể hóa bằng cơ chế phân quyền truy cập. Tiến sĩ Nguyễn Công Thương, Phó Giám đốc Khối Dữ liệu và Trí tuệ nhân tạo VietinBank, cho biết quyền truy cập của AI được thiết kế tương ứng với quyền của cán bộ, nhân viên sử dụng hệ thống, thay vì cho phép công nghệ này khai thác toàn bộ dữ liệu ngân hàng.
Với các ứng dụng tra cứu, cung cấp thông tin, AI có thể xử lý và đưa ra gợi ý. Nhưng đối với tác vụ mang tính quyết định, cán bộ phải trực tiếp tham gia và chịu trách nhiệm về quyết định cuối cùng. Lãnh đạo TPBank cũng cho rằng không nên trao toàn quyền cho AI, nhất là với những quyết định phức tạp hoặc có khả năng gây tổn thất tài chính lớn.
Yêu cầu kiểm soát càng quan trọng khi AI có thể tạo ra những câu trả lời nghe hợp lý nhưng không chính xác, còn gọi là hiện tượng "ảo giác". Do đó, người sử dụng cần có năng lực thẩm định, không mặc nhiên coi kết quả do AI đưa ra là căn cứ cho các quyết định quan trọng.
Bên cạnh quản trị công nghệ, phát hiện và cảnh báo giao dịch bất thường là lớp bảo vệ trực tiếp đối với khách hàng. Theo ông Lê Hoàng Chính Quang, dữ liệu về tài khoản, ví điện tử và thẻ nghi ngờ gian lận do Ngân hàng Nhà nước thu thập, cung cấp có thể được tích hợp vào ứng dụng ngân hàng số. Khi khách hàng chuyển tiền đến tài khoản thuộc danh sách cảnh báo, hệ thống sẽ phát tín hiệu để người dùng cân nhắc dừng giao dịch hoặc xác minh thêm. Cơ chế này đặc biệt hữu ích khi khách hàng đang bị tội phạm thao túng tâm lý.
Tuy nhiên, khả năng phòng ngừa có thể được nâng cao nếu ngân hàng mở rộng phối hợp dữ liệu với các đơn vị bên ngoài. Theo ông Lê Quang Hà, dữ liệu ngân hàng hiện chủ yếu phản ánh luồng giao dịch, trong khi thông tin từ nhà mạng viễn thông và doanh nghiệp an ninh mạng có thể bổ sung các dấu hiệu rủi ro.
Chẳng hạn, trước khi thực hiện giao dịch, ngân hàng có thể phối hợp với nhà mạng xác minh số điện thoại của khách hàng có vừa nhận cuộc gọi đáng ngờ hay không. Nếu phát hiện bất thường, giao dịch có thể được tạm dừng để kiểm tra. Việc xác thực giao dịch có xuất phát từ thiết bị chính chủ cũng góp phần hạn chế nguy cơ đánh cắp mật khẩu, mã xác thực một lần (OTP). VCS đang nghiên cứu các giải pháp phối hợp với ngân hàng, tổ chức tài chính để bảo vệ người dùng; việc chia sẻ dữ liệu phải tuân thủ quy định về bảo vệ dữ liệu cá nhân và Luật Dữ liệu.
Ở cấp độ quản lý, ông Lê Hoàng Chính Quang cho biết Ngân hàng Nhà nước sẽ phối hợp với Bộ Công an triển khai giải pháp truy vết dòng tiền bằng phương tiện điện tử, nhằm rút ngắn thời gian xử lý và giảm thiểu thiệt hại khi xảy ra gian lận, lừa đảo.
Trước phương thức tấn công ngày càng phức tạp, an ninh mạng không còn là nhiệm vụ riêng của bộ phận công nghệ thông tin. Phòng thủ hiệu quả đòi hỏi sự kết hợp giữa công nghệ, nhân lực, quản trị rủi ro và phối hợp liên ngành. Phát hiện sớm, cảnh báo kịp thời và ngăn chặn dòng tiền trước khi bị chiếm đoạt sẽ là những yếu tố quan trọng giúp ngân hàng bảo vệ tài sản, duy trì niềm tin của khách hàng.
