Tiêu chuẩn đảm bảo an toàn trong giao dịch và thanh toán điện tử ngành Ngân hàng (Phần 3)
Đây là bài viết thứ 3 trong chuỗi bài viết về Tiêu chuẩn đảm bảo an toàn trong giao dịch và thanh toán điện tử. Phần này sẽ chi tiết hóa và cung cấp nội dung về PSD2 – Chỉ thị dịch vụ Thanh toán sửa đổi của Liên minh Châu Âu. III. PSD2 – Chỉ thị dịch vụ Thanh toán sửa đổi của Liên minh Châu Âu Quá trình số hóa và chuyển đổi số trong nền kinh tế của EU đem tới nhiều thành phần tham dự vào thanh toán điện tử (ví dụ: tiền ảo, ví điện tử), đồng hành cùng các rủi ro mới nhằm ngoài các văn bản luật hiện hành. Cùng sự phê chuẩn bộ Quy định eIDAS, Liên minh Châu Âu soạn thảo Chỉ thị Dịch vụ Thanh toán sửa đổi PSD2 (tên đầy đủ “Payment Service Directive 2 – Directive 2015/2366) thay thế cho Chỉ thị 2007/64/EC lần đầu vào tháng 7 năm 2013 và chính thức có hiệu lực trên toàn lãnh thổ vào tháng 9 năm 2019. Chỉ thị Dịch vụ Thanh toán sửa đổi của Liên minh Châu Âu nhằm mục đích tăng cường tính bảo mật trong thanh toán điện tử, cải thiện khả năng bảo vệ người tiêu dùng, nâng cao động lực đổi mới sáng tạo và tính cạnh tranh – đồng thời đảm bảo môi trường công bằng cho tất cả các thành phần tham gia vào mô hình giao dịch điện tử (bao gồm cả những đối tượng không được quy định trong phiên bản đầu tiên của Chỉ thị Dịch vụ Thanh toán) 1.Nội dung chính Chỉ thị Dịch vụ Thanh toán sửa đổi có tổng cộng 117 điều khoản, bao hàm những điều khoản chính như sau: – Tăng cường tính minh bạch trong thanh toán điện tử thông qua việc cho phép các tổ chức được ủy quyền truy cập thông tin khách hàng, sử dụng thông tin khách hàng để thu hộ chi hộ (XS2A – Access service to Account). Việc truy cập này được cho phép qua API, nhờ đó giảm thiểu thời gian và quy trình thanh toán điện tử một khi bên thứ ba được ủy quyền thực hiện giao dịch trực tiếp với ngân hàng/tổ chức tín dụng. Tuy nhiên, hiện tại chưa có một cổng Open API chung cho toàn Liên minh Châu Âu mà các ASPSP (các ngân hàng) sử dụng API của riêng mình, tạo nên khó khăn nhất định khi tiếp cận dịch vụ XS2A do số lượng API phát sinh là rất lớn. – Tăng cường định nghĩa về các thành phần mới trong thanh toán điện tử của nền kinh tế số, bao gồm: + Nhà cung cấp dịch vụ thanh toán bên thứ ba (TPP – Third Party Payment Service Providers): Các tổ chức tham gia thanh toán trên danh nghĩa của khách hàng. Trong PSD2, các tổ chức này có thể thực hiện dưới danh nghĩa “Nhà cung cấp dịch vụ thông tin khách hàng” hoặc “Nhà cung cấp dịch vụ khởi tạo thanh toán + Nhà cung cấp dịch vụ quản lý tài khoản trong thanh toán (ASPSP – Account Servicing Payment Service Providers): Các tổ chức cung cấp và cho phép sử dụng tài khoản tài chính (ví dụ: ngân hàng). Các ASPSP có thể là ngân hàng hoặc tổ chức tín dụng.. + Nhà cung cấp dịch vụ thông tin khách hàng (AISP – Account Information Service Providers): Các tổ chức này thống kê tài khoản thanh toán vào một điểm truy cập duy nhất nhằm giúp khách hàng quản lý tài chính tốt hơn (ví dụ: tổ chức quản lý tài chính). + Nhà cung cấp dịch vụ khởi tạo thanh toán (PISP – Payment initiation Service Provider): Các tổ chức cho phép thực hiện thanh toán giao dịch điện tử thông qua phương pháp online (ví dụ: ví điện tử). – Tăng cường tính bảo mật trong thanh toán điện tử thông qua quy định bắt buộc áp dụng Xác thực Định danh Tăng cường (SCA – Strong Customer Authentication) đối với thanh toán điện tử thực hiện trong lãnh thổ Châu Âu. Với PSD2, để đạt quy định về xác thực định danh tăng cường cần có 2 trong 3 yếu tố: điều khách hàng biết – “Something you know” (ví dụ: mã pin), điều khách hàng có – “Something you own” (ví dụ: token) và điều khách hàng sở hữu riêng – “Something you are” (ví dụ: vân tay). Tuy những yêu cầu tăng cường về bảo mật trong SCA được đặt ra nhằm bảo vệ người sử dụng dịch vụ thanh toán điện tử, SCA cũng có những ngoại lệ không áp dụng để đảm bảo tính tiện lợi khi sử dụng dịch vụ, bao gồm: + Giao dịch với giá trị dưới 30 EUR. Mặc dù vậy, SCA vẫn phải được áp dụng cho mỗi 5 lần giao dịch. + Giao dịch định kỳ với khoản thanh toán cố định: trong PSD2 thì SCA chỉ được áp dụng với những giao dịch được khởi tạo bởi người dùng. Các giao dịch định kỳ (trả hóa đơn nhà, hóa đơn nước…) được coi là do nhà cung cấp dịch vụ khởi tạo, vì vậy không yêu cầu xác thực SCA sau lần thanh toán đầu tiên. + Danh sách tin cậy (Whitelist): người sử dụng có thể kích hoạt tính năng “danh sách tin cậy” từ ngân hàng để không sử dụng SCA đối với nhà cung cấp thuộc danh sách. + Giao dịch MOTO (Mail Order and Telephone Orders): các giao dịch gửi qua thư từ và điện thoại không thuộc phạm vi giao dịch điện tử, do đó không phải thực hiện xác thực SCA. + Giao dịch liên khu vực: SCA không áp dụng cho giao dịch nếu người bán và người mua không nằm trong khu vực kinh tế chung Châu Âu. + Giao dịch
Tiêu chuẩn đảm bảo an toàn trong giao dịch và thanh toán điện tử ngành Ngân hàng (Phần 1)
Rủi ro định danh trong giao dịch – thanh toán điện tử Theo thống kê của Ngân hàng Trung ương Châu Âu (European Central Bank – ECB), tổng giá trị của các vụ lừa đảo trong giao dịch – thanh toán điện tử năm 2019 đã đạt đến 1.8 tỷ EUR. Đặc biệt tại Anh và Pháp, tỷ lệ giao dịch điện tử lên tới 72% trên tổng số vụ lừa đảo, so với mặt bằng chung là 40%. Đối với “Lục địa già”, nhu cầu chống gian lận trong giao dịch điện tử đang ngày càng trở nên cấp thiết. Trong khi các nhà cung cấp dịch vụ thanh toán điện tử luôn cải tiến và đổi mới công nghệ thì các loại hình lừa đảo cũng liên tục thay đổi và trở nên phức tạp. Tính ẩn danh, sự phổ biến của Internet vạn vật (Internet of Things), dữ liệu cá nhân được cung cấp cho các bên tham gia giao dịch tạo ra nhiều cơ hội cho các vụ tấn công. Trong tất cả các phương thức lừa đảo, loại hình nhằm vào định danh số ngày càng trở nên phổ biến. Đối với tội phạm mạng, dữ liệu cá nhân là mục tiêu chủ yếu được nhắm đến trong những năm gần đây. Thách thức lớn đối với Liên minh Châu Âu là làm thế nào để quản lý những giao dịch (touchpoints) trong môi trường mạng, đảm bảo an toàn cho dữ liệu của khách hàng khi mà người dùng đã quen với giao dịch điện tử mọi lúc, mọi nơi, trên mọi thiết bị và mọi kênh điện tử. Sáu mục tiêu dễ tấn công làm giả trong kinh tế số: phần mềm, thiết bị, vị trí, số điện thoại, dữ liệu nhân dạng và tài khoản ngân hàng Định danh điện tử (e-ID) – Giải pháp chống lừa đảo danh tính Các dịch vụ ngân hàng, chính phủ và thanh toán điện tử là những đối tượng phải chịu ảnh hưởng lớn nhất từ rủi ro trong giao dịch điện tử. Để phòng chống và hạn chế tổn thất, chính phủ các nước Bắc Âu tiên phong tạo lập quy trình định danh điện tử (e-ID) cho phép người sử dụng chứng minh danh tính qua môi trường mạng Internet. Tại Thụy Điển, Phần Lan, Đan Mạch và Na Uy, liên hiệp các ngân hàng chiếm ưu thế trong cuộc đua định danh số bởi một lý do căn bản: các ngân hàng lớn có sẵn cơ sở dữ liệu người dùng đã được định danh. Với lợi thế này, việc số hóa và phát triển ứng dụng định danh bởi các ngân hàng Bắc Âu trở nên nhanh chóng và thuận lợi hơn so với các cơ quan tư nhân/khối chính phủ. Các ngân hàng ở Bắc Âu sử dụng dịch vụ định danh điện tử như chìa khóa để phổ cập các dịch vụ số, bao gồm thanh toán điện tử, hỗ trợ khách hàng điện tử, cũng như các dịch vụ chống rủi ro trong tài chính. Bên cạnh đó, những dịch vụ định danh này cũng cho phép bên thứ ba sử dụng như một phương thức định danh bảo mật trong giao dịch điện tử: như trong Cổng thông tin Chính phủ điện tử, Cổng thông tin việc làm, Cổng đăng ký nhập học,… Theo thống kê của Phần Lan, 90% khách hàng trong lĩnh vực nhà đất sử dụng định danh điện tử ngân hàng TUPAS để ký hợp đồng qua Internet. Sự phổ biến của các dịch vụ ứng dụng định danh điện tử mang đến sự thuận tiện cho các bên tham gia giao dịch – giảm thiểu chi phí vận hành, rủi ro và thời gian. Định danh điện tử tại Bắc Âu giảm thiểu rủi ro trong chính phủ số, doanh nghiệp số, thương mại số Về tính pháp lý, Chỉ thị về Chữ ký điện tử (Directive 1999/93/EC) cho phép các quốc gia thành viên trong Liên minh Châu Âu quyền tự quyết đối với khả năng ứng dụng chữ ký điện tử (như chương trình nhận dạng điện tử quốc gia phát triển bởi Liên hiệp ngân hàng Bắc Âu). Tuy nhiên, điều này cũng phát sinh nhiều lỗ hổng trong nhận dạng và không có một tiêu chuẩn nhất quán cho định danh điện tử giữa các nước, dẫn đến sự chối bỏ định danh điện tử giữa các quốc gia trong cùng một khối. Là một Liên minh về kinh tế và chính trị, cho phép người lao động tự do di chuyển trong khối nhưng Châu Âu trước năm 2014 lại không có một Quy định nào về nhận dạng điện tử. Điều này gây khó khăn cho du lịch, đầu tư tài chính và ký kết văn bản liên quốc gia, khi mà các bên tham gia phải cùng có mặt tại bàn làm việc mặc cho hệ thống định danh điện tử cấp quốc gia đã hoạt động được gần một thập kỷ. Sự phân rã trong hệ sinh thái điện tử và những rủi ro ngày càng gia tăng trong giao dịch điện tử là động lực thúc đẩy Liên minh Châu Âu tìm ra một giải pháp mới để liên kết các mạng lưới định danh điện tử.
Gian lận tín dụng – Ngành công nghiệp “đánh cắp tiền” trong cách mạng công nghiệp 4.0
Giao dịch điện tử, thanh toán không dùng tiền mặt mở ra nhiều cơ hội kinh doanh mới và mang lại sự tiện lợi, tính minh bạch trong thanh toán cho các cá nhân, tổ chức. Tuy nhiên, sự phát triển của giao dịch điện tử cũng kéo theo sự gia tăng nguy cơ mất an toàn thanh toán, gian lận tín dụng, lừa đảo tài chính đối với người dùng. Điều này cũng đồng nghĩa, an ninh thanh toán sẽ là bài toán mà các Ngân hàng và tổ chức Tài chính cần giải quyết nếu muốn thu hút và giữ chân khách hàng. Theo thống kê của Vụ thanh toán – Ngân hàng Nhà nước, hiện nay, Việt Nam có khoảng 45 triệu tài khoản cá nhân, tương đương với một nửa dân số. Về thanh toán điện tử qua Internet, điện thoại di động, đến ngày 31/3/2019, giao dịch tài chính qua kênh Internet tăng 68,8% về số lượng và 13,4% về giá trị so với cùng kỳ năm 2018, giao dịch tài chính được thực hiện trên điện thoại di động tăng 97,7% về số lượng và 232,3% về giá trị so với cùng kỳ năm 2018. Thanh toán điện tử, đặc biệt là thanh toán trên các nền tảng di động đang có những bước phát triển mạnh mẽ. Tuy nhiên, cùng với đó là sự gia tăng về số lượng những vụ việc liên quan đến an ninh thanh toán, gian lận tài khoản tín dụng, lừa đảo tài chính. Công nghệ 5G và các công nghệ 4.0 giúp tạo ra thế giới siêu kết nối nhưng cũng là nhân tố hình thành nên ngành công nghiệp “đánh cắp tiền” trị giá đến hàng tỷ USD. Tại Việt Nam, những năm qua đã chứng kiến hàng loạt vụ mất cắp tài khoản tiết kiệm, tài khoản ngân hàng của người dùng do gian lận nội bộ, mất cắp thông tin khách hàng, bị hacker tấn công vào hệ thống bảo mật của ngân hàng,… Đặc biệt, có những vụ việc, đối tượng lừa đảo giả mạo ngân hàng thực hiện 18 giao dịch, lấy cắp gần nửa tỷ đồng từ tài khoản của khách hàng chỉ trong 2 phút. Nhân viên ngân hàng lợi dụng những lỗ hổng trong hệ thống quản lý, cấu kết rút ruột tài khoản tiết kiệm với số tiền lên đến hàng trăm tỷ đồng hoặc bán thông tin khách hàng cho các đối tượng lừa đảo. Nhiều người dùng phản ánh về việc bị mất tiền trong thẻ tín dụng vô cớ dù không phát sinh giao dịch do sự cố trong hệ thống bảo mật của ngân hàng. Trong thời gian qua cũng liên tiếp xảy ra những vụ tin tặc tấn công vào hệ thống ngân hàng, đánh cắp và công khai dữ liệu ngân hàng trên Internet của hàng triệu khách hàng. Đáng chú ý là tất cả các trường thông tin bị rò rỉ đều ở dạng text và không được mã hóa. Những vụ việc trên không chỉ xảy ra ở những ngân hàng nhỏ mà cả trong các hệ thông ngân hàng lớn, đang sở hữu hàng ngàn khách hàng thường xuyên. Nguyên nhân chính trong lừa đảo tín dụng được xác định đến từ hệ thống bảo mật của ngân hàng. Các ngân hàng chưa thực sự sẵn sàng đầu tư đúng mức cho vấn đề bảo mật, nâng cấp hệ thống an ninh, phần mềm. Một số đơn vị vẫn sử dụng những phương thức tạo mã OTP đơn giản, thiếu yếu tố ngẫu nhiên và tính bảo mật khiến hacker dễ dàng bẻ khóa và tấn công vào hệ thống. Theo đó, việc triển khai xây dựng hệ thống xác thực mạnh mẽ như xác thực điện tử, ký số bảo mật sẽ là nhân tố thay đổi cuộc chơi trong xu hướng chuyển đổi số ngành Ngân hàng, giúp nâng cao uy tín và thu hút khách hàng. Ông Hoàng Nguyên Vân – Chuyên gia về xác thực, ký số điện tử nhấn mạnh đến tầm quan trọng của xác thực, ký số và định danh điện tử: “Ngành Ngân hàng luôn là ngành dẫn đầu về ứng dụng công nghệ thông tin trong các hoạt động kinh doanh cùng với tính phức tạp của hoạt động tài chính thì vấn đề bảo mật và an toàn thông tin mang tính sống còn. Sự cố về an toàn thông tin gần đây gây thiệt hại nặng nề về mặt tài chính và uy tín của các ngân hàng. Để thiết lập niềm tin trong các giao dịch điện tử giữa các cá nhân và tổ chức, Liên minh Châu Âu đã đưa ra những quy định, tiêu chuẩn kỹ thuật cũng như khung pháp lý khắt khe về quy định bảo vệ dữ liệu chung, dịch vụ thanh toán điện tử, định danh điện tử, ký số bảo mật, dịch vụ tin cậy như eIDAS, GDPR, PSD2, 3D Secure. Định danh số, ký giao dịch, xác thực sử dụng chữ ký số đáp ứng tiêu chuẩn bảo mật là yêu cầu tiên quyết nhằm đảm bảo an ninh thanh toán, giá trị pháp lý của giao dịch điện tử ngành Ngân hàng.” >>> SAVIS được cấp phép cung cấp Dịch vụ Ký số từ xa Remote Signing Đầu tiên tại Việt Nam >>> SAVIS trở thành Nhà cung cấp dịch vụ tin cậy QTSP về dịch vụ ký số, con dấu điện tử đảm bảo theo mô hình ký số từ xa Remote Signing đầu tiên và duy nhất tại Việt Nam >>> 6 lý do thúc đẩy các ngân hàng phát triển Ngân hàng Mở – Open Banking Đặc biệt, trong xu thế toàn cầu về công nghệ và pháp lý cho ký số, xác thực điện tử, dịch vụ ký số từ xa, ký số trên nền tảng di động sẽ là tương lai ngành
