Dịch vụ xác thực giao dịch ngân hàng bằng sinh trắc học đa yếu tố theo quy định NHNN
Dịch vụ xác thực giao dịch ngân hàng bằng sinh trắc học đa yếu tố theo quy định NHNN là phương thức bảo mật trong đó ngân hàng xác minh danh tính khách hàng thông qua việc kết hợp đồng thời từ hai yếu tố sinh trắc học trở lên (ví dụ: khuôn mặt kết hợp vân tay, hoặc khuôn mặt kết hợp giọng nói), đáp ứng các tiêu chuẩn kỹ thuật và an toàn thông tin do Ngân hàng Nhà nước Việt Nam ban hành. Dịch vụ này được triển khai chủ yếu trên các kênh ngân hàng điện tử (mobile banking, Internet banking) và tại quầy giao dịch, nhằm thay thế hoặc bổ sung cho các phương thức xác thực truyền thống như mật khẩu, OTP qua SMS hay smart OTP.
Trong bối cảnh gia tăng các vụ lừa đảo chiếm đoạt tài khoản, giao dịch giả mạo và tội phạm công nghệ cao, Ngân hàng Nhà nước đã yêu cầu các tổ chức tín dụng triển khai xác thực sinh trắc học đối với một số loại giao dịch có giá trị lớn hoặc có tính chất nhạy cảm. Khách hàng khi thực hiện giao dịch sẽ được yêu cầu cung cấp dữ liệu sinh trắc học, hệ thống sẽ đối chiếu với dữ liệu đã đăng ký trước đó (đặc biệt là dữ liệu trên chip căn cước công dân gắn chip hoặc trong cơ sở dữ liệu của hệ thống VNeID do Bộ Công an quản lý) để xác nhận danh tính trước khi cho phép giao dịch hoàn tất.
Các yếu tố sinh trắc học được sử dụng phổ biến
Trong thực tiễn triển khai tại Việt Nam, các ngân hàng thường sử dụng kết hợp các yếu tố sinh trắc học sau:
- Nhận diện khuôn mặt (Face ID/Face Recognition): Đây là yếu tố được sử dụng rộng rãi nhất hiện nay, đặc biệt sau khi Ngân hàng Nhà nước quy định xác thực khuôn mặt đối với các giao dịch chuyển tiền có giá trị lớn trên ứng dụng ngân hàng số. Dữ liệu khuôn mặt được đối chiếu với ảnh trên chip căn cước công dân gắn chip hoặc với dữ liệu sinh trắc học trong hệ thống VNeID. Công nghệ liveness detection (phát hiện khuôn mặt sống) được tích hợp để chống giả mạo bằng ảnh, video hoặc mặt nạ 3D.
- Vân tay (Fingerprint): Được sử dụng chủ yếu trên thiết bị di động có cảm biến vân tay, kết hợp với nhận diện khuôn mặt để tạo thành xác thực đa yếu tố. Dữ liệu vân tay thường được lưu trữ cục bộ trên thiết bị của khách hàng theo cơ chế bảo mật của hệ điều hành.
- Giọng nói (Voice Biometrics): Một số ngân hàng đã triển khai thử nghiệm xác thực giọng nói cho dịch vụ tổng đài tự động, kết hợp với các yếu tố khác để xác minh danh tính khách hàng khi gọi điện đến hotline.
- Mống mắt (Iris Recognition) và tĩnh mạch (Vein Recognition): Là các yếu tố có độ chính xác cao nhưng chi phí thiết bị lớn, hiện chưa phổ biến trong ngân hàng bán lẻ tại Việt Nam.
Quy trình xác thực và các bước thực hiện
Quy trình xác thực giao dịch bằng sinh trắc học đa yếu tố thường diễn ra theo các bước cơ bản sau:
- Đăng ký dữ liệu sinh trắc học (Onboarding): Khách hàng cung cấp dữ liệu sinh trắc học lần đầu tại quầy hoặc qua ứng dụng ngân hàng, kết hợp xác thực bằng căn cước công dân gắn chip (quét NFC) hoặc qua tài khoản định danh điện tử VNeID mức độ 2.
- Lưu trữ và mã hóa: Dữ liệu sinh trắc học được mã hóa theo chuẩn AES-256 hoặc tương đương, lưu trữ trong hệ thống của ngân hàng hoặc trong vùng bảo mật (Secure Enclave) của thiết bị, tuân thủ quy định về bảo vệ dữ liệu cá nhân.
- Xác thực khi giao dịch: Khi khách hàng thực hiện giao dịch đủ điều kiện (ví dụ: chuyển tiền trên 10 triệu đồng/lần hoặc trên 20 triệu đồng/ngày tùy thời kỳ quy định), hệ thống yêu cầu cung cấp đồng thời nhiều yếu tố sinh trắc học để đối chiếu.
- Đối chiếu và phản hồi: Hệ thống sử dụng thuật toán AI/ML để so khớp dữ liệu thu thập với dữ liệu đã đăng ký. Thời gian xác thực thường dưới 2 giây với độ chính xác (FAR - False Acceptance Rate) dưới 0,0001% đối với các hệ thống đạt chuẩn.
- Ghi nhận và lưu vết: Toàn bộ quá trình xác thực được ghi log phục vụ tra soát, kiểm toán và tuân thủ quy định phòng chống gian lận, rửa tiền.
So sánh với các phương thức xác thực truyền thống
So với mật khẩu một lần OTP qua SMS, phương thức sinh trắc học đa yếu tố có ưu điểm vượt trội về khả năng chống giả mạo: OTP có thể bị đánh cắp qua SIM swap, phishing hoặc phần mềm độc hại, trong khi dữ liệu sinh trắc học gắn liền với cá nhân và khó bị sao chép. So với smart OTP, sinh trắc học giúp giảm rủi ro khi thiết bị bị mất hoặc cho mượn. Tuy nhiên, chi phí đầu tư hạ tầng cao hơn, đòi hỏi thiết bị của khách hàng phải đáp ứng yêu cầu kỹ thuật (camera hồng ngoại, cảm biến vân tay). Theo thống kê, sau khi triển khai xác thực sinh trắc học bắt buộc, nhiều ngân hàng đã ghi nhận số vụ gian lận liên quan đến chuyển tiền trực tuyến giảm đáng kể so với giai đoạn trước.
Câu hỏi thường gặp
Hỏi: Khi nào khách hàng bắt buộc phải xác thực bằng sinh trắc học khi chuyển tiền? Theo lộ trình của Ngân hàng Nhà nước, từ ngày 01/07/2024, các giao dịch chuyển tiền trên 10 triệu đồng/lần hoặc tổng giá trị trên 20 triệu đồng/ngày phải xác thực bằng sinh trắc học (khuôn mặt) khớp với dữ liệu căn cước công dân gắn chip hoặc VNeID. Các giao dịch dưới hạn mức này vẫn có thể sử dụng phương thức xác thực cũ.
Hỏi: Dữ liệu sinh trắc học của khách hàng có bị chia sẻ cho bên thứ ba không? Không. Ngân hàng chỉ lưu trữ dữ liệu sinh trắc học trong hệ thống nội bộ của mình, được mã hóa theo tiêu chuẩn ngành. Dữ liệu không được chia sẻ, bán hoặc cung cấp cho bên thứ ba ngoài trường hợp có yêu cầu của cơ quan nhà nước có thẩm quyền theo quy định pháp luật. Việc thu thập và xử lý dữ liệu phải tuân thủ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
Hỏi: Khách hàng chưa có căn cước công dân gắn chip thì có thể sử dụng dịch vụ sinh trắc học không? Trong giai đoạn đầu triển khai, nhiều ngân hàng cho phép khách hàng đăng ký dữ liệu sinh trắc học trực tiếp tại quầy kết hợp với giấy tờ tùy thân. Tuy nhiên, để đảm bảo đối chiếu chính xác theo quy định mới nhất, khách hàng nên sử dụng căn cước công dân gắn chip hoặc tài khoản VNeID mức 2 để hệ thống đối chiếu với cơ sở dữ liệu quốc gia về dân cư.
Nội dung mang tính tham khảo, được biên soạn dựa trên các quy định hiện hành của Ngân hàng Nhà nước Việt Nam tại thời điểm cập nhật, không thay thế tư vấn pháp lý hay tài chính chuyên nghiệp. Người đọc nên kiểm tra văn bản pháp luật hiện hành và tham khảo ý kiến chuyên gia trước khi áp dụng vào thực tiễn.