Thanh toán trực tuyến: những yêu cầu mới về bảo mật
Sau một loạt sự cố liên quan đến an ninh thông tin dẫn đến việc khách hàng bị mất tiền trong tài khoản ngân hàng trong tháng 8 vừa qua, Ngân hàng Nhà nước đã yêu cầu các cơ quan thanh tra, giám sát và các chi nhánh Ngân hàng Nhà nước tỉnh, thành phố đưa nội dung thanh tra về công nghệ thông tin trong hoạt động thanh toán vào chương trình thanh tra, kiểm tra định kỳ.
Ngân hàng Nhà nước yêu cầu tăng cường việc kiểm tra, giám sát tình hình hoạt động thanh toán nói chung và thanh toán thẻ, thanh toán điện tử của các ngân hàng nói riêng. Rõ ràng, bảo mật đã trở thành vấn đề sống còn của ngành ngân hàng trong thời điện tử hóa. Và an ninh thông tin cũng là mối quan tâm hàng đầu của khách hàng khi lựa chọn hình thức thanh toán phi tiền mặt. Trên thực tế, các ngân hàng Việt Nam cũng đang đi theo xu hướng chung của thế giới trong việc dành sự ưu tiên hàng đầu cho việc bảo đảm an toàn cho hệ thống.
Những công nghệ bảo mật mới
Một trong những công nghệ bảo mật được nhắc đến nhiều trong thời gian gần đây là công nghệ sinh trắc học. Công nghệ này đang được áp dụng tại nhiều tổ chức tài chính hàng đầu thế giới. Khi các hoạt động tài chính toàn cầu ngày càng được số hóa nhiều hơn, các ngân hàng tận dụng công nghệ mới để phát triển hệ thống bảo mật tiếp theo nhằm chống lại nạn lừa đảo, giúp giao dịch an toàn hơn và nâng cao sự trải nghiệm cho người tiêu dùng. Bank of America, Citibank, Barclays... đang trở thành những tổ chức tài chính đi tiên phong trong việc ứng dụng công nghệ sinh trắc học trong việc bảo mật ngân hàng.
Từ tháng 9 năm ngoái, khách hàng của Bank of America ở Mỹ bắt đầu sử dụng máy quét vân tay trên thiết bị di động để đăng nhập vào phần mềm ứng dụng ngân hàng trên thiết bị, nhằm giảm thiểu nguy cơ bị mất dữ liệu. Nhờ tính năng Touch ID trên các dòng iPhone của Apple và máy quét vân tay trên các thiết bị Android, các ngân hàng có thể sử dụng các ứng dụng này như lớp bảo mật thứ hai.
Trong khi đó, Barclays hợp tác với người khổng lồ Hitachi của Nhật Bản để cung cấp công nghệ “finger vein” cho nhóm khách hàng doanh nghiệp. Để xác nhận giao dịch, các khách hàng chỉ cần đặt một ngón tay vào trong máy quét có màn hình (desktop) nhỏ thay vì nhập mật khẩu và PIN. Công nghệ này được giới thiệu là an toàn nhờ vào tính độc nhất vô nhị của các mẫu vân tay và phần lớn chúng không thay đổi trong suốt cuộc đời mỗi người. Barclays cho biết hiện tại công nghệ này tương đối đắt đỏ, nhưng nó thực sự hữu ích đối với những khách hàng thường xuyên có giao dịch lớn. Công nghệ Vein ID của Hitachi hiện đang được áp dụng tại các máy ATM khắp Nhật Bản và Ba Lan.
Không chịu kém cạnh các tổ chức tín dụng của Mỹ, Ngân hàng Hoàng gia Scotland (RBS) và NatWest là những ngân hàng đầu tiên của Anh cung cấp dịch vụ đăng nhập vào ngân hàng di động (mobile banking) thông qua công nghệ dấu vân tay. Không như Bank of America, công nghệ của RBS và NatWest lại chỉ tương thích với Touch ID trên iPhone. Dù vậy, việc thiết bị Android không được hỗ trợ tính năng này không phải là vấn đề quá lớn vì trung bình có 1,8 triệu người dùng iPhone truy cập ứng dụng di động của RBS và NatWest khoảng 40 lần trong một tháng.
Tương tự như Barclays, Wells Fargo của Mỹ giới thiệu tính năng bảo mật tăng cường cho nhóm khách hàng doanh nghiệp. Những người sử dụng ứng dụng ngân hàng di động CEO của Wells Fargo, bao gồm các kế toán trưởng, giám đốc tài chính, người có tài sản lớn…, có thể chọn lựa giữa hai phương pháp bảo mật sinh trắc học. Phương pháp thứ nhất liên quan đến dữ liệu giọng nói và gương mặt. Phương pháp thứ hai yêu cầu chụp ảnh lòng trắng mắt; các mẫu tĩnh mạch màu đỏ độc nhất trong mắt được dùng để xác định một cá nhân và cấp quyền truy cập vào ứng dụng. Secil Watson, người phụ trách Giải pháp Internet của Wells Fargo, cho biết việc bảo mật bằng mật khẩu là không đủ với nhóm khách hàng doanh nghiệp. Bà tin tưởng công nghệ mới nói trên sẽ được áp dụng rộng rãi trong vài năm tới vì nhu cầu cho giải pháp bảo mật - an toàn thông tin đang tăng mạnh trên toàn cầu.
Một tên tuổi lớn khác là Citibank đã nhận được hai giải thưởng về dịch vụ tài chính của Gartner trong năm 2015 nhờ dự án nhận diện sinh trắc giọng nói. Phương pháp mới này sử dụng giọng nói để tự động xác định một khách hàng khi người đó đang giải thích vấn đề cho nhân viên chăm sóc khách hàng qua điện thoại. Hệ thống loại bỏ quy trình rối rắm trong việc xác minh danh tính thông qua số ID, thông tin cá nhân, cho phép nhân viên tư vấn nhanh hơn. Chỉ mất chưa đầy một phút để tạo mẫu giọng nói và đến tháng 2 năm nay đã có hơn 250.000 khách hàng ở Mỹ đăng ký. Theo Giám đốc hành chính Andrew S.Keen của Citibank, công nghệ sinh trắc giọng nói sẽ giúp thay đổi cơ bản sự trải nghiệm của khách hàng, từ “Quý khách là ai?” sang “Tôi có thể giúp gì cho quý khách?”.
Con người vẫn là nhân tố hàng đầu
Với các ngân hàng, hãng công nghệ và doanh nghiệp đang tìm cách ứng dụng công nghệ mới về bảo mật, sự thách thức lớn là cảm giác không thoải mái của người sử dụng. Trên thực tế, không ít khách hàng cảm thấy những biện pháp mới về bảo mật thông tin là phiền phức, song sự cam kết về bảo mật và sự quảng bá sâu rộng của các tổ chức tài chính có thể giải quyết những mối lo đó. Khi nhiều tổ chức tài chính hàng đầu đầu tư vào những công nghệ bảo mật mới, các tổ chức khác sẽ có xu hướng làm theo. Công nghệ sinh trắc học đang cho thấy nhiều điều hứa hẹn trong lĩnh vực bán lẻ và tài chính, dịch vụ. Dù còn nhiều mối trở ngại phải vượt qua, nó chắc chắn đóng vai trò quan trọng trong hoạt động kinh doanh, thương mại và cộng đồng trong tương lai.
Quay trở lại với câu chuyện ở Việt Nam. Theo Ngân hàng Nhà nước, việc rà soát về an ninh - bảo mật là hoạt động thường xuyên diễn ra hằng năm, chứ không phải khi có sự việc xảy ra thì ngành ngân hàng mới chợt nhớ ra và mới tính đến chuyện nâng cấp hoặc trang bị bổ sung. Và trong các văn bản gần đây của mình, cơ quan này đã yêu cầu các tổ chức tín dụng, các tổ chức cung ứng dịch vụ thanh toán khẩn trương kiểm tra lại mạng lưới ATM của mình theo từng địa bàn tỉnh, thành phố, bảo đảm tuân thủ các quy định về trang bị, quản lý, vận hành và tính an toàn của máy giao dịch tự động; chủ động theo dõi, thông tin kịp thời các ý kiến phản ánh của dư luận về những vấn đề phát sinh trong hoạt động ATM của đơn vị mình.
Các ngân hàng còn được yêu cầu giám sát chặt chẽ các giao dịch để kịp thời phát hiện các giao dịch đáng ngờ, gian lận dựa vào việc xác định thời gian, vị trí địa lý, tần suất và số tiền giao dịch, số lần xác thực sai quy định và các dấu hiệu bất thường khác để ngăn chặn và cảnh báo cho khách hàng; phân công cán bộ trực 24/7 giám sát hoạt động và nhật ký của các hệ thống công nghệ thông tin quan trọng để kịp thời phát hiện và xử lý các lỗ hổng bảo mật, các cuộc truy nhập trái phép, các cuộc tấn công (nếu có).
Trong cuộc trao đổi với báo giới, ông Lê Mạnh Hùng, Cục trưởng Cục Công nghệ tin học, Ngân hàng Nhà nước, cho biết OTP (mật khẩu sử dụng một lần) là công nghệ sử dụng trong hoạt động thanh toán trực tuyến và hiện nay đang được sử dụng rất phổ biến trên thế giới vì các lợi ích nó mang lại như triển khai dễ dàng, chi phí rẻ và thuận tiện khi sử dụng. Tuy nhiên, OTP cũng có những điểm hạn chế nhất định về mặt công nghệ. Về phía Ngân hàng Nhà nước, để đảm bảo an toàn trong việc thanh toán, cũng có quy định về việc sử dụng công nghệ cho các hạn mức khác nhau, ví dụ như đối với những giá trị thanh toán từ 500 triệu đồng trở lên thì phải sử dụng các hình thức bảo mật như sử dụng khóa PKI hoặc xác thực sinh trắc học để bảo đảm tính an toàn. Đối với các khoản thanh toán nhỏ có thể dùng công nghệ xác thực hai nhân tố. Tuy vậy, không phải lỗi của OTP gây mất tài sản hoặc mất tính an toàn, vấn đề là sử dụng công nghệ đó như thế nào.
Đối với khách hàng cần bảo mật thông tin về tên hoặc mật khẩu đăng nhập các dịch vụ ngân hàng điện tử: không cung cấp các thông tin đó cho bất kỳ ai (kể cả nhân viên ngân hàng) qua điện thoại, e-mail, mạng xã hội…; bảo vệ điện thoại hoặc thiết bị di động của mình khi sử dụng các thiết bị này cho các dịch vụ ngân hàng trực tuyến như cài đặt phần mềm phòng chống mã độc hại, thiết lập tính năng xác thực khi truy cập (bằng mật mã hoặc vân tay…).
Đối với mật mã truy cập dịch vụ ngân hàng điện tử: người sử dụng cần cài đặt mật mã khó đoán, thay đổi mật mã thường xuyên và không sử dụng các tính năng lưu mật mã để đăng nhập tự động; hạn chế sử dụng máy tính công cộng, mạng không dây công cộng khi truy cập vào hệ thống ngân hàng điện tử; gõ trực tiếp địa chỉ các trang web ngân hàng điện tử thay vì chọn đường dẫn (link) có sẵn.
Ngoài ra, có một yêu cầu đơn giản nhưng thiết yếu, đó là khách hàng chỉ thực hiện việc đăng nhập trên trang web chính thức của các ngân hàng và mua sắm, thanh toán trực tuyến tại các trang mạng có uy tín, đáng tin cậy.
Theo Minh Anh (TBKTSG)