Trước bối cảnh tội phạm công nghệ cao gia tăng các hình thức tấn công vào tài khoản ngân hàng, Ngân hàng Nhà nước (NHNN) đã ban hành Thông tư số 77/2025/TT-NHNN sửa đổi, bổ sung một số điều của Thông tư 50/2024/TT-NHNN. Văn bản pháp lý mới này đặt ra các yêu cầu kỹ thuật nghiêm ngặt đối với các tổ chức tín dụng nhằm bảo vệ tài sản khách hàng. Đáng chú ý nhất tại Điều 5 của Thông tư là quy định về cơ chế vận hành của ứng dụng Mobile Banking trên thiết bị khách hàng.
Theo đó, các ứng dụng ngân hàng bắt buộc phải có khả năng tự phát hiện và tự động dừng hoạt động nếu nhận thấy môi trường thiết bị không an toàn. Các trường hợp cụ thể bao gồm: thiết bị đã bị bẻ khóa (root/jailbreak) hoặc mở khóa bootloader; ứng dụng chạy trên môi trường giả lập (emulator) hoặc có trình gỡ lỗi (debugger) đang hoạt động. Quy định này cũng áp dụng khi phát hiện phần mềm bị chèn mã lạ, bị theo dõi hàm dữ liệu (hook) hoặc bị đóng gói lại (repacking). Đây được xem là “chốt chặn” kỹ thuật quan trọng để ngăn ngừa hacker chiếm quyền điều khiển ứng dụng.
Song song với việc kiểm soát thiết bị đầu cuối, Thông tư 77 cũng mở rộng phạm vi điều chỉnh sang dịch vụ Tiền di động. Các đơn vị cung ứng dịch vụ này sẽ phải tuân thủ các chuẩn mực bảo mật tương đương tổ chức tín dụng. Ngoài ra, khái niệm “Khách hàng tổ chức mới” cũng được bổ sung, yêu cầu các doanh nghiệp mới thiết lập quan hệ trong vòng 12 tháng (trừ các trường hợp đặc biệt như cơ quan nhà nước, tập đoàn lớn) phải thực hiện xác thực mạnh bằng sinh trắc học hoặc chữ ký điện tử an toàn.
Về mặt công nghệ xác thực, để đối phó với làn sóng lừa đảo sử dụng trí tuệ nhân tạo (AI), NHNN yêu cầu các giải pháp phát hiện giả mạo sinh trắc học phải đạt chuẩn quốc tế ISO 30107 cấp độ 2. Đồng thời, các ngân hàng phải kiểm soát chặt chẽ phiên bản ứng dụng, không cho phép người dùng hạ cấp xuống các phiên bản cũ và phải thực hiện đánh giá lỗ hổng bảo mật định kỳ 3 tháng/lần.
Thông tư 77/2025/TT-NHNN sẽ chính thức có hiệu lực từ ngày 1/3/2026. Lộ trình áp dụng cụ thể đối với các quy định về thanh toán trực tuyến cho khách hàng cá nhân và tổ chức sẽ lần lượt được triển khai vào tháng 7 và tháng 10 năm 2026.
