Vụ việc liên quan tới KienlongBank (KLB) khi khách hàng tại Hà Nội bị mất 5 tỉ đồng sau khi chuyển tiền từ tài khoản mở bằng hình thức định danh điện tử (eKYC). Theo đơn tố cáo, giao dịch rút tiền được thực hiện bằng dữ liệu sinh trắc học tĩnh và không có dữ liệu sinh trắc học động (liveness) như quy định. Người gửi cho biết có sự xuất hiện của một thiết bị lạ gắn vào hệ thống từ khi mở tài khoản và sau đó số tiền bị rút đi mà không có ý chí hay hành động của chủ tài khoản.
Theo trình bày, khoảng từ 13h05 đến 13h20 ngày 12/12/2025, khách hàng mở tài khoản và thực hiện gửi 50 triệu đồng. Sau đó, 11 giao dịch rút tiền được ghi nhận gồm 1 giao dịch 100 triệu và 10 giao dịch 490 triệu đồng, tổng cộng 5 tỷ đồng. Các giao dịch này xảy ra trong khung thời gian ngắn giữa đêm và rạng sáng ngày 13/12/2025.
Phản hồi từ KLB cho biết hệ thống đã vận hành theo lớp bảo mật của NHNN và nghi vấn cho rằng số tiền mất có thể xuất phát từ việc OTP bị lộ. Ngân hàng cho biết đã phối hợp với mạng lưới liên kết để phong tỏa một phần dòng tiền và chuyển hồ sơ vụ việc sang cơ quan công an để điều tra. Đồng thời, đại diện ngân hàng cho rằng dữ liệu xác thực có thể bị xâm phạm do OTP bị đánh cắp chứ không phải do lỗi từ hệ thống Core Banking.
Chuyên gia an ninh mạng cho rằng sự việc gợi mở nhiều nghi vấn, đặc biệt khi dữ liệu sinh trắc học tĩnh được dùng để cấp quyền giao dịch. Họ nhấn mạnh rằng theo quy định, lần giao dịch trên thiết bị mới cần có sinh trắc học động (liveness) và xác thực OTP gửi về thiết bị chủ tài khoản. Các giao dịch diễn ra ngoài giờ làm việc gây nghi hoặc và càng làm rõ nhu cầu kiểm tra độc lập từ cơ quan chức năng.
Đến nay, NHNN và các cơ quan chức năng được kêu gọi tiến hành kiểm tra, rà soát kỹ thuật hệ thống và tuân thủ quy định để làm rõ trách nhiệm và ngăn ngừa các sự cố tương tự trong tương lai. Việc này được cho là cần thiết để đánh giá tính an toàn của quy trình định danh và cấp quyền cho thiết bị mới, nhằm bảo vệ khách hàng trước các hành động gian lận tiềm ẩn.