Gần 1,9 triệu tài khoản tại Việt Nam sử dụng mật khẩu yếu khi các ngân hàng tăng cường phòng chống gian lận

Mật khẩu đơn giản gặp mối đe dọa tài chính ngày càng nhanh

Gần 1,9 triệu tài khoản của người dùng Việt Nam vẫn sử dụng các mật khẩu dễ đoán như "123456", theo số liệu được công bố tại Diễn đàn An ninh Tài chính số Việt Nam ở TP.HCM ngày 6/11/2026. Cảnh báo được đưa ra trong bối cảnh các ngân hàng mở rộng hệ thống nhằm phát hiện giao dịch đáng ngờ và hỗ trợ thu hồi tiền bị đánh cắp.

Đại tá Nguyễn Bá Sơn, Phó Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an, gọi tắt là A05, cho biết cơ quan chức năng ghi nhận gần 1.000 vụ lừa đảo trực tuyến có hành vi chiếm đoạt tài sản trong sáu tháng đầu năm 2026. Thiệt hại lên tới hàng nghìn tỷ đồng.

Các tổ chức tài chính chịu sức ép trên nhiều mặt: tội phạm sử dụng trí tuệ nhân tạo để chuẩn bị các cuộc tấn công nhanh hơn, khách hàng vẫn dễ bị giả mạo danh tính lừa gạt, còn một số tổ chức chưa có các biện pháp bảo mật cơ bản. Trong khi đó, thanh toán số đã trở thành dịch vụ hằng ngày của phần lớn người dân.

Số liệu do ông Hoàng Minh Tiến, Phó Cục trưởng Cục Công nghệ thông tin thuộc Ngân hàng Nhà nước Việt Nam, công bố cho thấy quy mô của hoạt động này. Việt Nam xử lý hơn 21 tỷ giao dịch không dùng tiền mặt trong tám tháng đầu năm 2026, với tổng giá trị hơn 260 triệu tỷ đồng. Kênh số chiếm hơn 95% giao dịch tại nhiều tổ chức tín dụng.

Diễn đàn quy tụ Hiệp hội An ninh mạng Quốc gia, Tập đoàn Truyền thông Đầu tư Việt Nam, Ngân hàng Nhà nước và Hiệp hội Ngân hàng Việt Nam. Các phiên thảo luận kết nối một điểm yếu quen thuộc, mật khẩu dễ đoán, với thách thức rộng hơn: bảo vệ khách hàng trước, trong và sau khi xảy ra giao dịch gian lận.

Ít cuộc tấn công hơn, nhiều tổ chức báo cáo thiệt hại hơn

Báo cáo nghiên cứu và khảo sát năm 2025 của Hiệp hội An ninh mạng Quốc gia ước tính Việt Nam hứng chịu khoảng 552.000 cuộc tấn công mạng trong năm đó, giảm 19,38% so với năm 2024. Ban Công nghệ của hiệp hội thực hiện khảo sát vào tháng 12/2025, với câu trả lời từ hơn 5.300 tổ chức.

Tóm tắt kết quả khảo sát của Chính phủ ghi nhận tỷ lệ cơ quan, doanh nghiệp báo cáo bị thiệt hại tăng lên: 52,30% trong năm 2025, so với 46,15% năm 2024. Tỷ lệ này tăng 6,15 điểm phần trăm, dù số cuộc tấn công ước tính giảm.

Hiệp hội cho biết kẻ tấn công ngày càng chọn mục tiêu kỹ lưỡng hơn, chuẩn bị cẩn thận và khai thác sâu hơn. Vì vậy, với một tổ chức, mức độ nguy hiểm trên thực tế phụ thuộc vào thiệt hại do vụ xâm nhập gây ra, chứ không chỉ là số lần bị nhắm đến.

Tại diễn đàn, số liệu được cho là của Hiệp hội An ninh mạng Quốc gia và Viettel Cyber Security cho thấy lĩnh vực tài chính, ngân hàng chiếm khoảng 41% số vụ tấn công. Ông Sơn cũng xác định đây là mục tiêu ưu tiên của các nhóm tin tặc quốc tế và tội phạm mạng.

Vì sao dữ liệu bị đánh cắp có thể gây thiệt hại lâu dài

Hiệp hội xác định năm hình thức tấn công phổ biến trong năm 2025: từ chối dịch vụ, chèn liên kết quảng cáo cờ bạc, gián điệp mạng có chủ đích, đánh cắp dữ liệu và mã độc tống tiền. Tấn công từ chối dịch vụ làm quá tải một dịch vụ bằng lưu lượng truy cập; mã độc tống tiền mã hóa, khóa thông tin và yêu cầu trả tiền để khôi phục quyền truy cập.

Kẻ tấn công có thể kết hợp các phương thức này. Hiệp hội mô tả những cuộc tấn công gây gián đoạn để thu hút sự chú ý của đội ngũ bảo mật, trong lúc kẻ xâm nhập âm thầm đi vào các phần khác của mạng, cài phần mềm độc hại và ẩn náu tại đó.

Ông Vũ Ngọc Sơn, Trưởng ban Công nghệ của hiệp hội, mô tả một quy trình trong đó tội phạm trước tiên đánh cắp thông tin có giá trị để bán, trao đổi hoặc tiếp tục khai thác. Sau đó, chúng mã hóa dữ liệu của nạn nhân để đòi tiền chuộc khi đã cạn cơ hội lấy thêm thông tin.

Do đó, thông tin khách hàng vẫn có thể bị lộ sau khi ngân hàng hoặc doanh nghiệp khôi phục hệ thống. Bản sao lưu giúp tổ chức khôi phục tệp, còn ngăn chặn hành vi đánh cắp đòi hỏi phải kiểm soát quyền truy cập thông tin và có hệ thống phát hiện truy cập bất thường.

Đánh giá năm 2025 của hiệp hội xếp hành vi xâm nhập và đánh cắp dữ liệu vào nhóm sự cố gây thiệt hại lớn nhất. Dự báo năm 2026 xác định bảo mật dữ liệu và các cuộc tấn công được tự động hóa bằng AI là những mối lo ngại trọng tâm, phù hợp với cảnh báo về rủi ro ngân hàng được nêu tại diễn đàn.

AI thúc đẩy cả hoạt động ngân hàng lẫn tội phạm

Ông Sơn cho biết tội phạm sử dụng AI để rút ngắn thời gian tìm kiếm điểm yếu và chuẩn bị tấn công. Theo ông, công việc nhắm vào các hệ thống thông tin tài chính quy mô lớn trước đây có thể mất hàng tháng, nay hoàn thành nhanh hơn nhiều, dù ông không đưa ra mốc thời gian cụ thể.

Tiến sĩ Đào Minh Tú, Phó Chủ tịch kiêm Tổng Thư ký Hiệp hội Ngân hàng Việt Nam, nguyên Phó Thống đốc thường trực Ngân hàng Nhà nước, mô tả ngành ngân hàng đang chuyển từ các ứng dụng do khách hàng tự thao tác sang những dịch vụ có thể giao tiếp với khách hàng và hỗ trợ họ một cách tự động.

Ông Tú cho biết khoảng 80% doanh nghiệp Việt Nam đã ứng dụng AI, trong khi hơn 70% tổ chức tín dụng sử dụng công nghệ này cho các công việc như chấm điểm tín dụng, định danh điện tử, phát hiện gian lận và kiểm tra, phòng chống rửa tiền. Chấm điểm tín dụng giúp bên cho vay đánh giá khả năng trả nợ của người vay; định danh điện tử xác minh danh tính khách hàng từ xa.

Ông Đàm Thế Thái, Phó Tổng Giám đốc HDBank, cho biết ngân hàng đang thử nghiệm AI để phát hiện gian lận khi giao dịch diễn ra, cùng với quy trình thẩm định và phê duyệt tín dụng tự động trong hai đến ba phút.

Mức độ sẵn sàng vẫn chưa đồng đều. Theo chỉ số Mức độ sẵn sàng AI của Cisco được dẫn tại diễn đàn, chỉ 13% doanh nghiệp Việt Nam được xếp vào nhóm hoàn toàn sẵn sàng cho AI. Có 63% đặt việc nâng cao khả năng mở rộng và thích ứng của hạ tầng công nghệ lên hàng đầu trong các ưu tiên. Triển khai một công cụ AI và có đủ dữ liệu, thiết bị, biện pháp kiểm soát để sử dụng công cụ đó an toàn là hai giai đoạn khác nhau.

Mật khẩu yếu và hành vi giả mạo thuyết phục

Gần 1,9 triệu tài khoản sử dụng mật khẩu đơn giản cho thấy điểm yếu ở phía khách hàng. Một dãy số dễ đoán như "123456" giúp tội phạm có điểm khởi đầu thuận lợi hơn khi tìm cách truy cập tài khoản.

Kết quả khảo sát được công bố tại diễn đàn cũng cho thấy chỉ 36% người trả lời bày tỏ lo ngại về deepfake, tỷ lệ thấp nhất trong số các rủi ro được khảo sát. Deepfake là hình ảnh, video hoặc giọng nói được tạo ra hay chỉnh sửa bằng AI để khiến một người có vẻ như nói hoặc làm điều họ chưa từng nói hoặc làm.

Ông Tú cảnh báo tội phạm có thể kết hợp danh tính giả với kịch bản lừa đảo được chuẩn bị kỹ để thuyết phục người dân tự chuyển tiền. Lừa đảo kiểu này có thể tiếp cận khách hàng qua khuôn mặt hoặc giọng nói trông có vẻ quen thuộc, thay vì tìm cách đột nhập ứng dụng ngân hàng một cách rõ ràng.

Ông Thái cho rằng hiểu biết và niềm tin của khách hàng là yếu tố thiết yếu bên cạnh công nghệ ngân hàng. Ông kêu gọi ngân hàng, doanh nghiệp viễn thông, ví điện tử, nền tảng số và cơ quan quản lý cùng xây dựng niềm tin vào các dịch vụ số.

Số lượng tài khoản được kiểm tra và phương pháp xác định mật khẩu yếu không được nêu trong số liệu tại diễn đàn. Vì vậy, con số gần 1,9 triệu không kèm tỷ lệ so với tổng số tài khoản tại Việt Nam.

Vụ đánh cắp thẻ tại nhà hàng phơi bày một lỗ hổng khác

Ông Sơn kể về một vụ việc được phát hiện năm 2025, trong đó nghi phạm giả làm nhân viên tại các nhà hàng cao cấp. Khi khách đưa thẻ ngân hàng để thanh toán, nghi phạm bí mật tháo chip trên thẻ.

Nghi phạm gắn những con chip đó lên các phôi thẻ khác rồi dùng thẻ đã làm để mua một số mẫu iPhone đời mới, chiếm đoạt hơn 200 triệu đồng, tương đương khoảng 7.700 USD.

Sau đó, công an phối hợp với Ngân hàng Nhà nước thông báo cho các ngân hàng thương mại, yêu cầu rà soát và điều chỉnh các dịch vụ liên quan đến thẻ vật lý gắn chip.

Vụ việc cho thấy thách thức bảo mật không chỉ nằm ở mật khẩu và ứng dụng ngân hàng. Thẻ của khách hàng còn qua tay nhân viên và các quy trình thanh toán tại cửa hàng, nhà hàng. Tội phạm có thể lợi dụng khâu xử lý này trong khi ngân hàng tập trung bảo vệ mạng lưới số.

Cảnh báo đã giúp ngăn các khoản thanh toán đáng ngờ

Hệ thống giám sát của Ngân hàng Nhà nước kết nối với gần 100 tổ chức tài chính và đã xác định hơn 668.000 tài khoản có dấu hiệu vi phạm, theo số liệu do ông Tiến công bố. Các ngân hàng đã phát đi hàng triệu cảnh báo, phối hợp thu hồi hoặc tạm dừng các khoản tiền trị giá hàng nghìn tỷ đồng.

SIMO, hệ thống thông tin hỗ trợ quản lý rủi ro thanh toán, giám sát và phòng ngừa gian lận, đã gửi 5,8 triệu cảnh báo tới khách hàng từ năm 2025 đến tháng 10/2026. Tiếp đó là gần 1,9 triệu lượt khách hàng dừng hoặc hủy giao dịch đáng ngờ, với tổng giá trị gần 7,2 nghìn tỷ đồng.

Các số liệu tương đương khoảng một giao dịch được dừng hoặc hủy trên mỗi ba cảnh báo. Tổng số liệu tính theo lượt cảnh báo và phản hồi của khách hàng, nên một khách hàng nhận nhiều cảnh báo có thể được tính nhiều lần.

Gần 1,9 triệu lượt giao dịch bị dừng hoặc hủy theo cảnh báo của SIMO là số liệu về cảnh báo thanh toán. Con số gần tương đương về mật khẩu yếu phản ánh an ninh tài khoản. Hai số liệu cho thấy cần bảo vệ ở hai khâu: quyền truy cập tài khoản và quyết định gửi tiền.

Với khách hàng, cảnh báo tạo cơ hội dừng lại trước khi tiền được chuyển đi. Với ngân hàng và công an, thông tin được kết nối có thể giúp xác định dòng tiền đáng ngờ đang di chuyển đến đâu và hỗ trợ phản ứng nhanh hơn.

Lần theo tiền bị đánh cắp qua các ngân hàng

Bộ Công an và Ngân hàng Nhà nước đang xây dựng phương án theo dõi dòng tiền liên quan đến lừa đảo qua các tài khoản ngân hàng. Ông Sơn cho biết hai cơ quan đã có buổi làm việc ba ngày trước diễn đàn ngày 6/11 để thảo luận hệ thống thí điểm truy vết và đối soát các dòng tiền này.

Thông tin về chương trình ngân hàng cho biết hoạt động thí điểm truy vết và ngăn chặn khẩn cấp tại các ngân hàng thương mại lớn bắt đầu vào tháng 6/2026, với kế hoạch mở rộng toàn hệ thống trong quý I/2027. Phần trình bày của ông Sơn tập trung vào các cuộc thảo luận tiếp theo diễn ra đầu tháng 11.

Tốc độ rất quan trọng vì tội phạm có thể chuyển tiền bị đánh cắp qua nhiều tài khoản và trung gian chỉ trong vài phút. Nếu chỉ phản ứng tại ngân hàng đầu tiên nhận tiền, việc lần theo dòng tiền có thể nhanh chóng trở nên khó khăn khi tiền được chuyển đi nơi khác.

Các mốc thời gian chính gồm:

• Tháng 12/2025: Hiệp hội An ninh mạng Quốc gia khảo sát hơn 5.300 tổ chức cho báo cáo đánh giá thường niên.
• Tháng 1 đến tháng 6/2026: Cơ quan chức năng ghi nhận gần 1.000 vụ lừa đảo trực tuyến có hành vi chiếm đoạt tài sản.
• Tháng 6/2026: Mốc khởi động thí điểm truy vết khẩn cấp và ngăn chặn giao dịch chuyển tiền giữa các ngân hàng theo chương trình ngân hàng.
• Ngày 3/11/2026: Công an và Ngân hàng Nhà nước thảo luận hệ thống truy vết, đối soát được đề xuất, theo thông tin ông Sơn đưa ra về cuộc họp diễn ra ba ngày trước diễn đàn.
• Quý I/2027: Dự kiến mở rộng giải pháp truy vết trên toàn hệ thống ngân hàng.

Ông Tú kêu gọi xây dựng nền tảng dữ liệu tài chính thống nhất để các tổ chức chia sẻ thông tin theo quy định về an ninh và quyền riêng tư. Ông Thái cũng đề xuất chia sẻ cảnh báo gian lận theo thời gian thực giữa ngân hàng, nhà cung cấp dịch vụ viễn thông, ví điện tử và các sàn giao dịch tài sản số được cấp phép.

Đầu tư bảo mật vẫn chưa khắc phục được các lỗ hổng cơ bản

Các ngân hàng thương mại dành khoảng 17,2% vốn đầu tư cho chuyển đổi số cho an toàn thông tin và an ninh mạng, ông Tiến cho biết. Ông cũng kêu gọi đánh giá rủi ro, kiểm thử an ninh, diễn tập ứng phó sự cố và giám sát nhà cung cấp công nghệ.

Khảo sát rộng hơn của hiệp hội đối với các cơ quan và doanh nghiệp cho thấy công tác chuẩn bị đã có tiến triển. Có 75,93% tổ chức đào tạo nâng cao nhận thức về an ninh mạng, 51,45% tổ chức diễn tập an ninh, 51,65% đã triển khai hoặc đang vận hành trung tâm điều hành an ninh mạng và 76,35% có hệ thống sao lưu. Trung tâm điều hành an ninh mạng tập trung hoạt động giám sát và ứng phó sự cố.

Những điểm yếu cơ bản vẫn tồn tại ở các tổ chức được khảo sát. Có 47,72% thiếu nhân sự an ninh mạng, 27,80% chưa có tiêu chuẩn an ninh mạng nội bộ và 51,87% thiếu phần mềm phòng chống mã độc được quản lý tập trung.

Một tỷ lệ 8,71% khác không sử dụng phần mềm diệt virus, còn 9,38% không có biện pháp kiểm soát như tường lửa để quản lý truy cập Internet. Các số liệu này phản ánh khảo sát rộng hơn về các cơ quan và doanh nghiệp, chứ không chỉ riêng ngân hàng thương mại.

Khoảng cách thực tế nằm ở việc làm sao vừa chuẩn bị cho nhân viên, vừa duy trì bảo vệ trên toàn tổ chức. Đào tạo có thể giúp nhân viên nhận ra nguy cơ, nhưng phòng thủ hiệu quả còn đòi hỏi nhân sự giám sát hệ thống, triển khai phần mềm đồng bộ và quy trình ứng phó được diễn tập trước để sử dụng khi xảy ra tấn công.

Quy định dữ liệu và chuẩn bị cho máy tính lượng tử

Ông Tú đề xuất tăng cường bảo vệ thông tin ngân hàng, thông tin cá nhân và dữ liệu sinh trắc học theo Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân của Việt Nam. Dữ liệu sinh trắc học gồm các đặc điểm nhận dạng thể chất như khuôn mặt hoặc dấu vân tay được dùng để xác minh danh tính.

Ông kêu gọi lưu trữ và xử lý dữ liệu quan trọng tại các trung tâm dữ liệu an toàn ở Việt Nam. Các đề xuất của ông cũng bao gồm việc xác định rõ trách nhiệm kiểm soát hệ thống AI và yêu cầu con người phê duyệt các giao dịch lớn hoặc có độ nhạy cảm cao.

Ông Tú cảnh báo dữ liệu thiếu chuẩn hóa và việc kiểm soát mô hình AI yếu có thể ảnh hưởng đến cả quyết định tự động lẫn quyền riêng tư của khách hàng. Hệ thống ngân hàng ra quyết định nhanh vẫn cần thông tin đáng tin cậy và quy trình rõ ràng để rà soát các thao tác nhạy cảm.

Máy tính lượng tử là mối lo ngại trong dài hạn. Ông Tú cảnh báo năng lực tính toán của công nghệ này có thể đe dọa một số phương thức mã hóa truyền thống đang bảo vệ thanh toán, chữ ký số và dữ liệu ngân hàng. Chữ ký số giúp xác định ai đã phê duyệt một chỉ thị điện tử và liệu chỉ thị đó có bị thay đổi hay không.

Ông Tú kêu gọi các ngân hàng đánh giá mức độ phụ thuộc vào phương thức mã hóa hiện tại và lên kế hoạch chuyển sang mật mã hậu lượng tử, tức các phương thức được thiết kế để chống lại những cuộc tấn công sử dụng máy tính lượng tử. Thông điệp rộng hơn của ông gắn công tác chuẩn bị kỹ thuật với niềm tin của công chúng: khi khoảng 89% người trưởng thành Việt Nam có tài khoản thanh toán, bảo đảm an toàn cho ngân hàng số đã trở thành một phần của việc bảo vệ dịch vụ tài chính hằng ngày.

Điểm chính

• Gần 1,9 triệu tài khoản tại Việt Nam vẫn sử dụng mật khẩu đơn giản, theo số liệu công bố tại diễn đàn an ninh tài chính ngày 6/11/2026.
• Việt Nam ước tính hứng chịu 552.000 cuộc tấn công mạng trong năm 2025. Số vụ tấn công giảm 19,38%, trong khi tỷ lệ tổ chức được khảo sát báo cáo thiệt hại tăng lên 52,30%.
• Cơ quan chức năng ghi nhận gần 1.000 vụ lừa đảo trực tuyến trong nửa đầu năm 2026, với thiệt hại lên tới hàng nghìn tỷ đồng.
• SIMO phát đi 5,8 triệu cảnh báo đến tháng 10/2026; sau đó có gần 1,9 triệu lượt khách hàng dừng hoặc hủy giao dịch đáng ngờ, với tổng giá trị gần 7,2 nghìn tỷ đồng.
• Thí điểm truy vết và khẩn cấp ngăn chặn tiền nghi có nguồn gốc từ lừa đảo dự kiến được mở rộng trên toàn hệ thống ngân hàng trong quý I/2027.
• Các đề xuất tại diễn đàn gồm tăng cường bảo vệ dữ liệu, chia sẻ cảnh báo gian lận, duy trì sự kiểm soát của con người đối với quyết định AI nhạy cảm và chuẩn bị ứng phó rủi ro từ máy tính lượng tử.