Nhiều dấu hỏi trong vụ 5 tỉ đồng 'bốc hơi' qua thiết bị lạ dùng ảnh tĩnh

Thông tin sự cố bảo mật liên quan đến sinh trắc học và ngân hàng

Vụ việc liên quan tới KienlongBank (KLB) khi khách hàng tại Hà Nội bị mất 5 tỉ đồng sau khi chuyển tiền từ tài khoản mở bằng hình thức định danh điện tử (eKYC). Theo đơn tố cáo, giao dịch rút tiền được thực hiện bằng dữ liệu sinh trắc học tĩnh và không có dữ liệu sinh trắc học động (liveness) như quy định. Người gửi cho biết có sự xuất hiện của một thiết bị lạ gắn vào hệ thống từ khi mở tài khoản và sau đó số tiền bị rút đi mà không có ý chí hay hành động của chủ tài khoản.

Theo trình bày, khoảng từ 13h05 đến 13h20 ngày 12/12/2025, khách hàng mở tài khoản và thực hiện gửi 50 triệu đồng. Sau đó, 11 giao dịch rút tiền được ghi nhận gồm 1 giao dịch 100 triệu và 10 giao dịch 490 triệu đồng, tổng cộng 5 tỷ đồng. Các giao dịch này xảy ra trong khung thời gian ngắn giữa đêm và rạng sáng ngày 13/12/2025.

Phản hồi từ KLB cho biết hệ thống đã vận hành theo lớp bảo mật của NHNN và nghi vấn cho rằng số tiền mất có thể xuất phát từ việc OTP bị lộ. Ngân hàng cho biết đã phối hợp với mạng lưới liên kết để phong tỏa một phần dòng tiền và chuyển hồ sơ vụ việc sang cơ quan công an để điều tra. Đồng thời, đại diện ngân hàng cho rằng dữ liệu xác thực có thể bị xâm phạm do OTP bị đánh cắp chứ không phải do lỗi từ hệ thống Core Banking.

Chuyên gia an ninh mạng cho rằng sự việc gợi mở nhiều nghi vấn, đặc biệt khi dữ liệu sinh trắc học tĩnh được dùng để cấp quyền giao dịch. Họ nhấn mạnh rằng theo quy định, lần giao dịch trên thiết bị mới cần có sinh trắc học động (liveness) và xác thực OTP gửi về thiết bị chủ tài khoản. Các giao dịch diễn ra ngoài giờ làm việc gây nghi hoặc và càng làm rõ nhu cầu kiểm tra độc lập từ cơ quan chức năng.

Đến nay, NHNN và các cơ quan chức năng được kêu gọi tiến hành kiểm tra, rà soát kỹ thuật hệ thống và tuân thủ quy định để làm rõ trách nhiệm và ngăn ngừa các sự cố tương tự trong tương lai. Việc này được cho là cần thiết để đánh giá tính an toàn của quy trình định danh và cấp quyền cho thiết bị mới, nhằm bảo vệ khách hàng trước các hành động gian lận tiềm ẩn.

Điểm nổi bật của sự cố

• KLB cho biết số tiền mất liên quan tới 11 lệnh rút tiền từ 1:00 sáng đến 1:19 sáng ngày 13/12/2025, với 1 giao dịch 100 triệu và 10 giao dịch 490 triệu đồng.
• Khách hàng cho rằng có sự gắn 2 thiết bị vào tài khoản từ lúc mở và chỉ có dữ liệu sinh trắc học tĩnh được cung cấp áp dụng cho các giao dịch.
• Ngân hàng cho rằng hệ thống vẫn vận hành theo các lớp bảo mật và rằng sự cố có thể liên quan đến lộ OTP từ đối tượng xấu, đã phong tỏa một phần dòng tiền và chuyển hồ sơ cho cơ quan công an.
• Chuyên gia nhấn mạnh cần xác thực động (liveness) cho giao dịch trên thiết bị mới và xem xét lại quy trình cảnh báo giao dịch bất thường, đặc biệt vào giờ khuya.
• NHNN và cơ quan chức năng được kêu gọi tiến hành kiểm tra kỹ thuật để làm rõ trách nhiệm và đảm bảo an toàn cho khách hàng trong tương lai.