Nguy cơ từ thiết bị người dùng cuối

Phó Thống đốc Ngân hàng Nhà nước (NHNN) cho biết ngành ngân hàng đang đối mặt sức ép rất lớn trong bảo đảm an ninh, an toàn hệ thống công nghệ thông tin, trong bối cảnh toàn hệ thống đang quản lý khối tài sản và dòng tiền khổng lồ của nền kinh tế. Theo ông, các tổ chức tín dụng hiện đang nắm giữ khoảng trên dưới 15 triệu tỷ đồng tiền gửi của người dân, cho vay khoảng 20 triệu tỷ đồng, trong khi mỗi ngày hệ thống thanh toán xử lý khoảng 900 nghìn tỷ đồng, tương đương 40-50 tỷ USD. Chỉ cần một tác động rất nhỏ từ tin tặc, như sửa đổi một con số trong hệ thống, cũng có thể gây ra hậu quả đặc biệt nghiêm trọng.

Lãnh đạo NHNN nhìn nhận, nguy cơ tấn công mạng vào hệ thống ngân hàng không còn chỉ đến từ hạ tầng nội bộ, bởi trên thực tế các ngân hàng đã đầu tư rất mạnh cho bảo vệ hệ thống. Mối đe dọa ngày càng lớn hiện nay lại đến từ chính thiết bị đầu cuối của người dùng. Ông cho biết hiện có khoảng 60 triệu thiết bị của khách hàng đang sử dụng để giao dịch ngân hàng, và trong thời gian dài, gần như mọi loại điện thoại đều có thể cài ứng dụng ngân hàng, kể cả những máy đã bị bẻ khóa hoặc root. Đây chính là “cửa ngõ” để tin tặc lợi dụng xâm nhập, chiếm quyền truy cập và thực hiện nhiều hành vi gian lận.

Từ thực tế đó, NHNN đã ban hành quy định siết chặt điều kiện đối với các ứng dụng quan trọng. Theo Phó Thống đốc Phạm Tiến Dũng, từ ngày 1/7, các thiết bị đã bị bẻ khóa hoặc root sẽ bị hệ thống ngân hàng tự động chặn. Nói cách khác, điện thoại không bảo đảm an toàn sẽ không thể cài đặt hoặc sử dụng ứng dụng ngân hàng như trước. Ông cho rằng đây là biện pháp cần thiết để bịt lỗ hổng từ thiết bị đầu cuối, bởi khi hacker xâm nhập qua những máy đã bị can thiệp sâu vào hệ điều hành, chúng có thể đánh cắp email, lợi dụng cơ chế đăng nhập một lần và tiếp tục thực hiện nhiều hành vi xâm nhập nguy hiểm khác.

Theo lãnh đạo NHNN, kinh nghiệm rút ra là các yêu cầu bảo đảm an toàn số phải được thể chế hóa bằng quy định pháp lý cụ thể, thay vì chỉ dừng ở cảnh báo hay khuyến nghị. Ông cho biết cơ quan quản lý đã trao đổi rất kỹ với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) về từng biện pháp một.

Trong bối cảnh tin tặc ngày càng tinh vi, có thể dịch ngược ứng dụng để lấy mã nguồn, chỉnh sửa các đoạn mã nhằm vô hiệu hóa những chốt chặn bảo mật rồi đóng gói lại thành phiên bản giả mạo cho người dùng, việc đặt ra yêu cầu thiết bị phải có khả năng chống dịch ngược, chống can thiệp là hết sức cần thiết.

Bên cạnh giải pháp với thiết bị người dùng, NHNN cũng nhấn mạnh yêu cầu xác thực tài khoản và doanh nghiệp trên môi trường số phải được làm chặt chẽ, đồng bộ với dữ liệu dân cư và dữ liệu quản lý của Bộ Công an.

Liên kết chống tội phạm mạng

Phó Thống đốc cũng cho rằng cuộc chiến chống tội phạm mạng không thể chỉ là việc riêng của ngành Ngân hàng. Điều cần thiết là phải hình thành một “thế trận liên kết” giữa ngân hàng, công an, các bộ, ngành, địa phương và các tổ chức liên quan để cùng nhận diện rủi ro ngay từ gốc.

Đồng thời, các đơn vị trong hệ thống cũng phải chia sẻ nhanh cảnh báo về phương thức, thủ đoạn tấn công, tài khoản lừa đảo, dấu hiệu gian lận để tránh tình trạng đối tượng sử dụng cùng một chiêu thức đánh sang nhiều ngân hàng khác nhau. Ông dẫn thực tế khi Trung tâm Thông tin tín dụng quốc gia (CIC) bị tấn công, lực lượng A05 đã hỗ trợ rất nhanh, giúp hạn chế thiệt hại và bảo vệ được phần lớn dữ liệu quan trọng nhờ cơ chế phối hợp toàn tuyến.

Theo ông Phạm Tiến Dũng, trong chiến lược phát triển hiện nay, các ngân hàng đã có hai thay đổi lớn. Một là coi chuyển đổi số là trụ cột phát triển. Hai là coi rủi ro an ninh mạng tương đương rủi ro tín dụng. Điều đó có nghĩa an ninh mạng không còn là vấn đề kỹ thuật đơn thuần, mà đã trở thành rủi ro cốt lõi cần được đo lường, quản trị và dành nguồn lực tương xứng.

Đăng Khoa