Từ 1/3/2026, Mobile Banking phải đáp ứng chuẩn bảo mật mới

Ngân hàng Nhà nước Việt Nam (NHNN) vừa ban hành Thông tư số 77/2025/TT-NHNN sửa đổi, bổ sung một số điều của Thông tư 50/2024/TT-NHNN, trong bối cảnh giao dịch ngân hàng số ngày càng phổ biến và các hình thức tội phạm công nghệ cao diễn biến phức tạp. Thông tư này sẽ chính thức có hiệu lực từ ngày 1/3/2026.

Một trong những điểm đáng chú ý của Thông tư 77 là quy định chặt chẽ hơn về quản lý phiên bản ứng dụng Mobile Banking. Theo đó, tối thiểu 3 tháng một lần, các tổ chức tín dụng phải tổ chức đánh giá mức độ an toàn, bảo mật đối với các phiên bản ứng dụng đang được phép cài đặt và sử dụng, nhằm kịp thời phát hiện, khắc phục các lỗ hổng và nguy cơ bị tội phạm mạng lợi dụng.

Từ 1/3/2026, Mobile Banking phải đáp ứng chuẩn bảo mật mới

Trường hợp khách hàng kích hoạt ứng dụng Mobile Banking trên thiết bị mới hoặc thực hiện kích hoạt lại, tổ chức tín dụng chỉ được phép cho phép sử dụng phiên bản mới nhất hoặc phiên bản gần nhất đáp ứng đầy đủ yêu cầu về an toàn, bảo mật. Đồng thời, các đơn vị phải triển khai giải pháp kỹ thuật để ngăn chặn việc hạ cấp ứng dụng xuống các phiên bản thấp hơn – vốn tiềm ẩn nguy cơ mất an toàn thông tin.

Thông tư cũng quy định rõ trách nhiệm của tổ chức tín dụng khi phát hiện lỗ hổng bảo mật được đánh giá ở mức cao hoặc nghiêm trọng. Cụ thể, các đơn vị phải kịp thời áp dụng biện pháp kiểm soát, bao gồm hạn chế hoặc tạm dừng giao dịch nhằm phòng ngừa việc lợi dụng lỗ hổng để tấn công hệ thống, thực hiện giao dịch gian lận, chiếm đoạt tài sản của khách hàng. Song song đó là yêu cầu khẩn trương xử lý, khắc phục và cập nhật phiên bản ứng dụng mới theo thời hạn quy định.

Bên cạnh yêu cầu về quản lý phiên bản, Thông tư 77/2025/TT-NHNN còn đặt ra nghĩa vụ triển khai các giải pháp kỹ thuật nhằm phòng ngừa và phát hiện hành vi can thiệp trái phép vào ứng dụng Mobile Banking trên thiết bị của khách hàng. Ứng dụng phải tự động dừng hoạt động hoặc thoát khỏi hệ thống và thông báo rõ lý do cho người dùng nếu phát hiện thiết bị có dấu hiệu bị gắn trình gỡ lỗi, chạy trên môi trường giả lập, bị chèn mã, can thiệp trái phép, hoặc đã bị root, jailbreak hay mở khóa bootloader.

Đáng chú ý, trước xu hướng gia tăng các hình thức gian lận sử dụng trí tuệ nhân tạo, đặc biệt là công nghệ deepfake, NHNN yêu cầu giải pháp phát hiện giả mạo sinh trắc học (Presentation Attack Detection – PAD) phải đạt tiêu chuẩn quốc tế ISO 30107 cấp độ 2 hoặc tương đương. Đồng thời, các giải pháp này phải được các tổ chức uy tín như Liên minh FIDO công nhận, nhằm nâng cao mức độ tin cậy trong xác thực người dùng và bảo đảm an toàn giao dịch ngân hàng số.