Phần mềm ứng dụng Mobile Banking không được ghi nhớ mã khóa bí mật

Theo đó, Thông tư 50/2024 quy định các yêu cầu bảo đảm an toàn, bảo mật cho việc cung cấp dịch vụ trực tuyến trong ngành ngân hàng, bao gồm hoạt động ngân hàng và các hoạt động kinh doanh khác của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài; hoạt động cung ứng dịch vụ trung gian thanh toán; hoạt động thông tin tín dụng.

NHNN quy định phần mềm ứng dụng Mobile Banking do đơn vị cung cấp phải bảo đảm tuân thủ các quy định tại Điều 7 Thông tư (quy định về Online Banking) và các yêu cầu. Cụ thể, phải được đăng ký và quản lý tại kho ứng dụng chính thức của hãng cung cấp hệ điều hành cho thiết bị di động và hướng dẫn cài đặt rõ ràng trên trang tin điện tử đơn vị để khách hàng tải và cài đặt phần mềm ứng dụng Mobile Banking. Trong trường hợp vì lý do khách quan mà phần mềm ứng dụng Mobile Banking không được đăng ký và quản lý tại kho ứng dụng chính thức của hãng cung cấp hệ điều hành cho thiết bị di động, đơn vị phải có phương thức hướng dẫn, thông báo, hỗ trợ cài đặt phần mềm ứng dụng Mobile Banking bảo đảm an toàn, bảo mật cho khách hàng và báo cáo về NHNN (Cục Công nghệ thông tin) trước khi cung cấp dịch vụ.

ẢNH: NGỌC THẠCH

Đồng thời, phần mềm ứng dụng Mobile Banking phải được áp dụng các biện pháp bảo vệ để hạn chế dịch ngược mã nguồn. Có biện pháp bảo vệ, chống can thiệp vào luồng trao đổi dữ liệu trên ứng dụng Mobile Banking và giữa ứng dụng Mobile Banking với máy chủ cung cấp dịch vụ Online Banking. Triển khai các giải pháp nhằm phòng, chống, phát hiện các hành vi can thiệp trái phép vào ứng dụng Mobile Banking đã cài đặt trong thiết bị di động của khách hàng. Không cho phép chức năng ghi nhớ mã khóa bí mật truy cập.

Đối với hình thức xác nhận khớp đúng sinh trắc học, Thông tư yêu cầu hình thức khớp đúng thông tin sinh trắc học sử dụng khuôn mặt có khả năng phát hiện tấn công giả mạo thông tin sinh trắc học của vật thể sống dựa trên tiêu chuẩn quốc tế để phòng, chống gian lận, giả mạo khách hàng qua hình ảnh, video, mặt nạ 3D… Trương hợp khách hàng xác nhận bằng hình thức khớp đùng thông tin sinh trắc học quá số lần sai liên tiếp do đơn vị quy định (nhưng không quá 10 lần), khóa chức năng thực hiện xác nhận giao dịch bằng hình thức khớp đúng thông tin sinh trắc học, chỉ mở khóa khi khách hàng yêu cầu và phải kiểm tra khách hàng khi thực hiện, bảo đảm chống gian lận, giả mạo. Thời gian thực hiện khớp đúng thông tin sinh trắc học tối đa 3 phút.

Thông tư còn có một mục bảo vệ quyền lợi của khách hàng đề cập quyền lợi và nghĩa vụ của khách hàng sử dụng dịch vụ Online Banking. Theo đó, các dữ liệu của khách hàng mà đơn vị thu nhập, mục đích sử dụng dữ liệu của khách hàng và trách nhiệm của đơn vị trong bảo mật dữ liệu của khách hàng theo quy định của pháp luật trừ trường hợp đơn vị và khách hàng có thỏa thuận khác. Cam kết khả năng bảo đảm hoạt động liên tục của hệ thống Online Banking, tối thiểu thời gian gián đoạn cung cấp dịch vụ trong một lần, tổng thời gian gián đoạn cung cấp dịch vụ trong một năm trừ các trường hợp bất khả kháng hoặc bảo trì, nâng cấp hệ thống đã được đơn vị thông báo. Đơn vị không gửi tin nhắn SMS, thư điện tử cho khách hàng có nội dung chưa đường dẫn liên kết (hyperlink) truy cập các trang tin điện tử, trừ trường hợp theo yêu cầu của khách hàng.

Ngoài ra, các đơn vị phải hướng dẫn khách hàng sử dụng dịch vụ Online Banking, trong đó thực hiện các biện pháp bảo đảm an toàn, bảo mật. Chẳng hạn, không nên sử dụng máy tính công cộng để truy cập, thực hiện giao dịch, không nên sử dụng mạng wifi công cộng khi sử dụng dịch vụ Online Banking; không lưu tên đăng nhập và mã khóa bí mật, mã PIN trên các trình duyệt; nhận dạng và xử lý một số tình huống lừa đảo, giả mạo trang tin điện tử, phần mềm ứng dụng Online Banking…