Bảo mật ngân hàng: Đèn nhà ai, nhà nấy rạng

Khoảng trống giao dịch ngân hàng trực tuyến Với mục tiêu đánh giá đúng thực trạng tình hình an ninh, an toàn trong thanh toán điện tử và thanh toán thẻ tại Việt Nam, hội nghị được NHNN tổ chức ngày 8/9 tại 64 điểm cầu trên cả nước. Đánh giá từ đại diện Cục Cảnh sát phòng, chống tội phạm sử dụng công nghệ cao (C50 - Bộ Công an), hệ thống thanh toán điện tử, thanh toán thẻ của các ngân hàng Việt Nam đảm bảo an toàn, các đối tượng chủ yếu lợi dụng sơ hở phía người sử dụng để thực hiện hành vi phạm tội. Tuy vậy, các ngân hàng cũng không nên chủ quan, với tình hình và xu hướng tội phạm công nghệ cao hiện nay.

Khách hàng cần bảo mật khi giao dịch bằng thẻ ATM. Ảnh: Thanh Hải

Các hình thức để chiếm đoạt thông tin tài khoản ngân hàng được C50 cung cấp tại hội nghị như (gọi điện giả mạo yêu cầu cung cấp thông tin, gửi email lừa đảo, giả mạo, nghe lén thông tin, lây nhiễm mã độc…). Trong số đó phương thức lừa đảo phishing nổi cộm hơn cả. Cách thức cơ bản của loại hình tấn công này là tin tặc sẽ thực hiện xây dựng một website giả mạo có giao diện giống hệt website của ngân hàng để lừa người dùng truy cập vào để lấy thông tin và mật khẩu. Đại diện C50 cũng chỉ ra những hạn chế của ngân hàng như camera an ninh ở các điểm đặt ATM bố trí chưa hợp lý, thường được đặt ở phía trên cao nên khi cần kiểm tra, xác minh không có được hình ảnh trực diện mặt của người rút tiền, chất lượng hình ảnh kém hoặc bị người rút tiền đội mũ, đeo khẩu trang. Ngoài ra, việc sử dụng cơ sở hạ tầng của một bên thứ ba khi kết nối với hệ thống chuyển tiền toàn cầu (SWIFT) đang là một điểm yếu để tin tặc khai thác truy cập vào hệ thống thanh toán của các ngân hàng để lấy cắp tiền. “Năm 2014, 2015 Cục C50 đã phát hiện, thông báo và kiến nghị NHNN yêu cầu các ngân hàng thương mại kiểm tra, lắp đặt phần mềm và thiết bị anti-Skimming tại cây ATM. Tuy nhiên tội phạm này vẫn tiếp tục hoạt động với những thủ đoạn tinh vi hơn đòi hỏi các ngân hàng phải ứng dụng những công nghệ có tính bảo mật cao hơn” - Đại tá Trần Văn Doanh - Cục Cảnh sát phòng, chống tội phạm sử dụng công nghệ cao (C50) Bộ Công an nhấn mạnh. Phải có các nguyên tắc chung về yêu cầu bảo mật Chia sẻ tại hội nghị, ông Trần Công Quỳnh Lân – Phó Tổng Giám đốc Ngân hàng TMCP Công thương (VietinBank) cho biết, hiện nay, ngoài xu hướng dùng token với khả năng ký giao dịch (transaction signing), đã xuất hiện một số công nghệ tiên tiến như công nghệ xác thực sinh trắc học qua vân tay, qua ánh mắt, qua giọng nói… Các ngân hàng Việt Nam cần tiếp cận tìm hiểu những công nghệ mới này để tăng cường an toàn bảo mật thêm cho khách hàng của mình. Ngoài ra, ngân hàng cũng nên đầu tư công nghệ xác thực, cảnh báo rủi ro theo hành vi khách hàng, đưa công nghệ vào phân tích và giám sát thói quen giao dịch của khách hàng nhằm phát hiện và ngăn chặn những rủi ro có thể xảy đến trong thanh toán trực tuyến. Tuy vậy, đại diện VietinBank cũng cho biết, khó khăn hiện nay, đầu tư cho bảo mật đồng nghĩa với việc tăng thêm chi phí, giảm lợi nhuận. Do đó, để bảo đảm về lợi nhuận, các ngân hàng đang buộc phải thu phí khách hàng cho các tính năng tăng cường bảo mật, trong khi bản thân khách hàng lại không hiểu rõ về giá trị của các tính năng này. “Trên thực tế, trong nhiều trường hợp, các tính năng này còn gây nhiều phiền toái cho khách hàng. Chính vì thế, có một sự thật trớ trêu là đầu tư về bảo mật cho hệ thống online banking lại làm cho hệ thống giảm sức cạnh tranh, khiến nhiều ngân hàng e ngại” - ông Lân chia sẻ. Sau những sự cố thời gian qua, cùng với việc rà soát lại toàn bộ quy trình khi triển khai dịch vụ NH điện tử, các ngân hàng luôn có bộ phận quản trị an ninh mạng, gồm các lập trình viên và kiểm thử viên luôn trực 24/24 giờ. Bộ phận kiểm toán IT và bộ phận “đánh phá”, hoặc thuê công ty ngoài “đánh phá” được thực hiện thường xuyên để test hệ thống và trám các lỗ hổng bảo mật. Riêng chi phí cho việc này ở một ngân hàng cỡ trung bình ít nhất 2 - 5 triệu USD/năm. Ngoài ra, các ngân hàng còn phải có các chi phí khác như đầu tư các thiết bị hệ thống có sẵn (phần mềm, phần cứng) hàng năm trung bình 3 - 5 triệu USD nữa. Thêm 2 triệu USD đầu tư cho việc bảo trì bảo dưỡng hệ thống an toàn, các chi phí này chưa kể đến hệ thống back up hay dự phòng khi có sự cố xảy ra… Từ thực tế trên, các ngân hàng kiến nghị cần phải có các nguyên tắc chung về yêu cầu bảo mật, áp dụng triển khai đồng bộ trên toàn hệ thống ngân hàng, với sự chỉ đạo từ NHNN. Từ đó các ngân hàng hoàn toàn có thể cạnh tranh trên cùng một mặt bằng tiêu chuẩn bảo mật và khách hàng đều quen thuộc với một phương thức xác thực của các ngân hàng. Theo đại diện C50, các ngân hàng thương mại phải thường xuyên kiểm tra, rà soát hệ thống CNTT để sớm phát hiện các lỗ hổng bảo mật, mã độc,... có nguy cơ làm lộ, lọt thông tin của khách hàng. NHNN cũng đã chỉ đạo các ngân hàng thương mại kiểm tra, rà soát và thực hiện đầy đủ các bước theo qui định về hoạt động thanh toán thẻ và hoạt động thanh toán trực tuyến...