Việt Nam: Phòng chống gian lận thẻ tín dụng được tăng cường khi thủ đoạn lừa đảo ngày càng tinh vi

Ngành ngân hàng Việt Nam đang tăng cường bảo mật thẻ thông qua xác thực sinh trắc học, kiểm soát thiết bị và hệ thống cảnh báo gian lận, khi tội phạm chuyển từ lừa đảo trực tuyến sang mạo danh và kỹ thuật xã hội.

Một vụ án do TAND TP.HCM xét xử vào tháng 2/2026 minh họa cho phương thức này. Hoàng Trọng Vỹ cùng đồng phạm thuộc TVX Group giả danh nhân viên ngân hàng, gọi điện cho chủ thẻ tín dụng và giới thiệu dịch vụ rút tiền từ hạn mức thẻ với tỷ lệ khoảng 75%, yêu cầu cung cấp thông tin thẻ và tài khoản. Khi ngân hàng gửi mã OTP, nhóm này gọi lại để lấy mã xác thực. Từ ngày 19/02/2022 đến 28/12/2022, nhóm thực hiện 7.012 giao dịch với tổng số tiền 136 tỷ đồng, chuyển trả 112 tỷ đồng cho chủ thẻ và chiếm đoạt 24 tỷ đồng. Ngày 27/02/2026, TAND TP.HCM tuyên phạt Vỹ 16 năm tù; các bị cáo còn lại nhận án từ 2 năm tù treo đến 14 năm tù.

Thông tư 77/2025/TT-NHNN ban hành ngày 31/12/2025, có hiệu lực từ 01/03/2026, yêu cầu các tổ chức tín dụng triển khai giải pháp phát hiện tấn công giả mạo sinh trắc học và kiểm soát dấu hiệu can thiệp vào ứng dụng Mobile Banking. Các ngân hàng cũng triển khai biện pháp riêng: VietinBank bổ sung công cụ kiểm soát trên iPay; Vietcombank và BIDV cảnh báo khách hàng không cung cấp thông tin thẻ và OTP; BIDV áp dụng 3D Secure cho giao dịch thương mại điện tử bằng thẻ quốc tế; SHB triển khai tính năng “Cảnh báo tài khoản nhận tiền có dấu hiệu nghi ngờ gian lận, lừa đảo” từ 01/07/2026, đối chiếu với danh sách cảnh báo của Bộ Công an.

Theo Văn bản hợp nhất 75/VBHN-NHNN ngày 26/05/2026, tổ chức cung ứng dịch vụ thanh toán phải quy định thời hạn tiếp nhận tra soát không thấp hơn 60 ngày kể từ ngày giao dịch, có tối thiểu hai hình thức tiếp nhận gồm tổng đài ghi âm 24/7 và địa điểm giao dịch, xử lý khiếu nại trong tối đa 30 ngày làm việc. Khi khách hàng đề nghị tạm dừng dịch vụ do nghi ngờ gian lận, tổ chức phải thực hiện ngay và chịu trách nhiệm toàn bộ tổn thất phát sinh sau thời điểm đề nghị. Nếu tổn thất không do lỗi khách hàng, tổ chức phải bồi hoàn trong tối đa 5 ngày làm việc kể từ ngày thông báo kết quả.