Xác thực đa yếu tố (Multi-Factor Authentication – MFA)
Xác thực đa yếu tố (MFA) là phương pháp bảo mật yêu cầu người dùng cung cấp ít nhất hai yếu tố xác thực thuộc các nhóm khác nhau trước khi được phép truy cập vào hệ thống, tài khoản hoặc giao dịch. Ba nhóm yếu tố cốt lõi bao gồm: (1) Yếu tố tri thức – thứ người dùng biết (mật khẩu, PIN, mã PIN); (2) Yếu tố sở hữu – thứ người dùng có (điện thoại nhận OTP, thẻ smart card, khóa bảo mật phần cứng); (3) Yếu tố sinh trắc học – đặc điểm sinh học của người dùng (vân tay, nhận diện khuôn mặt, quét mống mắt, giọng nói). Nguyên tắc của MFA là kẻ tấn công dù lấy được một yếu tố vẫn không thể vượt qua lớp bảo vệ thứ hai, qua đó nâng cao đáng kể mức độ an toàn so với chỉ dùng mật khẩu đơn lẻ.
Cơ chế hoạt động và triển khai trong ngân hàng
Quy trình MFA trong ngân hàng thường diễn ra theo các bước: (1) Khách hàng nhập tên đăng nhập và mật khẩu trên ứng dụng/website ngân hàng điện tử; (2) Hệ thống nhận diện đây là yếu tố thứ nhất (tri thức) và yêu cầu yếu tố thứ hai; (3) Yếu tố thứ hai có thể là mã OTP gửi qua SMS, mã OTP sinh từ ứng dụng Smart OTP, thẻ xác thực phần cứng (hard token), hoặc xác thực sinh trắc học qua CCCD gắn chip và FaceID/touch ID trên điện thoại thông minh; (4) Chỉ khi cả hai yếu tố đều hợp lệ, giao dịch hoặc phiên đăng nhập mới được phép thực hiện.
Trong ngân hàng bán lẻ, MFA đặc biệt quan trọng đối với: giao dịch chuyển tiền trên Internet Banking/Mobile Banking, đăng nhập lần đầu trên thiết bị mới, thay đổi thông tin bảo mật, hoặc các giao dịch vượt ngưỡng giá trị theo quy định của từng ngân hàng. Hiện nay nhiều ngân hàng tại Việt Nam đã triển khai chuẩn xác thực sinh trắc học (VNeID, CCCD gắn chip kết hợp khuôn mặt) cho các giao dịch chuyển tiền lớn nhằm tuân thủ quy định phòng chống lừa đảo của Ngân hàng Nhà nước.
Phân biệt MFA với các khái niệm liên quan
- Mật khẩu một lần (OTP) chỉ là một yếu tố sở hữu và đứng riêng lẻ thì không cấu thành MFA. MFA phải có tối thiểu hai yếu tố thuộc hai nhóm khác nhau; ví dụ mật khẩu + OTP (tri thức + sở hữu) mới được tính là MFA đúng chuẩn.
- Xác thực hai bước (2-Step Verification – 2SV) là trường hợp đặc biệt của MFA khi chỉ dùng đúng hai yếu tố; 2SV có thể vẫn thuộc cùng một nhóm (ví dụ nhập mật khẩu + trả lời câu hỏi bảo mật – cùng nhóm tri thức) và vì vậy an toàn kém hơn MFA đúng chuẩn.
- SSO (Single Sign-On) là cơ chế đăng nhập một lần để truy cập nhiều hệ thống; SSO tập trung vào trải nghiệm người dùng, còn MFA tập trung vào bảo mật – trên thực tế SSO thường được kết hợp với MFA để vừa tiện lợi vừa an toàn.
- Xác thực thích ứng (Adaptive/Risk-based Authentication) là phiên bản nâng cấp của MFA: hệ thống đánh giá rủi ro theo ngữ cảnh (địa điểm, thiết bị, hành vi bất thường, giá trị giao dịch) và chỉ yêu cầu thêm yếu tố khi phát hiện dấu hiệu bất thường, thay vì áp dụng cứng cho mọi giao dịch.
Vai trò trong an ninh ngân hàng số
Theo các báo cáo an toàn thông tin ngành ngân hàng, việc triển khai MFA giúp giảm tới hơn 99% nguy cơ tài khoản bị chiếm đoạt do lộ mật khẩu. Với sự gia tăng của các hình thức lừa đảo như phishing, SIM swap, keylogger, hay social engineering, mật khẩu đơn lẻ không còn đủ an toàn cho các giao dịch tài chính. MFA tạo thêm lớp phòng vệ thứ hai – ngay cả khi kẻ gian có được mật khẩu, chúng vẫn cần vượt qua yếu tố sinh trắc học hoặc OTP gửi về thiết bị của khách hàng.
Bên cạnh đó, Ngân hàng Nhà nước và các tổ chức quốc tế (ví dụ: Hiệp hội Ngân hàng Việt Nam, Bộ Thông tin và Truyền thông) đều khuyến khích các tổ chức tín dụng áp dụng MFA trong giao dịch trực tuyến, đặc biệt là với giao dịch chuyển tiền có giá trị lớn và giao dịch từ thiết bị mới, nhằm bảo vệ khách hàng và nâng cao niềm tin vào hệ thống ngân hàng số.
Câu hỏi thường gặp
Hỏi: Nhập mật khẩu + mã OTP qua SMS có được coi là xác thực đa yếu tố không, và hình thức này có còn an toàn không? Có, đây là dạng MFA phổ biến nhất hiện nay vì mật khẩu thuộc nhóm tri thức còn OTP gửi về điện thoại thuộc nhóm sở hữu. Tuy nhiên, OTP qua SMS có điểm yếu là có thể bị đánh cắp thông qua tấn công SIM swap hoặc phishing nâng cao (như cài phần mềm độc hại đọc SMS). Vì vậy nhiều ngân hàng đã chuyển sang Smart OTP trên ứng dụng, khóa bảo mật phần cứng (FIDO2) hoặc xác thực sinh trắc học – các phương thức có độ an toàn cao hơn OTP SMS.
Hỏi: Nếu khách hàng làm mất điện thoại thì có thể thực hiện giao dịch ngân hàng không, và ngân hàng xử lý thế nào? Khách hàng vẫn có thể giao dịch tại quầng bằng CCCD gắn chip và xác thực sinh trắc học tại máy ATM/CDM, hoặc được hỗ trợ qua kênh trực tiếp. Trên kênh số, trường hợp mất điện thoại, ngân hàng thường yêu cầu khách hàng thông báo ngay qua hotline để khóa dịch vụ Smart OTP, sau đó đến chi nhánh xác minh danh tính và cấp lại phương thức xác thực mới. Quy trình này nhằm đảm bảo kẻ gian không lợi dụng thiết bị đánh mất để thực hiện giao dịch trái phép.
Hỏi: Trong đề thi tuyển dụng ngân hàng, ứng viên cần nắm những điểm nào về xác thực đa yếu tố? Ứng viên nên nắm rõ ba nhóm yếu tố (tri thức – sở hữu – sinh trắc học), phân biệt được MFA với 2-Step Verification/SSO, hiểu tại sao MFA quan trọng trong phòng chống gian lận và lừa đảo trực tuyến, cùng các phương thức MFA phổ biến đang triển khai tại ngân hàng Việt Nam (OTP, Smart OTP, sinh trắc học, FIDO2). Ngoài ra, cần biết định hướng của Ngân hàng Nhà nước về bảo mật giao dịch điện tử – yếu tố thường xuất hiện trong phỏng vấn vị trí Công nghệ thông tin, Kinh doanh số và An ninh thông tin ngân hàng.
Lưu ý: Nội dung trên mang tính tham khảo, không thay thế tư vấn chuyên môn về an toàn thông tin hay tài chính ngân hàng. Các quy định cụ thể về bảo mật giao dịch điện tử có thể thay đổi theo chính sách của Ngân hàng Nhà nước và từng tổ chức tín dụng tại từng thời điểm.