An ninh mạng trong lĩnh vực ngân hàng số: Thách thức và Giải pháp

TÓM TẮT

Trong bối cảnh chuyển đổi số mạnh mẽ, ngân hàng số (Digital Banking) đã trở thành một xu thế tất yếu, mang lại nhiều tiện ích vượt trội cho người dùng và thúc đẩy sự phát triển của nền kinh tế. Tuy nhiên, sự phát triển này cũng đi kèm với những rủi ro và thách thức ngày càng gia tăng về an ninh mạng, đe dọa trực tiếp đến tài sản của khách hàng và uy tín của các tổ chức tài chính. Báo cáo này tập trung vào việc nhận diện các thách thức an ninh mạng cốt lõi trong lĩnh vực ngân hàng số và đề xuất một hệ thống các giải pháp toàn diện nhằm tăng cường khả năng phòng thủ.

Trên cơ sở tổng quan hóa lý thuyết và phân tích các trường hợp thực tiễn, báo cáo đã chỉ ra các mối đe dọa nổi bật bao gồm các cuộc tấn công lừa đảo (phishing) ngày càng tinh vi, sự lây lan của mã độc (malware), các lỗ hổng trên nền tảng ứng dụng web/di động, cùng với những rủi ro tiềm ẩn đến từ yếu tố nội bộ và nhận thức hạn chế của người dùng. Để đối phó với những thách thức này, các nhóm giải pháp đồng bộ đã được đề xuất, tập trung vào ba trụ cột chính: (1) Công nghệ: áp dụng trí tuệ nhân tạo (AI) trong phát hiện gian lận, triển khai xác thực đa yếu tố (MFA) và kiến trúc Zero Trust; (2) Quy trình: xây dựng trung tâm điều hành an ninh (SOC) và các quy trình ứng phó sự cố chặt chẽ; và (3) Con người: tăng cường đào tạo nhận thức cho nhân viên và giáo dục khách hàng.

Báo cáo khẳng định rằng, việc đảm bảo an ninh mạng cho ngân hàng số không chỉ là một bài toán kỹ thuật đơn thuần mà là một nhiệm vụ chiến lược, đòi hỏi sự đầu tư đồng bộ và cách tiếp cận toàn diện để xây dựng một môi trường giao dịch số an toàn và bền vững.

Từ khóa: An ninh mạng, ngân hàng số, an toàn thông tin, tấn công mạng, tài chính - ngân hàng, FinTech.

Ảnh minh họa - TL

I. ĐẶT VẤN ĐỀ

1.1. Bối cảnh và tính cấp thiết của đề tài

Thế giới đang chứng kiến những bước chuyển mình mạnh mẽ dưới tác động của Cuộc Cách mạng công nghiệp lần thứ tư (CMCN 4.0), trong đó chuyển đổi số đã trở thành một xu thế tất yếu, lan tỏa vào mọi lĩnh vực của đời sống kinh tế - xã hội. Lĩnh vực tài chính - ngân hàng, với vai trò là huyết mạch của nền kinh tế, không nằm ngoài xu thế này. Tại Việt Nam, các ngân hàng thương mại đang trong một cuộc đua quyết liệt nhằm số hóa hoạt động, phát triển các sản phẩm, dịch vụ ngân hàng số (Digital Banking) như Internet Banking, Mobile Banking, thanh toán QR, ví điện tử, và tiến tới mô hình ngân hàng mở (Open Banking). Những nỗ lực này đã mang lại nhiều lợi ích vượt trội: nâng cao trải nghiệm và sự tiện lợi cho khách hàng, tối ưu hóa chi phí vận hành và mở rộng khả năng tiếp cận dịch vụ tài chính cho người dân.

Tuy nhiên, sự phát triển nhanh chóng của ngân hàng số được ví như một "con dao hai lưỡi". Đi cùng với những lợi ích to lớn là những rủi ro và thách thức ngày càng gia tăng về an ninh mạng. Khi các giao dịch tài chính được thực hiện ngày càng nhiều trên không gian mạng, các tổ chức ngân hàng và khách hàng của họ cũng trở thành mục tiêu hàng đầu của tội phạm công nghệ cao. Thực tế cho thấy, các cuộc tấn công mạng nhắm vào lĩnh vực tài chính đang gia tăng không ngừng về số lượng, đồng thời ngày càng trở nên tinh vi và nguy hiểm hơn, có khả năng gây ra những thiệt hại nghiêm trọng về tài chính, làm gián đoạn hoạt động kinh doanh và bào mòn lòng tin của công chúng.

Trước thực trạng đó, việc đảm bảo an ninh mạng không còn là một lựa chọn hay một hạng mục kỹ thuật đơn thuần, mà đã trở thành yêu cầu bắt buộc, một yếu tố sống còn quyết định sự thành công và phát triển bền vững của mỗi ngân hàng trong kỷ nguyên số. Vì vậy, việc nghiên cứu một cách có hệ thống các thách thức và đề xuất các giải pháp khả thi nhằm củng cố "lá chắn" an ninh mạng cho lĩnh vực ngân hàng số tại Việt Nam là một nhiệm vụ mang tính cấp thiết cả về lý luận và thực tiễn.

1.2. Mục tiêu nghiên cứu

Nghiên cứu này hướng đến mục tiêu tổng quát là phân tích một cách hệ thống các thách thức an ninh mạng trọng yếu mà lĩnh vực ngân hàng số đang phải đối mặt, từ đó đề xuất một hệ thống các giải pháp mang tính đồng bộ và khả thi nhằm tăng cường năng lực phòng thủ, bảo vệ an toàn cho hệ thống và người dùng.

Để thực hiện mục tiêu tổng quát đó, báo cáo tập trung vào các mục tiêu cụ thể sau:

• Một là, hệ thống hóa và làm rõ các cơ sở lý luận về ngân hàng số và an ninh mạng trong lĩnh vực tài chính - ngân hàng.
• Hai là, nhận diện, phân loại và phân tích sâu sắc thực trạng các hình thức tấn công, các rủi ro và thách thức an ninh mạng điển hình mà các ngân hàng số tại Việt Nam đang phải đối mặt.
• Ba là, trên cơ sở các phân tích đó, đề xuất các nhóm giải pháp toàn diện về mặt công nghệ, quy trình quản lý và yếu tố con người nhằm nâng cao hiệu quả đảm bảo an ninh mạng.

1.3. Đối tượng và phạm vi nghiên cứu

• Đối tượng nghiên cứu: Đối tượng nghiên cứu của báo cáo là các hoạt động đảm bảo an ninh mạng, bao gồm các thách thức, rủi ro và các giải pháp phòng chống, ứng phó trong lĩnh vực ngân hàng số.
• Phạm vi nghiên cứu:
• Về nội dung: Nghiên cứu tập trung vào các khía cạnh chính của an ninh mạng như các mối đe dọa từ bên ngoài và bên trong, các lỗ hổng kỹ thuật, các vấn đề về nhận thức người dùng và các giải pháp công nghệ, quản lý tương ứng.
• Về không gian: Nghiên cứu tập trung chủ yếu vào thực trạng tại các ngân hàng thương mại Việt Nam, có tham chiếu và so sánh với kinh nghiệm quốc tế để đưa ra các đề xuất phù hợp.
• Về thời gian: Số liệu, thông tin và các trường hợp phân tích được giới hạn trong khoảng 5 năm trở lại đây (từ năm 2020 đến nay), giai đoạn chứng kiến sự phát triển bùng nổ của ngân hàng số và các vấn đề an ninh mạng liên quan.

II. CƠ SỞ LÝ LUẬN VÀ CÁC NGHIÊN CỨU LIÊN QUAN

Phần này này tập trung vào tổng quan cơ sở lý thuyết, thực trạng và các nghiên cứu liên quan đến Ngân hàng số (Digital Banking) và An ninh mạng (Cybersecurity) và hệ thống hóa các khung pháp lý và tiêu chuẩn liên quan, tạo cơ sở cho việc phân tích thực trạng thách thức và đề xuất giải pháp ở các chương sau.

2.1. Tổng quan về Ngân hàng số (Digital Banking)

2.1.1. Khái niệm Ngân hàng số

Trong bối cảnh chuyển đổi số, các thuật ngữ Ngân hàng điện tử và Ngân hàng số thường được sử dụng. Theo đó Ngân hàng số là bước phát triển tiếp theo của Ngân hàng điện tử.

• Ngân hàng điện tử (E-Banking): Là hình thức số hóa các kênh giao tiếp và tin học hoá các dịch vụ ngân hàng truyền thống. E-Banking cho phép khách hàng thực hiện các giao dịch cơ bản như truy vấn số dư, chuyển khoản, thanh toán hóa đơn thông qua các phương tiện điện tử như website (Internet Banking) hoặc điện thoại thông minh, máy tính bảng (SMS Banking, Mobile Banking). Về bản chất, E-Banking là việc "đưa các dịch vụ truyền thống lên môi trường trực tuyến".
• Ngân hàng số (Digital Banking): Là một khái niệm rộng hơn, bao hàm cả E-Banking nhưng không giới hạn ở đó. Ngân hàng số là quá trình chuyển đổi toàn diện mô hình kinh doanh của một ngân hàng, từ các quy trình nội bộ, văn hóa tổ chức, cho đến cách thức tương tác và cung cấp giá trị cho khách hàng. Nó không chỉ là số hóa kênh giao tiếp mà là số hóa toàn bộ hoạt động, ứng dụng công nghệ tiên tiến như Dữ liệu lớn (Big Data), Trí tuệ nhân tạo (AI), Điện toán đám mây (Cloud Computing) để tạo ra trải nghiệm khách hàng liền mạch, cá nhân hóa và chủ động. Nếu E-Banking là một phần của chiến lược, thì Digital Banking chính là chiến lược.

2.1.2. Các thành phần chính và kiến trúc công nghệ

Kiến trúc công nghệ của một ngân hàng số hiện đại thường được xây dựng theo nhiều lớp để đảm bảo tính linh hoạt, bảo mật và khả năng mở rộng. Các thành phần chính bao gồm:

• Lớp giao diện người dùng (Presentation Layer): Đây là lớp mà khách hàng tương tác trực tiếp, bao gồm các ứng dụng Mobile Banking, trang web Internet Banking, và các giao diện tại chi nhánh.
• Lớp Giao diện lập trình ứng dụng (API Layer): Lớp trung gian này đóng vai trò cầu nối, cho phép lớp giao diện người dùng giao tiếp an toàn với các hệ thống lõi. Các API (Application Programming Interface) là thành phần then chốt cho phép tích hợp với các đối tác thứ ba (FinTech) và phát triển hệ sinh thái Ngân hàng mở.
• Lớp lõi ngân hàng (Core Banking Layer): Là "trái tim" của ngân hàng, chịu trách nhiệm xử lý các giao dịch cốt lõi, quản lý tài khoản, sổ cái và các nghiệp vụ cơ bản khác.
• Lớp dữ liệu và phân tích (Data & Analytics Layer): Nơi lưu trữ, xử lý và phân tích khối lượng dữ liệu khổng lồ của ngân hàng để đưa ra các quyết định kinh doanh, quản lý rủi ro và cá nhân hóa dịch vụ.
• Lớp hạ tầng (Infrastructure Layer): Bao gồm các máy chủ, hệ thống lưu trữ, mạng và trung tâm dữ liệu. Hiện nay, có xu hướng dịch chuyển hạ tầng này lên nền tảng điện toán đám mây để tăng tính linh hoạt và giảm chi phí.

2.1.3. Các dịch vụ phổ biến

Các dịch vụ của ngân hàng số rất đa dạng, trong đó nổi bật là:

• Internet Banking: Cung cấp dịch vụ ngân hàng qua trình duyệt web trên máy tính, phù hợp cho các giao dịch phức tạp, quản lý tài chính doanh nghiệp.
• Mobile Banking: Cung cấp dịch vụ qua ứng dụng di động chuyên biệt. Đây đang là kênh giao dịch chủ đạo nhờ sự tiện lợi, nhanh chóng và tích hợp nhiều tính năng như thanh toán QR, sinh trắc học.
• API Banking (Ngân hàng mở - Open Banking): Là mô hình kinh doanh mới, nơi ngân hàng cung cấp các API cho phép các công ty công nghệ tài chính (FinTech) và các nhà cung cấp dịch vụ khác xây dựng các ứng dụng và dịch vụ mới trên nền tảng của ngân hàng (với sự cho phép của khách hàng), tạo ra một hệ sinh thái tài chính đa dạng và kết nối.

2.2. Tổng quan về An ninh mạng trong lĩnh vực tài chính - ngân hàng

2.2.1. Khái niệm An ninh mạng

An ninh mạng (Cybersecurity) là tập hợp các hoạt động, biện pháp nhằm bảo vệ các hệ thống mạng, máy tính, thiết bị di động, dữ liệu và các chương trình khỏi các cuộc tấn công, truy cập, sử dụng, phá hoại hoặc tiết lộ trái phép. Mục tiêu của an ninh mạng là đảm bảo tính bí mật, toàn vẹn và sẵn sàng của thông tin và hệ thống.

2.2.2. Đặc điểm của an ninh mạng trong lĩnh vực tài chính - ngân hàng

An ninh mạng trong lĩnh vực tài chính - ngân hàng có những đặc điểm riêng biệt và yêu cầu khắt khe hơn so với nhiều lĩnh vực khác:

• Là mục tiêu hàng đầu của tội phạm mạng: Các tổ chức tài chính lưu trữ và xử lý tài sản có giá trị nhất – tiền và dữ liệu nhạy cảm, do đó luôn là mục tiêu hấp dẫn số một.
• Yêu cầu về lòng tin và uy tín là tuyệt đối: Lòng tin là nền tảng của ngành ngân hàng. Một sự cố an ninh mạng dù nhỏ cũng có thể gây khủng hoảng niềm tin, dẫn đến những thiệt hại không thể đo đếm được.
• Hệ thống công nghệ phức tạp: Các ngân hàng thường vận hành các hệ thống kế thừa (legacy) cũ kỹ song song với các nền tảng kỹ thuật số hiện đại, tạo ra các bề mặt tấn công phức tạp và khó quản lý.
• Tuân thủ pháp lý nghiêm ngặt: Ngành ngân hàng chịu sự quản lý chặt chẽ của nhà nước và các tổ chức quốc tế nhằm bảo vệ người tiêu dùng và sự ổn định của hệ thống tài chính.

2.2.3. Khung pháp lý và các tiêu chuẩn liên quan

Hoạt động an ninh mạng trong ngành ngân hàng được điều chỉnh bởi một hệ thống các văn bản pháp luật và tiêu chuẩn kỹ thuật chặt chẽ.

• Luật An ninh mạng Việt Nam: Luật số 24/2018/QH14 quy định các nguyên tắc, biện pháp bảo vệ an ninh mạng; phòng, chống các hành vi xâm phạm an ninh mạng. Luật yêu cầu các tổ chức sở hữu hệ thống thông tin quan trọng về an ninh quốc gia, bao gồm hệ thống ngân hàng, phải thực hiện các biện pháp thẩm định, đánh giá và giám sát an ninh thông tin.
• Các quy định của Ngân hàng Nhà nước (NHNN): NHNN đã ban hành nhiều thông tư quan trọng, điển hình là Thông tư 09/2020/TT-NHNN quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng. Thông tư này đặt ra các yêu cầu cụ thể về việc phân loại hệ thống thông tin, quản lý rủi ro, các biện pháp an toàn cho Internet Banking, Mobile Banking, và quy trình ứng phó sự cố.
• Các tiêu chuẩn quốc tế: Để tăng cường an ninh và hội nhập, các ngân hàng Việt Nam thường áp dụng các tiêu chuẩn quốc tế uy tín, bao gồm:
• PCI DSS (Payment Card Industry Data Security Standard): Tiêu chuẩn An ninh dữ liệu ngành thẻ thanh toán, là một bộ yêu cầu bắt buộc đối với tất cả các tổ chức xử lý, lưu trữ hoặc truyền tải dữ liệu thẻ tín dụng.
• ISO/IEC 27001: Là tiêu chuẩn quốc tế về Hệ thống Quản lý An toàn thông tin (ISMS), cung cấp một khuôn khổ toàn diện để xác định, đánh giá và xử lý các rủi ro an ninh thông tin một cách có hệ thống.

2.3 Thực trạng và thách thức về an ninh mạng trong ngân hàng số tại Việt Nam

2.3.1. Các mối đe dọa từ bên ngoài (External Threats)

Đây là nhóm rủi ro phổ biến và gây ra nhiều thiệt hại nhất, trực tiếp nhắm vào cả hệ thống của ngân hàng và người dùng cuối.

2.3.2. Tấn công lừa đảo (Phishing, Smishing, Vishing)

Đây là hình thức tấn công phi kỹ thuật nhưng lại vô cùng hiệu quả. Tội phạm mạng không tấn công trực tiếp vào hệ thống bảo mật của ngân hàng mà nhắm vào yếu tố con người. Các hình thức phổ biến tại Việt Nam bao gồm:

• Phishing: Kẻ tấn công tạo ra các website giả mạo có giao diện y hệt trang web chính thức của ngân hàng, sau đó gửi email hoặc tin nhắn chứa đường link giả mạo này để dụ dỗ người dùng nhập thông tin đăng nhập (tên tài khoản, mật khẩu) và mã OTP.
• Smishing (SMS Phishing): Tinh vi hơn, kẻ tấn công sử dụng kỹ thuật giả mạo tin nhắn thương hiệu (SMS Brandname) của ngân hàng, khiến tin nhắn lừa đảo nằm chung luồng với các tin nhắn hợp pháp, làm người dùng mất cảnh giác.
• Vishing (Voice Phishing): Kẻ tấn công giả danh nhân viên ngân hàng, công an, hoặc nhân viên nhà mạng gọi điện trực tiếp cho nạn nhân, thông báo các sự cố giả (như tài khoản bị khóa, trúng thưởng, liên quan đến vụ án...) để yêu cầu cung cấp thông tin cá nhân và mã OTP. Gần đây, công nghệ Deepfake còn được sử dụng để tạo ra các cuộc gọi video giả mạo, tăng độ tin cậy cho kịch bản lừa đảo.

2.3.3. Mã độc (Malware) và mã độc tống tiền (Ransomware)

Các loại mã độc được thiết kế chuyên biệt để tấn công lĩnh vực tài chính:

• Banking Trojans/Spyware: Các mã độc này thường được ngụy trang dưới dạng các ứng dụng hợp pháp (dọn rác, trò chơi, ứng dụng của chính phủ...) và phát tán qua các kho ứng dụng không chính thức hoặc link độc hại. Khi được cài đặt trên điện thoại của nạn nhân, chúng có thể ghi lại thao tác bàn phím, chụp màn hình, hoặc tạo ra một lớp phủ đăng nhập giả mạo trên ứng dụng ngân hàng thật để đánh cắp thông tin. Một số loại còn có khả năng đọc trộm tin nhắn chứa mã OTP.
• Ransomware: Mặc dù thường nhắm vào hệ thống doanh nghiệp hơn là người dùng cá nhân, các cuộc tấn công ransomware vào hệ thống máy chủ của ngân hàng có thể mã hóa toàn bộ dữ liệu quan trọng, làm tê liệt hoạt động và đòi những khoản tiền chuộc khổng lồ.

2.3.4. Tấn công từ chối dịch vụ phân tán (DDoS)

Mục tiêu của tấn công DDoS là làm quá tải băng thông hoặc tài nguyên hệ thống (máy chủ web, máy chủ ứng dụng), khiến các dịch vụ ngân hàng số như website hoặc ứng dụng Mobile Banking trở nên không thể truy cập được. Một cuộc tấn công DDoS thành công không chỉ gây thiệt hại trực tiếp về tài chính do gián đoạn kinh doanh mà còn ảnh hưởng nghiêm trọng đến uy tín và niềm tin của khách hàng.

2.3.5. Tấn công vào lỗ hổng ứng dụng web và di động

Các ứng dụng ngân hàng số, dù được đầu tư kỹ lưỡng, vẫn tiềm ẩn các lỗ hổng bảo mật. Tội phạm mạng liên tục dò quét để khai thác các điểm yếu phổ biến theo danh sách của OWASP Top 10 như:

• SQL Injection: Cho phép kẻ tấn công chèn các lệnh SQL độc hại để truy xuất hoặc thao túng cơ sở dữ liệu của ngân hàng.
• Broken Authentication: Khai thác các yếu điểm trong cơ chế xác thực và quản lý phiên đăng nhập để chiếm quyền của người dùng hợp lệ.
• Insecure Design: Lỗi trong thiết kế logic của ứng dụng có thể bị lạm dụng để thực hiện các hành vi gian lận mà không cần bẻ gãy các biện pháp kỹ thuật.

2.3.6. Tấn công vào Giao diện lập trình ứng dụng (API)

Với sự phát triển của mô hình Ngân hàng mở, các API trở thành một bề mặt tấn công mới. Các API không được bảo vệ đúng cách có thể bị khai thác để đánh cắp dữ liệu hàng loạt, thực hiện các giao dịch trái phép, hoặc tấn công từ chối dịch vụ nhắm vào các đối tác FinTech kết nối với ngân hàng.

2.3.7. Các rủi ro từ bên trong (Internal Threats)

Rủi ro nội bộ thường khó phát hiện hơn và có thể gây ra những thiệt hại nặng nề không kém các cuộc tấn công từ bên ngoài.

a) Lỗi do con người (Human Error): Đây là một trong những nguyên nhân hàng đầu gây ra các sự cố an ninh. Nhân viên ngân hàng có thể vô tình:

• Trở thành nạn nhân của một cuộc tấn công lừa đảo.
• Đặt mật khẩu yếu, dễ đoán hoặc tái sử dụng mật khẩu.
• Cấu hình sai các dịch vụ đám mây, làm lộ dữ liệu nhạy cảm ra ngoài internet.
• Gửi nhầm email chứa thông tin khách hàng cho sai người nhận.

b) Nhân viên có hành vi xấu (Malicious Insider): Mối đe dọa từ nhân viên hoặc cựu nhân viên có ý đồ xấu là vô cùng nguy hiểm. Với quyền truy cập hợp pháp vào hệ thống, họ có thể cố tình đánh cắp dữ liệu khách hàng để bán, phá hoại cơ sở dữ liệu, hoặc cài cắm các cửa hậu (backdoor) để truy cập trái phép sau này.

2.3.8. Thách thức về công nghệ, quy trình và tuân thủ

• Thách thức về công nghệ: Tốc độ phát triển công nghệ quá nhanh tạo ra một cuộc chạy đua không ngừng nghỉ giữa đội ngũ an ninh và tội phạm mạng. Việc áp dụng các công nghệ mới như AI, Big Data, Cloud Computing tuy mang lại hiệu quả kinh doanh nhưng cũng tạo ra các bề mặt tấn công mới và đòi hỏi các kỹ năng bảo mật chuyên biệt. Việc bảo vệ một môi trường lai (hybrid) gồm cả hệ thống kế thừa cũ kỹ và nền tảng đám mây hiện đại cũng là một bài toán vô cùng phức tạp.
• Thách thức về quy trình và quản lý: Việc quản lý an ninh cho chuỗi cung ứng ngày càng phức tạp, đặc biệt là rủi ro từ các bên thứ ba như đối tác FinTech, nhà cung cấp dịch vụ công nghệ. Bên cạnh đó, nhiều ngân hàng vẫn chưa có một quy trình ứng phó sự cố đủ linh hoạt và chưa được diễn tập thường xuyên, dẫn đến lúng túng và chậm trễ khi sự cố thực sự xảy ra.
• Thách thức về tuân thủ: Hành lang pháp lý về an ninh mạng và bảo vệ dữ liệu cá nhân tại Việt Nam và trên thế giới liên tục thay đổi (ví dụ: Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân). Các ngân hàng phải chịu áp lực lớn trong việc đầu tư nguồn lực để đảm bảo tuân thủ các quy định này, nếu không sẽ phải đối mặt với các khoản phạt nặng và rủi ro pháp lý.

2.3.9. Phân tích một số trường hợp điển hình

Để minh họa cho các thách thức trên, có thể xem xét một số kịch bản tấn công điển hình đã và đang xảy ra tại Việt Nam:

• Kịch bản 1: Chiến dịch lừa đảo qua SMS Brandname và website giả mạo. Kẻ tấn công đăng ký các tên miền gần giống với tên miền của ngân hàng (ví dụ: vcb-bank.xyz thay vì vcb.com.vn). Sau đó, chúng sử dụng dịch vụ SMS brandname lậu để gửi tin nhắn với tiêu đề của ngân hàng, nội dung cảnh báo tài khoản của người dùng bị khóa hoặc nhận được một khoản tiền lớn, kèm theo đường link đến website giả mạo. Nạn nhân truy cập, nhập thông tin đăng nhập và mã OTP, ngay lập tức toàn bộ thông tin này được gửi về cho kẻ tấn công để chúng chiếm đoạt tiền trong tài khoản.
• Kịch bản 2: Phát tán mã độc đánh cắp thông tin qua ứng dụng giả mạo. Lợi dụng các sự kiện xã hội, kẻ tấn công tạo ra các ứng dụng giả mạo như "Ứng dụng khai báo y tế", "Ứng dụng định danh điện tử VNeID giả", hoặc các ứng dụng dọn rác, game... và phát tán trên mạng xã hội hoặc các website không chính thống. Khi người dùng cài đặt và cấp quyền, mã độc sẽ nằm vùng trong thiết bị. Khi người dùng mở ứng dụng ngân hàng thật, mã độc sẽ hiển thị một lớp phủ đăng nhập giả mạo lên trên để đánh cắp thông tin, đồng thời xin quyền đọc tin nhắn để lấy cắp mã OTP được gửi về.

2.4 Các nghiên cứu liên quan

Hiện vấn đề an ninh mạng trong lĩnh vực tài chính – ngân hàng nói chunhg và ngân hàng số nói riêng đang nhận được sự quan tâm của các nhóm nghiên cứu trong nước và quốc tế. Sau đây là một số kết quả nghiên cứu tiêu biểu liên quan đến an ninh mạng trong ngân hàng số.

1. Hướng nghiên cứu nhận diện và phòng chống tấn công phishing

• Truong, Do & Le (2023) – A comparative analysis of email phishing detection methods (IET, 2023): Đã so sánh nhiều mô hình học sâu, trong đó CNN + LSTM đạt độ chính xác cao nhất (~97%) khi phân loại email phishing.
• Mai D.T. & Nguyễn V.H. (2024) – Improve ML models in detecting website phishing using morphological features in URL (Journal of STIS, 2024): Đã đề xuất trích xuất đặc trưng hình thái học trong URL, giúp tăng độ chính xác của các mô hình ML lên 95% so với baseline.
• Dam Minh Linh et al. (2023) – Real-time phishing detection using deep learning methods: Đã xây dựng hệ thống phát hiện phishing thời gian thực bằng CNN, cho tốc độ phát hiện <1s/giao dịch và độ chính xác 96–98%.

2. Hướng nghiên cứu phát hiện gian lận tài chính (Fraud Detection)

• Md Al-Imran et al. (2024) – Transforming Banking Security: Deep Learning in Fraud Detection Systems: Đã ứng dụng LSTM để phân tích chuỗi giao dịch, phát hiện gian lận với độ chính xác 98,5%, vượt trội so với Random Forest (~92%).
• Nguyen T.T. et al. (2020) – Deep learning methods for credit card fraud detection (arXiv, 2020): Đã sử dụng mô hình Autoencoder & RNN trong nghiên cứu và cho độ chính xác ~95%, phát hiện bất thường trong dữ liệu tín dụng lớn.
• Zhou et al. (2020) – Financial Fraud Detection with Deep Learning & E-Commerce Big Data: Đã kết hợp Stacked Denoising Autoencoder (SDAE) với dữ liệu lớn, cải thiện khả năng phát hiện gian lận trong thương mại điện tử, tăng F1-score thêm 5–7% so với mô hình truyền thống.

3. Hướng nghiên cứu về Blockchain và bảo mật giao dịch

• Li, Jiang, Chen, Luo & Wen (2018) – A Survey on the Security of Blockchain Systems: Đã phân tích 10 loại tấn công blockchain (51% attack, Sybil, Double Spending…) và đề xuất hướng phòng thủ bằng PoS, Sharding.
• Chaudhry et al. (2023) – Zero-trust-based security model in banking using blockchain consensus: Đã đề xuất mô hình Zero-Trust + Blockchain, giúp giảm 35% nguy cơ rò rỉ dữ liệu trong các thử nghiệm mô phỏng ngân hàng.

III. ĐỀ XUẤT CÁC GIẢI PHÁP TĂNG CƯỜNG AN NINH MẠNG CHO NGÂN HÀNG SỐ

Từ việc phân tích thực trạng các mối đe dọa và thách thức ở chương trước, có thể thấy rằng việc bảo vệ hệ thống ngân hàng số đòi hỏi một chiến lược tổng thể, đa tầng và năng động. Không có một giải pháp đơn lẻ nào có thể giải quyết triệt để mọi vấn đề. Thay vào đó, cần có một hệ thống các giải pháp đồng bộ, kết hợp chặt chẽ giữa ba trụ cột chính: Công nghệ - Quy trình - Con người. Chương này sẽ trình bày chi tiết các nhóm giải pháp tương ứng.

3.1. Nhóm giải pháp về Công nghệ

Đây là nhóm giải pháp nền tảng, tạo ra các "lá chắn" kỹ thuật để phòng ngừa, phát hiện và ứng phó với các cuộc tấn công mạng.

3.1.1. Áp dụng Trí tuệ nhân tạo (AI) và Học máy (Machine Learning)

AI và Machine Learning không còn là công nghệ của tương lai mà đã trở thành công cụ đắc lực trong an ninh mạng:

• Phát hiện gian lận thời gian thực: Các hệ thống AI có khả năng phân tích hàng triệu giao dịch mỗi giây, đối chiếu với các mô hình hành vi thông thường của người dùng (số tiền, địa điểm, thời gian, thiết bị giao dịch). Bất kỳ sai lệch đáng ngờ nào, ví dụ một giao dịch chuyển tiền lớn bất thường vào lúc nửa đêm từ một địa điểm lạ, sẽ ngay lập tức bị chặn lại và yêu cầu xác thực tăng cường.
• Phân tích hành vi người dùng và thực thể (UEBA): Giám sát các hành vi bất thường không chỉ của khách hàng mà còn của nhân viên nội bộ, giúp phát hiện sớm các mối đe dọa từ bên trong hoặc các tài khoản đã bị chiếm đoạt.

3.1.2. Triển khai các phương thức xác thực mạnh (Strong Authentication)

Mật khẩu truyền thống đã tỏ ra yếu kém trước các cuộc tấn công tinh vi. Các ngân hàng cần triển khai các phương thức xác thực mạnh mẽ hơn:

• Xác thực đa yếu tố (MFA): Yêu cầu người dùng cung cấp ít nhất hai trong ba loại yếu tố xác thực: điều người dùng biết (mật khẩu), điều người dùng có (mã OTP qua Smart OTP/Token), và điều người dùng là (sinh trắc học). Việc triển khai Smart OTP thay thế cho SMS OTP giúp chống lại việc đánh cắp mã OTP qua tin nhắn.
• Xác thực sinh trắc học (Biometrics): Sử dụng các đặc điểm độc nhất của con người như vân tay, khuôn mặt (Face ID), mống mắt để đăng nhập và xác thực giao dịch, mang lại sự tiện lợi và bảo mật cao.
• Hướng tới các tiêu chuẩn không mật khẩu (Passwordless): Nghiên cứu và áp dụng các tiêu chuẩn mới như FIDO/Passkeys, cho phép người dùng đăng nhập an toàn bằng sinh trắc học trên thiết bị của mình mà không cần nhập mật khẩu, loại bỏ hoàn toàn nguy cơ từ các cuộc tấn công lừa đảo mật khẩu.

3.1.3. Mã hóa toàn diện và Bảo vệ dữ liệu

Dữ liệu là tài sản quý giá nhất, do đó cần được bảo vệ mọi lúc, mọi nơi:

• Mã hóa dữ liệu trên đường truyền (In-Transit): Sử dụng các giao thức mạnh như TLS 1.3 để đảm bảo mọi dữ liệu trao đổi giữa thiết bị của người dùng và máy chủ của ngân hàng đều được mã hóa.
• Mã hóa dữ liệu khi lưu trữ (At-Rest): Mã hóa toàn bộ cơ sở dữ liệu khách hàng, thông tin giao dịch để dù hacker có xâm nhập được vào máy chủ cũng không thể đọc được dữ liệu.
• Triển khai hệ thống chống thất thoát dữ liệu (Data Loss Prevention - DLP): Các hệ thống này giúp giám sát, phát hiện và ngăn chặn các hành vi cố ý hoặc vô ý làm rò rỉ dữ liệu nhạy cảm ra khỏi hệ thống ngân hàng.

3.1.4. Xây dựng kiến trúc an ninh theo chiều sâu (Defense-in-Depth) và Zero Trust

• Phòng thủ theo chiều sâu: Thay vì chỉ dựa vào một lớp bảo vệ duy nhất (như tường lửa), kiến trúc này xây dựng nhiều lớp phòng thủ chồng chéo. Một kẻ tấn công có thể vượt qua lớp ngoài cùng nhưng sẽ bị ngăn chặn bởi các lớp tiếp theo, bao gồm: tường lửa (Firewall), hệ thống phát hiện/phòng chống xâm nhập (IDS/IPS), tường lửa ứng dụng web (WAF), giải pháp bảo mật điểm cuối (Endpoint Security).
• Kiến trúc Zero Trust ("Không bao giờ tin tưởng, luôn xác minh"): Đây là mô hình an ninh hiện đại, loại bỏ quan niệm "tin tưởng" mặc định đối với bất kỳ ai, kể cả người dùng bên trong mạng nội bộ. Mọi yêu cầu truy cập vào tài nguyên, dù từ đâu, đều phải được xác thực chặt chẽ, được cấp quyền ở mức tối thiểu cần thiết (least privilege) và được giám sát liên tục.

3.1.5. Sử dụng các nền tảng phân tích thông tin về mối đe dọa (Threat Intelligence)

Thay vì chờ bị tấn công rồi mới phản ứng, các ngân hàng cần chủ động săn lùng các mối đe dọa. Các nền tảng Threat Intelligence cung cấp thông tin cập nhật về các chiến dịch tấn công mới, các kỹ thuật, chiến thuật của hacker (TTPs), và các lỗ hổng đang bị khai thác. Nguồn thông tin này giúp đội ngũ an ninh có thể chủ động vá lỗi, tinh chỉnh các quy tắc phát hiện và chuẩn bị các kịch bản phòng thủ phù hợp.

3.2. Nhóm giải pháp về Quy trình và Quản lý

Công nghệ dù tốt đến đâu cũng sẽ trở nên vô dụng nếu không có các quy trình vận hành, quản lý chặt chẽ và hiệu quả.

• Xây dựng và thực thi chính sách an ninh thông tin toàn diện: Ban hành các chính sách rõ ràng, bao quát mọi khía cạnh từ quy định về mật khẩu, sử dụng thiết bị cá nhân, làm việc từ xa, cho đến phân loại và xử lý dữ liệu. Quan trọng hơn, các chính sách này phải được truyền thông rộng rãi và có cơ chế kiểm tra, giám sát việc tuân thủ.
• Quản lý rủi ro từ bên thứ ba: Xây dựng một quy trình nghiêm ngặt để đánh giá an ninh của các đối tác FinTech hoặc nhà cung cấp dịch vụ trước khi ký hợp đồng. Đưa các điều khoản ràng buộc về an ninh thông tin vào hợp đồng và thực hiện kiểm tra, đánh giá định kỳ để đảm bảo các đối tác luôn tuân thủ các tiêu chuẩn bảo mật của ngân hàng.
• Tổ chức các chương trình diễn tập ứng phó sự cố (Cyber Drills): Xây dựng một kế hoạch ứng phó sự cố chi tiết là chưa đủ, nó phải được thử nghiệm thường xuyên qua các buổi diễn tập. Các hình thức diễn tập có thể bao gồm: diễn tập trên bàn (tabletop exercise) để thảo luận về kịch bản, hoặc diễn tập thực chiến (Red Team - Blue Team) nơi một đội đóng vai hacker cố gắng xâm nhập và đội còn lại thực hiện phòng thủ.

3.3. Nhóm giải pháp về Con người và Nhận thức

Con người có thể là mắt xích yếu nhất, nhưng cũng có thể trở thành tuyến phòng thủ vững chắc nhất nếu được trang bị đủ kiến thức và nhận thức.

• Đào tạo, nâng cao nhận thức cho toàn bộ nhân viên: Tổ chức các chương trình đào tạo bắt buộc và định kỳ cho tất cả nhân viên về các mối đe dọa an ninh mạng. Đặc biệt, cần triển khai các chiến dịch giả lập tấn công lừa đảo (phishing simulation) để kiểm tra sự cảnh giác của nhân viên và cung cấp các bài học thực tế ngay sau đó. Xây dựng một văn hóa an ninh, nơi mỗi nhân viên đều hiểu vai trò và trách nhiệm của mình trong việc bảo vệ tài sản chung.
• Truyền thông và giáo dục khách hàng: Vì khách hàng là mục tiêu chính của các cuộc tấn công lừa đảo, các ngân hàng phải có trách nhiệm truyền thông và hướng dẫn họ. Các biện pháp hiệu quả bao gồm:
• Gửi cảnh báo thường xuyên qua email, SMS, thông báo đẩy (push notification) trên ứng dụng về các thủ đoạn lừa đảo mới.
• Tạo các chuyên mục, video hướng dẫn về an toàn giao dịch ngay trên website và ứng dụng ngân hàng.
• Tích hợp các cảnh báo bảo mật ngay trong luồng giao dịch (ví dụ: hiển thị cảnh báo lớn khi người dùng thực hiện chuyển tiền đến một tài khoản lạ).

3.4. Nhóm giải pháp về Pháp lý và Hợp tác

An ninh mạng là một cuộc chiến không của riêng ai, đòi hỏi sự chung tay của cả cộng đồng.

• Chủ động tuân thủ và góp ý hoàn thiện hành lang pháp lý: Các ngân hàng cần có bộ phận chuyên trách để theo dõi và đảm bảo tuân thủ các quy định mới của pháp luật (như Nghị định 13 về Bảo vệ dữ liệu cá nhân). Đồng thời, tích cực đóng góp ý kiến cho các cơ quan quản lý nhà nước để xây dựng hành lang pháp lý ngày càng phù hợp với thực tiễn công nghệ.
• Tăng cường hợp tác, chia sẻ thông tin về các mối đe dọa: Tích cực tham gia vào các mạng lưới chia sẻ thông tin về an toàn thông tin trong lĩnh vực tài chính (FS-ISAC). Tăng cường hợp tác chặt chẽ với các cơ quan chức năng của chính phủ như Cục An toàn thông tin (AIS - thuộc Bộ TT&TT), Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05 - thuộc Bộ Công an) để chia sẻ thông tin về các cuộc tấnâm công, phối hợp điều tra và xử lý tội phạm.

IV. KẾT QUẢ ĐẠT ĐƯỢC VÀ THẢO LUẬN

4.1. Kết quả chính

Bài báo đã chỉ ra một số phát hiện quan trọng:

• Nhận diện mối đe dọa an ninh mạng trong ngân hàng số:
  • Các hình thức tấn công lừa đảo (phishing, smishing, vishing, deepfake) ngày càng tinh vi.
  • Sự gia tăng của mã độc, ransomware, tấn công DDoS, khai thác lỗ hổng ứng dụng web/di động và API Banking.
  • Rủi ro nội bộ: sai sót do con người, nhân viên có hành vi xấu, cấu hình sai hệ thống.
  • Thách thức công nghệ: tốc độ thay đổi nhanh, môi trường lai (legacy + cloud), yêu cầu bảo mật mới từ AI, Big Data.
  • Thách thức quy trình và tuân thủ: quản trị rủi ro đối tác, thiếu diễn tập ứng phó sự cố, áp lực tuân thủ pháp lý mới (ví dụ Nghị định 13/2023/NĐ-CP).
• Phân tích các kịch bản tấn công điển hình tại Việt Nam:
  • Lừa đảo qua SMS brandname kèm link giả mạo.
  • Phát tán mã độc qua ứng dụng giả (khai báo y tế, định danh điện tử, game, app tiện ích...).
• Đề xuất giải pháp toàn diện theo 3 trụ cột:
  • Công nghệ: AI/ML trong phát hiện gian lận, xác thực mạnh (MFA, sinh trắc học, passwordless), mã hóa dữ liệu toàn diện, kiến trúc Zero Trust & phòng thủ nhiều lớp, Threat Intelligence.
  • Quy trình & quản lý: chính sách an ninh thông tin, quản trị rủi ro bên thứ ba, diễn tập ứng phó sự cố (tabletop, Red Team – Blue Team).
  • Con người: đào tạo nhận thức cho nhân viên, giáo dục khách hàng để giảm thiểu lỗ hổng từ yếu tố con người.

4.2. Thảo luận

Trên cơ sở kết quả đẫ đạt được, một số vấn đề sau nêu ra để thảo luận:

• Ngân hàng số vừa là cơ hội vừa là rủi ro: số hóa mang lại trải nghiệm tốt và hiệu quả vận hành, nhưng cũng mở rộng bề mặt tấn công, khiến ngân hàng trở thành mục tiêu số 1 của tội phạm mạng.
• An ninh mạng không chỉ là vấn đề kỹ thuật: bảo mật gắn chặt với chiến lược phát triển ngân hàng, yêu cầu đầu tư đồng bộ từ công nghệ, quy trình, đến con người.
• Xu hướng nghiên cứu và thực tiễn quốc tế cho thấy AI, blockchain, Zero Trust sẽ là nền tảng bảo mật chủ chốt trong tương lai gần.
• Thách thức tại Việt Nam: hệ thống pháp lý đang hoàn thiện, năng lực bảo mật của ngân hàng chưa đồng đều, người dùng thiếu kỹ năng nhận diện lừa đảo.
• Khuyến nghị: cần có sự phối hợp đa chiều giữa ngân hàng, cơ quan quản lý, công ty công nghệ và khách hàng để xây dựng “lá chắn” an ninh mạng bền vững.

V. KẾT LUẬN VÀ KIẾN NGHỊ

5.1. Kết luận

Báo cáo đã tiến hành nghiên cứu một cách hệ thống về vấn đề an ninh mạng trong lĩnh vực ngân hàng số, một trong những chủ đề cấp thiết nhất trong bối cảnh chuyển đổi số tại Việt Nam. Quá trình toàn cầu hóa và sự phát triển vượt bậc của công nghệ đã thúc đẩy ngành ngân hàng đạt được những thành tựu to lớn, nhưng đồng thời cũng đặt ra những thách thức chưa từng có về an ninh, an toàn thông tin.

Qua việc phân tích lý luận và thực trạng, báo cáo đã xác định được các mối đe dọa an ninh mạng đến từ nhiều phía: các cuộc tấn công bên ngoài ngày càng tinh vi và có tổ chức (lừa đảo, mã độc, DDoS), các rủi ro tiềm ẩn từ bên trong (lỗi con người, nhân viên có hành vi xấu), và các thách thức do chính sự phức tạp của công nghệ và áp lực tuân thủ pháp lý. Những thách thức này cho thấy rằng việc bảo vệ ngân hàng số không thể chỉ dựa vào một vài biện pháp kỹ thuật đơn lẻ.

Để giải quyết bài toán phức tạp này, báo cáo đã đề xuất một chiến lược phòng thủ toàn diện, đa tầng, dựa trên sự kết hợp chặt chẽ của ba trụ cột cốt lõi: Công nghệ - Quy trình - Con người. Các giải pháp công nghệ tiên tiến như AI, xác thực đa yếu tố, kiến trúc Zero Trust đóng vai trò là lá chắn kỹ thuật. Các quy trình quản lý chặt chẽ, từ việc xây dựng chính sách, ứng phó sự cố cho đến quản lý rủi ro từ bên thứ ba, tạo ra một khung vận hành an toàn. Và trên hết, yếu tố con người, bao gồm cả nhân viên và khách hàng, khi được nâng cao nhận thức sẽ trở thành tuyến phòng thủ chủ động và hiệu quả nhất.

Tóm lại, đảm bảo an ninh mạng không phải là một chi phí, mà là một khoản đầu tư chiến lược cho sự phát triển bền vững. Đó là một hành trình liên tục, đòi hỏi sự cam kết từ cấp lãnh đạo cao nhất, sự tham gia của mỗi nhân viên và sự hợp tác của cả cộng đồng để xây dựng một môi trường giao dịch số thực sự an toàn, tin cậy, góp phần vào sự ổn định của hệ thống tài chính quốc gia.

5.2. Kiến nghị

Từ các kết quả nghiên cứu, báo cáo xin đưa ra một số kiến nghị cụ thể như sau:

• a. Đối với các Ngân hàng thương mại:
• Nâng cao nhận thức chiến lược: Ban lãnh đạo cần xem an ninh mạng là một ưu tiên chiến lược hàng đầu, tích hợp nó vào trong mọi kế hoạch phát triển kinh doanh và phân bổ ngân sách đầu tư tương xứng.
• Xây dựng văn hóa an ninh: Triển khai các chương trình đào tạo và truyền thông nội bộ liên tục để xây dựng một văn hóa mà ở đó, mỗi nhân viên đều là một "nhân viên an ninh mạng".
• Chủ động áp dụng công nghệ mới: Không ngừng nghiên cứu, thử nghiệm và triển khai các công nghệ bảo mật tiên tiến như AI, Machine Learning, Zero Trust để đi trước một bước so với tội phạm mạng.
• Tăng cường giáo dục khách hàng: Đầu tư xây dựng các chiến dịch truyền thông sáng tạo, dễ hiểu để hướng dẫn khách hàng nhận diện các thủ đoạn lừa đảo và biết cách tự bảo vệ mình.
• b. Đối với Ngân hàng Nhà nước và các cơ quan quản lý:
• Hoàn thiện hành lang pháp lý: Tiếp tục rà soát, cập nhật các văn bản quy phạm pháp luật (như các Thông tư về an toàn thông tin) để bắt kịp với sự thay đổi nhanh chóng của công nghệ và các thủ đoạn tấn công mới.
• Thúc đẩy cơ chế chia sẻ thông tin: Xây dựng và vận hành hiệu quả một trung tâm chia sẻ thông tin và phân tích các mối đe dọa an ninh mạng (ISAC) cho riêng ngành tài chính, khuyến khích các ngân hàng chia sẻ thông tin về các cuộc tấn công một cách an toàn và kịp thời.
• Tăng cường thanh tra, giám sát: Đẩy mạnh công tác thanh tra việc tuân thủ các quy định về an toàn thông tin tại các tổ chức tín dụng, đảm bảo các quy định được thực thi một cách nghiêm túc.
• c. Đối với người dùng cuối:
• Luôn nâng cao cảnh giác: Cẩn trọng trước mọi email, tin nhắn, cuộc gọi lạ yêu cầu cung cấp thông tin cá nhân hoặc yêu cầu bấm vào các đường link đáng ngờ.
• Bảo vệ thông tin đăng nhập: Sử dụng mật khẩu mạnh, khác nhau cho các dịch vụ khác nhau và kích hoạt phương thức xác thực đa yếu tố (MFA/Smart OTP) cho tất cả tài khoản ngân hàng.
• Tuyệt đối không chia sẻ mã OTP/Smart OTP cho bất kỳ ai, dưới bất kỳ hình thức nào.
• Sử dụng phần mềm an toàn: Chỉ tải ứng dụng ngân hàng từ các kho ứng dụng chính thức (App Store, Google Play) và cài đặt các phần mềm diệt virus uy tín trên thiết bị cá nhân.

5.3. Hạn chế của đề tài và hướng nghiên cứu trong tương lai

• Hạn chế: Do tính nhạy cảm của ngành ngân hàng, báo cáo gặp phải hạn chế trong việc tiếp cận các dữ liệu sơ cấp, các số liệu chi tiết về các vụ tấn công nội bộ tại các ngân hàng cụ thể ở Việt Nam. Các phân tích chủ yếu dựa trên nguồn dữ liệu thứ cấp được công bố rộng rãi và các kịch bản mang tính minh họa.
• Hướng nghiên cứu tiếp theo: Từ kết quả của báo cáo này, có thể phát triển các hướng nghiên cứu sâu hơn trong tương lai, chẳng hạn như:
• Đánh giá hiệu quả của việc ứng dụng AI trong phòng chống gian lận tại các ngân hàng thương mại Việt Nam.
• Nghiên cứu các mô hình và thách thức an ninh mạng đối với kiến trúc Ngân hàng mở (Open Banking) trong bối cảnh Việt Nam.
• Phân tích tác động của Tiền tệ Kỹ thuật số của Ngân hàng Trung ương (CBDC) đến hạ tầng an ninh mạng của hệ thống tài chính.

ThS. Vũ Minh Tâm

Viện Công Nghệ Thông Tin

Trường Đại Học Tài Chính Ngân Hàng Hà Nội

TÀI LIỆU THAM KHẢO

I. Văn bản pháp luật

1. Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam (2018), Luật An ninh mạng số 24/2018/QH14, ban hành ngày 12 tháng 6 năm 2018.
2. Chính phủ nước Cộng hòa xã hội chủ nghĩa Việt Nam (2023), Nghị định số 13/2023/NĐ-CP về Bảo vệ dữ liệu cá nhân, ban hành ngày 17 tháng 4 năm 2023.
3. Ngân hàng Nhà nước Việt Nam (2020), Thông tư số 09/2020/TT-NHNN ngày 21 tháng 8 năm 2020 quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng.

II. Tiêu chuẩn quốc tế

4. ISO/IEC (2022), ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements.
5. PCI Security Standards Council (2022), Payment Card Industry Data Security Standard (PCI DSS) version 4.0.

III. Báo cáo, bài báo khoa học và sách

6. Cục An toàn thông tin - Bộ Thông tin và Truyền thông (2024), Báo cáo tổng kết công tác năm 2024 và phương hướng nhiệm vụ năm 2025.
7. Kaspersky (2024), Kaspersky Security Bulletin: APAC Threat Landscape Report.
8. Deloitte (2023), 2023 financial services industry cybersecurity outlook.
9. Vương, Quân Hoàng (2022), The Digital Transformation in Vietnamese Banking: Opportunities and Challenges. Tạp chí Kinh tế & Phát triển.
10. Turban, E., Outland, J., King, D., Lee, J. K., Liang, T. P., & Turban, D. C. (2018), Electronic Commerce 2018: A Managerial and Social Networks Perspective. Springer.

IV. Các bài viết, tin tức chuyên ngành

11. Thời báo Ngân hàng (2025), "Tăng cường 'lá chắn' an ninh mạng cho ngân hàng trong kỷ nguyên số".
12. ICTnews (2025), "Lừa đảo trực tuyến nhắm vào người dùng ngân hàng: Những thủ đoạn tinh vi và cách phòng tránh".