Đây là yêu cầu mới tại Thông tư số 77/2025 của Ngân hàng Nhà nước (NHNN) vừa ban hành sửa đổi, bổ sung một số điều của Thông tư 50/2024.
Các điều khoản nhằm tăng cường an toàn, bảo mật cho việc cung cấp dịch vụ trực tuyến trong bối cảnh tội phạm công nghệ cao đang lợi dụng tài khoản doanh nghiệp “ma” và các công nghệ tinh vi như Deepfake (giả mạo gương mặt người khác bằng AI) hoặc mã độc để lừa đảo, chiếm đoạt tài sản.
Theo đó, các app ngân hàng số sẽ phải tự động thoát hoặc dừng hoạt động và thông báo cho người dùng nếu phát hiện 3 dấu hiệu gian lận, can thiệp trái phép hoặc rủi ro an toàn sau.
Một là, phát hiện có trình gỡ lỗi (debugger) được gắn vào hoặc môi trường có trình gỡ lỗi đang hoạt động, hoặc khi ứng dụng chạy trong môi trường giả lập (emulator)/máy ảo/thiết bị giả lập; hoặc hoạt động ở chế độ cho phép máy tính giao tiếp trực tiếp với thiết bị chạy Android (Android Debug Bridge).
Hai là, app bị chèn mã bên ngoài ứng dụng khi đang chạy, thực hiện các hành vi như theo dõi các hàm được chạy, ghi lại log dữ liệu truyền qua các hàm, API, hoặc ứng dụng bị can thiệp, đóng gói lại.
Ba là, thiết bị đã bị bẻ khóa (root/jailbreak) hoặc đã bị mở khóa cơ chế bảo vệ (unlock bootloader).
Ngoài ra, Thông tư 77 cũng siết chặt việc kiểm soát phiên bản Mobile Banking được phát hành. Theo đó, định kỳ tối thiểu 3 tháng một lần, đơn vị phải đánh giá an toàn, bảo mật của các phiên bản phần mềm ứng dụng đang cho phép khách hàng cài đặt, sử dụng nhằm xác định các lỗ hổng bảo mật và đánh giá khả năng bị can thiệp bởi tội phạm.
Khi kích hoạt trên thiết bị mới hoặc kích hoạt lại ứng dụng Mobile Banking, khách hàng phải cài đặt, sử dụng phiên bản mới nhất hoặc phiên bản gần nhất bảo đảm các yêu cầu về an toàn, bảo mật theo quy định. Đơn vị phải có giải pháp kiểm soát không cho phép hạ phiên bản (downgrading) xuống sử dụng các phiên bản thấp hơn trong trường hợp này.
Khi phát hiện có lỗ hổng bảo mật được đánh giá ở mức cao hoặc nghiêm trọng, đơn vị phải có biện pháp kiểm tra, không cho thực hiện giao dịch hoặc có biện pháp kiểm soát nhằm phòng chống tội phạm lợi dụng lỗ hổng bảo mật để tấn công mạng, thực hiện các giao dịch gian lận, chiếm đoạt tài sản.
Đơn vị phải thực hiện xử lý, khắc phục, cập nhật ngay phiên bản mới trong thời gian theo quy định.
Bên cạnh đó, quy định không cho phép chức năng ghi nhớ mã khóa bí mật truy cập, trừ trường hợp áp dụng hình thức xác nhận theo quy định tại thông tư.
Về mặt công nghệ xác thực, để đối phó với làn sóng lừa đảo sử dụng trí tuệ nhân tạo (AI), NHNN yêu cầu các giải pháp phát hiện giả mạo sinh trắc học phải đạt chuẩn quốc tế ISO 30107 cấp độ 2 hoặc tương đương.
Thông tư 77 sẽ chính thức có hiệu lực từ ngày 1/3. Lộ trình áp dụng cụ thể đối với các quy định về thanh toán trực tuyến cho khách hàng cá nhân và tổ chức sẽ lần lượt được triển khai vào tháng 7 và tháng 10/2026.
