The Payments Defense Grid: Chốt kiểm soát đã hoạt động. Tiền vẫn đi mất.

Khâu xác thực đã hoạt động. Sinh trắc học khớp, thiết bị được tin cậy, và chính khách hàng đã tự phê duyệt giao dịch. Tiền đã đi mất, không thể thu hồi, trong chưa đầy một giây. Không có gì hỏng — và đó chính là vấn đề.

Trên một kênh thanh toán không thể đảo ngược, một chốt kiểm soát vượt qua không đồng nghĩa với một ngân hàng được bảo vệ, và phần lớn ngân hàng mới chỉ xây dựng một nửa hệ thống phòng vệ — nửa có thể nhìn thấy kẻ mạo danh.

Vì sao điều này quan trọng ngay lúc này

Các kênh thanh toán tức thời đã thay đổi một điều quan trọng hơn cả tốc độ. Chúng xóa bỏ khoảng dừng.

Trên kênh thanh toán cũ, một lệnh chuyển tiền nằm chờ đâu đó trong vài giờ. Khoảng trống đó chưa bao giờ là một tính năng thiết kế, nhưng mọi chốt kiểm soát gian lận mà ngân hàng xây dựng đều âm thầm dựa vào nó. Ai đó có thể xem xét, hỏi lại, tạm giữ giao dịch, hoặc đảo ngược nó trong lúc chờ câu trả lời. Quyết toán tức thời là cuối cùng: một khi giá trị đã vào tài khoản nhận, nó sẽ không quay về chỉ vì có yêu cầu.

Các ngân hàng đã phản ứng hợp lý. Họ đưa các chốt kiểm soát lên sớm hơn và làm chúng nhanh hơn — xác thực mạnh hơn ở phần biên, chấm điểm tốt hơn trong luồng thanh toán, giám sát nhiều hơn trong thời gian ngắn hơn. Phần kỹ thuật đằng sau sự dịch chuyển đó thực sự ấn tượng và không hề lãng phí.

Dù vậy, tổn thất vẫn tiếp tục tăng. Trên toàn Khu vực Kinh tế châu Âu năm 2024, tổng gian lận thanh toán đạt 4,2 tỷ EUR, riêng gian lận chuyển khoản đã đạt 2,2 tỷ EUR, tăng 16% so với năm trước (báo cáo chung EBA–ECB về gian lận thanh toán, tháng 12/2025). Khoảng cách giữa nỗ lực và kết quả đó không phải là thất bại trong thực thi. Đó là thất bại trong chẩn đoán.

Một chốt kiểm soát gian lận thực sự được xây dựng để nhận biết điều gì

Hãy xem một chốt kiểm soát gian lận hiện đại theo dõi những gì. Một người lạ. Ai đó dùng thông tin đăng nhập không phải của mình. Một thiết bị chưa từng thấy. Một phiên có hành vi bất thường — nhịp gõ phím lệch, vị trí không thể xảy ra, một công cụ truy cập từ xa âm thầm chạy bên dưới. Mỗi tín hiệu đó đều hỏi cùng một câu: người này có đúng là người họ tự nhận không?

Đó là một câu hỏi hay. Nhưng cũng ngày càng là câu hỏi sai.

Hãy hình dung giao dịch thực sự rút cạn một danh mục khách hàng bán lẻ. Một khách hàng nhận được cuộc gọi. Trong một giờ, đôi khi kéo dài nhiều tuần, họ bị thuyết phục rằng chuyển tiền đi là việc an toàn và cấp bách. Rồi họ mở ứng dụng ngân hàng của chính mình, trên điện thoại của chính mình, ở nơi quen thuộc, vào một giờ bình thường. Họ vượt qua kiểm tra sinh trắc học. Họ đọc màn hình xác nhận. Họ tự phê duyệt lệnh chuyển.

Không có gì bất thường trong giao dịch đó, vì không có gì trong đó là giả. Thiết bị là thật. Thông tin đăng nhập là thật. Ý định, theo nghĩa duy nhất mà một hệ thống có thể đo được, cũng là thật. Khách hàng không bị mạo danh — họ đang bị điều khiển. Không quy tắc nào bị vi phạm bên trong giao dịch, nên không quy tắc nào giám sát giao dịch có gì để bắt.

Đây là phép đo đáng lẽ phải định hình lại cuộc thảo luận về ngân sách. Đối với giao dịch chuyển khoản trên toàn EEA năm 2024, chính người sử dụng dịch vụ thanh toán đã gánh chịu khoảng 85% tổng tổn thất gian lận, chủ yếu từ các vụ lừa đảo khiến họ tự khởi tạo lệnh chuyển. Cần đọc chính xác: đây là thông tin về việc ai đã gánh chịu tổn thất, không phải khẳng định rằng 85% gian lận thuộc về một loại duy nhất.

Cách diễn đạt của chính các cơ quan giám sát thận trọng hơn bản tóm tắt mà lập luận này muốn có, nên xin dẫn nguyên theo cách họ viết. Xác thực mạnh khách hàng "vẫn hiệu quả trước những loại hình gian lận mà nó được thiết kế để giảm thiểu và từng chiếm ưu thế vào thời điểm PSD2 có hiệu lực, đặc biệt là với thanh toán thẻ"; với các loại hình thanh toán khác, chẳng hạn chuyển khoản, "hiệu quả này kém rõ ràng hơn". Họ cũng ghi nhận các loại hình gian lận mới "thao túng chính người dùng hợp pháp để họ xác thực những giao dịch gian lận". Cách diễn đạt đó nhẹ hơn khẳng định rằng xác thực mạnh bị vô hiệu hóa trên kênh chuyển khoản — nó nói rằng lợi ích đo được ở đó kém rõ ràng hơn — và chính phiên bản nhẹ hơn mới là phiên bản trụ được khi đối chiếu.

Khâu xác thực không thất bại trong những trường hợp đó. Nó đã cho qua, xác nhận chính xác rằng đúng người đang ra lệnh cho ngân hàng — và ngân hàng sau đó thực hiện một lệnh hợp lệ, nhanh chóng và chính xác, vào một tài khoản do tội phạm kiểm soát.

Hai kiểu thất bại không có tín hiệu chung

Vì vậy, cách đặt lại vấn đề hữu ích là: giá trị của một chốt kiểm soát thanh toán nằm ở những gì nó nhìn thấy, không phải tốc độ kích hoạt.

Tiền rời khỏi tài khoản sai cách chỉ theo hai con đường. Ở con đường thứ nhất, một kẻ mạo danh hành động khi không có sự đồng ý của chủ tài khoản — thông tin đăng nhập bị đánh cắp, thiết bị bị chiếm quyền, số điện thoại di động bị tráo. Sự lừa dối nhắm vào hệ thống của ngân hàng, nên hệ thống của ngân hàng có thể phát hiện ra. Có một điểm gian dối nằm ngay trong giao dịch.

Ở con đường thứ hai, chính chủ tài khoản hành động, do bị lừa. Sự lừa dối nhắm vào khách hàng, không phải ngân hàng. Khi giao dịch đến được bất kỳ chốt kiểm soát nào, lời nói dối đã thành công ở một nơi ngân hàng không thể quan sát — trong một cuộc gọi, một tin nhắn, một mối quan hệ. Bản thân giao dịch hoàn toàn sạch.

Đây không phải hai mức độ của cùng một vấn đề. Đây là hai vấn đề, với tín hiệu khác nhau, chủ sở hữu khác nhau và bài toán kinh tế khác nhau. Và đây là hệ quả mà phần lớn ngân hàng chưa định giá: dù đầu tư bao nhiêu vào chốt kiểm soát chống mạo danh cũng không tạo ra bất kỳ mức bao phủ nào cho loại thứ hai. Anh/chị có thể tăng gấp đôi ngân sách mà không mua được gì.

The Payments Defense Grid — hai trục, sáu ô

Từ đó hình thành khung tư duy. Hai trục, sáu ô.

Một chiều là những gì chốt kiểm soát có thể nhìn thấy: kẻ mạo danh, hay chủ tài khoản bị lừa. Chiều còn lại là những gì nó vẫn có thể làm tại thời điểm kích hoạt: ngăn chặn trước khi giá trị dịch chuyển, chặn lại ngay lúc phát sinh ý định, hấp thụ sau khi giao dịch đã hoàn tất. Mọi chốt kiểm soát thanh toán mà ngân hàng vận hành đều nằm đúng trong một ô.

Mã của từng ô là nhãn gọi tên, không phải thứ hạng — chúng được đánh số để một chốt kiểm soát có thể được gọi tên trong tờ trình hội đồng mà không cần cả một đoạn mô tả, và chúng khớp từng ô với playbook tải về.

Hai nguyên tắc giúp lưới này hữu ích thay vì chỉ để trang trí. Thứ nhất, đây không phải thang trưởng thành. Không ai tiến dần từ D1 lên D6; các cột là những bài toán khác nhau, không phải các giai đoạn, và đọc chúng như một trình tự sẽ tái tạo chính sai lầm mà lưới này sửa chữa. Thứ hai, sở hữu một sản phẩm không có nghĩa là vận hành một ô. Chỉ đánh dấu những ô có thứ gì đó thực sự kích hoạt và có người chịu trách nhiệm về kết quả — phần lớn danh mục chốt kiểm soát co lại đáng kể khi áp dụng phép thử này.

Cột kẻ mạo danh: nửa anh/chị đã có

D1, ngăn chặn, là tin cậy người trả và thiết bị: sinh trắc học, phát hiện tấn công giả mạo sinh trắc học, gắn kết thiết bị, phát hiện mã độc và truy cập từ xa. Đây là mức sàn theo quy định, và tại Việt Nam một phần trong đó nay đã được quy định rõ. Thông tư 77/2025/TT-NHNN, ban hành ngày 31/12/2025 và đăng Công báo số 25 ngày 20/1/2026, sửa đổi Thông tư 50/2024 và yêu cầu cả phát hiện tấn công giả mạo sinh trắc học lẫn kiểm tra bảo mật thiết bị tự động — và rất đáng đọc kỹ điều nào mang nghĩa vụ nào, vì hiệu lực được chia theo giai đoạn và cách chia không rơi vào chỗ mà một lần đọc lướt sẽ đặt nó.

Các nghĩa vụ an toàn bảo mật về nội dung có hiệu lực theo mốc chung, ngày 01/3/2026. Điều 7 của thông tư sửa đổi viết lại Điều 11 của Thông tư 50/2024, yêu cầu phải có giải pháp phát hiện tấn công giả mạo sinh trắc học — văn bản gọi thẳng là PAD, bằng tiếng Anh — được chứng nhận bởi phòng thử nghiệm sinh trắc học do FIDO Alliance công nhận hoặc bởi tổ chức chứng nhận được cấp phép, đạt ISO 30107 Mức 2 hoặc tương đương. Điều 5 viết lại Điều 8, yêu cầu ứng dụng Mobile Banking phải tự động thoát hoặc dừng hoạt động, và thông báo cho khách hàng lý do, khi phát hiện trình gỡ lỗi, trình giả lập hoặc thiết bị ảo, Android Debug Bridge, kỹ thuật hooking hay đóng gói lại khi chạy, hoặc thiết bị đã root, jailbreak hay mở khóa bootloader.

Phần được lùi hiệu lực hẹp hơn nhiều. Điều 12 chỉ lùi Điều 3 và Điều 10 của chính thông tư sửa đổi — các phương thức xác nhận bắt buộc khi thông tin định danh khách hàng thay đổi, và Phụ lục được sửa đổi — sang ngày 01/7/2026 đối với tổ chức phục vụ cả khách hàng cá nhân lẫn khách hàng tổ chức, và sang ngày 01/10/2026 đối với tổ chức chỉ phục vụ khách hàng tổ chức. Vì vậy, một ngân hàng đa năng có mốc tháng Bảy cho việc xác nhận thay đổi thông tin định danh và cho Phụ lục, và có mốc tháng Ba cho PAD cùng các kiểm tra thiết bị. Đọc mốc lùi như tấm khiên cho phần việc sinh trắc học sẽ làm chậm đúng chương trình không nên chậm, trễ 4 tháng. Hãy đối chiếu với văn bản trên Công báo trước khi chốt bất kỳ mốc thời gian nào.

D3, chặn lại, là quyết định trong luồng: chấm điểm giao dịch ngay trong luồng cấp phép, trong giới hạn độ trễ của hệ thống thanh toán, với hành vi được xác định rõ khi mô hình không khả dụng. D5, hấp thụ, là thu hồi sau hoàn tất — yêu cầu hủy, phong tỏa tài khoản, truy vết dòng tiền. Hãy thẳng thắn về ô cuối này: trên kênh thanh toán tức thời, nó phần lớn chỉ là thủ tục, vì tiền được chuyển tiếp dây chuyền trong vài phút và tài khoản nhận thường đã trống khi thông điệp thu hồi đến nơi.

Phần lớn ngân hàng triển khai toàn bộ cột này ở chuẩn mực cao rồi tính đó là mức bao phủ. Nó bị giới hạn bởi những gì nó nhìn thấy. Rủi ro còn lại của D1 trước gian lận có ủy quyền gần như là toàn bộ, vì kẻ lừa đảo không vượt qua cơ chế phát hiện tấn công giả mạo sinh trắc học — chúng nhờ khách hàng tự vượt qua.

Cột chủ tài khoản bị lừa: nửa phần lớn còn bỏ trống

D2, ngăn chặn, là thông tin về người nhận: không phải ai đang gửi, mà tiền đang đi đâu. Xác minh tên người nhận so với hồ sơ tài khoản. Chấm điểm đích đến — tài khoản đó đã mở bao lâu, hoạt động ra sao, khách hàng này đã từng chuyển tiền cho nó chưa. Đây là ô có đòn bẩy cao nhất trong lưới, và không ngân hàng đơn lẻ nào có thể tự xây dựng đầy đủ, vì nó cần hạ tầng ở cấp hệ thống thanh toán hoặc cấp quốc gia.

D4, chặn lại, là ma sát có khách hàng tham gia: các chốt kiểm soát nhắm vào người trả tiền thay vì vào giao dịch. Cảnh báo cụ thể thay vì chung chung. Những câu hỏi cắt ngang một kịch bản đã được dàn dựng sẵn. Tạm giữ và thời gian chờ đối với người nhận mới thêm và lần gắn kết thiết bị mới. Đây là ô duy nhất trong lưới có thể tiếp cận một người khi họ đang bị thao túng — và cũng là ô duy nhất có chi phí doanh thu trực tiếp, chính vì vậy nó vẫn bỏ trống trừ khi có một lãnh đạo cấp cao đứng ra sở hữu quyết định.

D6, hấp thụ, là tín hiệu mạng lưới và chia sẻ trách nhiệm: thông tin liên tổ chức về tài khoản trung gian, và cơ chế phân bổ tổn thất tạo cho ngân hàng nhận tiền một lý do thực sự để hành động. Đây là ô thay đổi bài toán kinh tế của năm ô còn lại.

Điều gì đã xảy ra khi một cơ quan quản lý thay đổi người phải trả tiền

Phản biện hiển nhiên là cột thứ hai "mềm" — rằng ma sát và kiểm tra người nhận là những gì người ta khuyến nghị khi đã hết cách về kỹ thuật. Vậy hãy xem điều gì đã xảy ra khi một cơ quan quản lý thôi coi đây là bài toán phát hiện.

Tại Vương quốc Anh, cơ chế hoàn tiền bắt buộc cho gian lận thanh toán đẩy được ủy quyền có hiệu lực từ ngày 07/10/2024, với chi phí được chia đôi 50:50 giữa tổ chức gửi và tổ chức nhận (Payment Systems Regulator).

Hãy xem điều gì đã dịch chuyển. Với các vụ lừa đảo APP xảy ra trước ngày 07/10/2024, trong những hồ sơ khép lại trong năm 2024, 14 tập đoàn ngân hàng lớn nhất đã hoàn trả 60% số tiền bị mất tính theo giá trị, và 73% số vụ được báo cáo đã được hoàn trả toàn bộ hoặc một phần. Cơ quan quản lý ghi nhận chênh lệch 61 điểm phần trăm giữa tổ chức cao nhất và thấp nhất — mức bảo vệ của anh/chị phụ thuộc phần lớn vào việc anh/chị tình cờ giao dịch ở ngân hàng nào (PSR APP scam performance data, tháng 02/2026). Sau 18 tháng áp dụng, bảng theo dõi của chính cơ quan quản lý ghi nhận 88% số tiền bị mất trong các vụ lừa đảo APP thuộc phạm vi đã được hoàn trả cho nạn nhân, tương đương 316 triệu GBP trong khoảng từ ngày 07/10/2024 đến ngày 31/3/2026, với 82% yêu cầu được khép lại trong 5 ngày làm việc và 98% trong 35 ngày; người tiêu dùng đã báo cáo khoảng 438 nghìn yêu cầu, trong đó 301.500 yêu cầu thuộc phạm vi (bảng theo dõi hoàn tiền lừa đảo APP của PSR cho quý 1/2026, cập nhật ngày 30/7/2026).

Giờ đến phần cảnh báo, và vì bài viết này nói về kỷ luật đo lường nên nó phải được nêu ngay cạnh chính tiêu đề của mình chứ không phải trong một chú thích cuối trang. 60 và 88 không phải một cặp so sánh tương đương. Có ba điểm khác nhau. 60% là toàn bộ tổn thất lừa đảo APP tại 14 tập đoàn lớn nhất; 88% là tổn thất thuộc phạm vi của yêu cầu hoàn tiền, mà "thuộc phạm vi" lại là một phạm trù do chính quy định tạo ra, nên không con số nào trước quy định có thể là một tỷ lệ thuộc phạm vi. 73% đếm số vụ được hoàn trả toàn bộ hoặc một phần, điều mà một con số phần trăm duy nhất làm phẳng đi. Và các giai đoạn hoàn toàn không chồng lấn: 88% là lũy kế trong suốt vòng đời của chính quy định — 316 triệu GBP trong 18 tháng đầu, so với 173 triệu GBP tại mốc 12 tháng, cùng là 88% ở cả hai mốc — trong khi 60 và 73% dừng lại ở ngày 07/10/2024, đúng ngày quy định bắt đầu. PSR nói rõ rằng báo cáo trước quy định của họ "phản ánh hiệu quả hoạt động trước khi có yêu cầu hoàn tiền" và rằng hiệu quả hoạt động của các tổ chức đã dịch chuyển kể từ đó, đồng thời chính cơ quan này từ chối đúng phép so sánh mà phần này đang thực hiện: khi đặt 88% cạnh một tỷ lệ hoàn tiền trước đó, cơ quan quản lý lưu ý rằng họ "không thể so sánh trực tiếp, do khác biệt về phạm vi".

Vì vậy, cách đọc trung thực hẹp hơn cách đọc gây ấn tượng: tỷ lệ hoàn tiền đã tăng đáng kể trên một phạm vi mà chính quy định đã định nghĩa lại, và một phép so sánh thực sự tương đương sẽ cần chính cơ quan quản lý đối chiếu hai tập hợp đó. 82% là một tốc độ xử lý yêu cầu và không ghép cặp với bất kỳ con số nào ở đây. Điều không có gì phải nghi ngờ là chiều hướng, và cơ chế: không có gì trong các mô hình nền tảng thay đổi trong giai đoạn đó. Công nghệ phát hiện vẫn là công nghệ cũ. Điều thay đổi là ai gánh chi phí — và hành vi đã đi theo trách nhiệm, rất nhanh.

Vì sao phía nhận tiền nắm đòn bẩy — và liệu điều đó có áp dụng được ở nơi khác

Cùng bộ dữ liệu của cơ quan quản lý đó mang một bài học về cấu trúc, và đây là phát hiện có khả năng làm thay đổi lộ trình nhiều nhất.

Các tổ chức nhận tiền lừa đảo không phân bố đồng đều trên thị trường. Các tổ chức cung ứng dịch vụ thanh toán không thuộc nhóm chỉ định — tức các tổ chức nằm ngoài 14 tập đoàn ngân hàng lớn nhất — nhận 34% tổng giá trị gian lận trong khi chỉ xử lý 19% giá trị thanh toán Faster Payments của người tiêu dùng, trong giai đoạn trước khi có hoàn tiền bắt buộc. Tính theo số lượng, khoảng cách còn rõ hơn: 48% giao dịch gian lận trên 10% số giao dịch Faster Payments của người tiêu dùng. Và cơ quan quản lý còn báo cáo riêng rằng tỷ lệ gian lận theo giá trị của họ cao gấp 41 lần so với 14 tập đoàn ngân hàng lớn nhất.

Hãy xem con số thứ ba đó là tỷ lệ do chính cơ quan quản lý công bố, chứ không phải một suy diễn từ hai con số đầu. Chia hai tỷ trọng ở trên cho nhau sẽ ra một tỷ số gần gấp đôi, nên người đọc tự làm phép tính sẽ không đi tới bốn mươi mốt — bội số đó được tính trên một cơ sở khác, và ba con số là ba phép đo riêng biệt đã công bố về cùng một sự mất cân xứng, chứ không phải một con số suy ra từ con số khác. Chính sự phân biệt đó là kỷ luật mà bài viết này đòi hỏi ở bản PDF của chính nó, nên nó cũng được áp dụng ngay tại đây.

Tội phạm không đánh bại mô hình của các ngân hàng lớn nhất. Chúng đi tìm nơi yếu nhất để đổ tiền về.

Cơ cấu các loại lừa đảo càng làm vấn đề trầm trọng hơn. Lừa đảo mua hàng chiếm 73% số vụ tại Anh nhưng chỉ 27% giá trị, trong khi lừa đảo đầu tư chiếm 4% số vụ và 25% giá trị, trong giai đoạn trước khi có hoàn tiền bắt buộc. Một hệ thống chốt kiểm soát được tinh chỉnh theo số lượng cảnh báo sẽ tối ưu cho các vụ lừa đảo nhỏ và bỏ lọt các vụ lớn — một cái bẫy thực sự với bất kỳ ngân hàng nào đo hiệu quả chống gian lận bằng số vụ việc.

Một lưu ý thẳng thắn, vì khác biệt này quan trọng với bất kỳ ai đọc bài viết này ở châu Á. Mức độ tập trung đó đến từ một thị trường có một "đuôi dài" gồm nhiều công ty thanh toán nhỏ và tổ chức tiền điện tử. Một kênh thanh toán do các ngân hàng thương mại được cấp phép chi phối, cùng chịu một yêu cầu định danh chung, có thể không phân bố tài khoản trung gian theo cách tương tự; vấn đề có thể tập trung bên trong từng tổ chức thay vì giữa các tổ chức. Điều đó sẽ thay đổi chốt kiểm soát — từ chia sẻ thông tin sang giám sát cụm tài khoản nội bộ — nhưng không thay đổi kết luận rằng đòn bẩy nằm ở đích đến. Đây là một câu hỏi thực sự còn bỏ ngỏ, và đáng được trả lời bằng dữ liệu của chính anh/chị thay vì vay mượn cấu trúc của thị trường khác.

Rà soát mức bao phủ: một trang anh/chị có thể điền ngay trong tuần này

Khi người trả tiền là thật, lãnh đạo nên ngừng mua năng lực phát hiện và bắt đầu đầu tư vào năng lực chặn lại. Ba bước đầu dưới đây dựng nên phép đối chiếu; cả năm bước khép lại khoảng trống.

1. Tách tổn thất. Tách tổn thất có ủy quyền khỏi tổn thất không ủy quyền trên kênh thanh toán tức thời. Từ chối mọi con số gộp — một con số gộp che giấu toàn bộ vấn đề và tô hồng danh mục chốt kiểm soát.
2. Đánh dấu các ô anh/chị thực sự vận hành. Không phải các ô anh/chị đã mua sản phẩm: mà là các ô có chốt kiểm soát kích hoạt và có người chịu trách nhiệm về kết quả.
3. Đối chiếu hai bên. Nếu tổn thất tập trung ở cột chủ tài khoản bị lừa còn các ô anh/chị vận hành nằm ở cột kẻ mạo danh, phương án đầu tư tự hình thành — và đó không phải là một mô hình.
4. Cấp vốn cho yêu cầu bắt buộc và cho tổn thất như hai quyết định riêng. Ô bị bắt buộc và ô tốn kém không phải cùng một ô. Cả hai đều cần ngân sách, vì những lý do khác nhau.
5. Đo lường sổ tiền đến ngay từ bây giờ. Với cơ chế chia 50:50, việc chứa tài khoản trung gian trở thành một trung tâm chi phí trực tiếp. Ngân hàng nào sớm đo tốc độ dòng tiền đến sẽ không phải trả giá để học điều đó.

Rủi ro và giới hạn

Hai giới hạn thẳng thắn. Bằng chứng cho thấy ma sát có hiệu quả phần lớn dựa trên yêu cầu bắt buộc thay vì đo lường kết quả: không nguồn nào được xem xét ở đây đo lường chi phí bỏ giao dịch hay chi phí chuyển đổi so với tổn thất ngăn được, nên một giám đốc tài chính hoàn toàn có cơ sở lập luận rằng D4 là một chốt kiểm soát chưa được định giá. Để nâng mức độ tin cậy lên cao cần có một phép đo độc lập cho cả hai vế của sự đánh đổi.

Và một chốt kiểm soát chặn giao dịch của khách hàng tự nó có thể đưa quyết định đó vào phạm vi điều chỉnh của Luật Trí tuệ nhân tạo 134/2025 và chế độ bảo vệ dữ liệu cá nhân của Việt Nam — một rủi ro mà các tài liệu về gian lận thường mặc nhiên coi là không có chi phí. Điều này được nêu có điều kiện một cách chủ ý: việc có rơi vào phạm vi hay không phụ thuộc vào chốt kiểm soát đó có phải một hệ thống AI thuộc phạm vi điều chỉnh hay không và ở mức rủi ro nào, và vào việc hành vi chặn có phải quyết định tự động hóa gây ảnh hưởng đáng kể đến khách hàng hay không. Một cơ chế chặn dựa trên quy tắc tất định có thể nằm hoàn toàn ngoài văn bản về AI, còn một chế độ bảo vệ dữ liệu thường gắn thêm nghĩa vụ — thông báo, phản đối, rà soát bởi con người — hơn là làm cho chính hành vi đó trở thành đối tượng điều chỉnh. Điểm cần nhớ là chi phí không bằng không, chứ không phải là một chốt kiểm soát cụ thể nào đó chắc chắn bị điều chỉnh.

Mọi số liệu ở trên đều được dẫn kèm thị trường, giai đoạn và định nghĩa mà nó được đo lường, trong phần nội dung hoặc trong bảng bên dưới — bảng này nêu rõ từng số liệu; mỗi số liệu mô tả thị trường được đo lường và không phải tỷ lệ của bất kỳ ngân hàng cụ thể nào.

Những điểm chính

• Một chốt kiểm soát vượt qua không đồng nghĩa với một ngân hàng được bảo vệ. Với giao dịch chuyển khoản tại EEA năm 2024, người dùng đã gánh chịu khoảng 85% tổn thất gian lận trên những giao dịch mà chính họ đã xác thực.
• Giá trị của một chốt kiểm soát thanh toán nằm ở những gì nó nhìn thấy, không phải tốc độ kích hoạt. Chốt kiểm soát chống mạo danh không mua được mức bao phủ nào cho gian lận do chủ tài khoản bị lừa, dù ngân sách bao nhiêu.
• Sáu ô, hai trục. Phần lớn ngân hàng vận hành cột kẻ mạo danh và gần như không có gì ở cột chủ tài khoản bị lừa.
• Trách nhiệm thay đổi hành vi nhanh hơn năng lực. Tỷ lệ hoàn tiền tại Anh theo giá trị tăng từ 60 lên 88% với công nghệ phát hiện không đổi — trên một phạm vi do chính quy định định nghĩa lại, nên hãy đọc đó là chiều hướng chứ không phải một mức chênh lệch tương đương.
• Đòn bẩy nằm ở đích đến, không phải phía gửi — dù việc mô hình tập trung của Anh có áp dụng được cho một kênh thanh toán do ngân hàng chi phối hay không vẫn còn bỏ ngỏ.

Các số liệu trong bài, và nguồn gốc của từng số liệu

Mỗi dòng dưới đây nêu nguồn sơ cấp và cách diễn giải bắt buộc phải đi kèm số liệu đó. Mọi con số ở đây đều được đọc từ chính báo cáo hoặc văn bản pháp luật của cơ quan ban hành, đã đối chiếu ngày 21/9/2026, riêng các số liệu hoàn tiền tại Anh được đọc lại từ chính bảng theo dõi của cơ quan quản lý ngày 26/9/2026; không có nội dung nào trong bài dựa vào số liệu thống kê của nhà cung cấp hay vào một bản thuật lại thứ cấp.

Một số liệu đã được sửa, một số liệu bị rút lại nhầm, và hai số liệu bị loại bỏ. Nghiên cứu đằng sau bài viết này ban đầu có tổng gian lận chuyển khoản 2,5 tỷ EUR và mức tăng 24%, giá trị hoàn tiền 316 triệu GBP, một benchmark độ trễ dưới 100 mili giây, và một tổng tổn thất do lừa đảo tại Singapore. Khi đối chiếu với nguồn sơ cấp, số liệu thứ nhất đơn giản là sai: báo cáo EBA–ECB ghi 2,2 tỷ EUR và +16%. Số liệu đó được sửa và giữ lại, vì đại lượng nền tảng là có thật, đã được công bố và mang tính chịu lực ở đây — và nói khác đi sẽ là lựa chọn dễ chịu hơn thay vì lựa chọn chính xác. 316 triệu GBP thì không sai. Đó là giá trị hoàn tiền lũy kế của PSR trong 18 tháng đầu áp dụng quy định, từ ngày 07/10/2024 đến ngày 31/3/2026, so với 173 triệu GBP tại mốc 12 tháng — cả hai đều bằng 88% tổn thất thuộc phạm vi. Một phiên bản trước của bài viết này đã gọi đó là một lỗi và thay bằng con số 12 tháng, tức là chọn con số kém cập nhật hơn trong hai con số đều đúng; con số 18 tháng đã được khôi phục ở trên. Hai số liệu còn lại bị loại bỏ hoàn toàn: benchmark độ trễ dựa trên một bản preprint thay vì công bố của ngân hàng, còn tổng số của Singapore được gán cho một bản tin của cảnh sát nhưng thực chất lấy từ chỉ số của một nhà cung cấp, nên trong cả hai trường hợp không có số liệu sơ cấp nào để sửa về. Và giờ đến phần khó chịu, vì đoạn này đã sai ba lần về chính nguồn của nó, và lần nào cũng sai theo cùng một chiều. Một bản nháp trước nói rằng cả bốn số liệu đều bị loại bỏ thay vì được sửa-và-giữ. Một bản sửa sau rút lại 316 triệu GBP như một lỗi trong khi đó là một con số đã được cơ quan quản lý công bố. Và ở chỗ khác trên trang này, cũng chính bản sửa đó đã ba lần khẳng định rằng PSR không mô tả con số 88% là bao phủ "12 tháng đầu" — trong khi cơ quan này có mô tả như vậy, ngay dòng đầu phần mở đầu của báo cáo tháng 02/2026, tức là chỗ đầu tiên một người đọc sẽ tìm tới. Mỗi lần như vậy đều rút đi một nội dung chính xác rồi tự ghi công cho sự nghiêm cẩn của việc rút đi đó. Ở chính đoạn văn đề nghị anh/chị tin bài viết này vì nó tự sửa mình, phần sửa lại là thứ kém tin cậy nhất trên trang, và điều đó được ghi lại ở đây thay vì được lặng lẽ viết lại.

Nguồn & lưu ý. Chỉ dùng nguồn sơ cấp, mỗi nguồn được đọc từ chính văn bản của cơ quan ban hành và đã đối chiếu ngày 21/9/2026, riêng các số liệu hoàn tiền tại Anh được đọc lại từ chính bảng theo dõi của cơ quan quản lý ngày 26/9/2026; mọi số liệu đều được dẫn kèm thị trường, giai đoạn và định nghĩa mà nó được đo lường, trong phần nội dung hoặc trong bảng ở trên, và mỗi số liệu mô tả thị trường được đo lường chứ không phải bất kỳ tổ chức cụ thể nào.

Tổng gian lận EEA và tỷ trọng gánh chịu tổn thất: báo cáo chung EBA–ECB về gian lận thanh toán, công bố ngày 15/12/2025, bao quát dữ liệu nửa năm một lần cho giai đoạn 2022 đến 2024. Tổng gian lận thanh toán EEA là 3,4 tỷ EUR năm 2022, 3,5 tỷ EUR năm 2023 và 4,2 tỷ EUR năm 2024; tổn thất gian lận chuyển khoản năm 2024 là 2,2 tỷ EUR, tăng 16% so với cùng kỳ. Con số khoảng 85% là tỷ trọng tổn thất gian lận chuyển khoản do người sử dụng dịch vụ thanh toán gánh chịu trong năm 2024, "chủ yếu từ các vụ lừa đảo khiến người dùng tự khởi tạo giao dịch gian lận" — mệnh đề nhân quả là của chính báo cáo, không phải phần thêm vào ở đây, và con số này nói về việc ai đã gánh chịu tổn thất chứ không phải tỷ trọng theo loại gian lận hay một tỷ lệ mà bất kỳ ngân hàng đơn lẻ nào nên kỳ vọng. Về xác thực, cách diễn đạt của báo cáo được giữ nguyên ở trên thay vì làm cho sắc hơn: xác thực mạnh khách hàng "vẫn hiệu quả trước những loại hình gian lận mà nó được thiết kế để giảm thiểu và từng chiếm ưu thế vào thời điểm PSD2 có hiệu lực, đặc biệt là với thanh toán thẻ", trong khi "với các loại hình thanh toán khác, chẳng hạn chuyển khoản, hiệu quả này kém rõ ràng hơn". Một phiên bản trước của bài viết này diễn đạt điều đó thành xác thực mạnh "phần lớn bị vô hiệu hóa bởi thủ đoạn thao túng tâm lý trong giao dịch chuyển khoản", vốn mạnh hơn mức nguồn cho phép, và đã được rút lại.

Hoàn tiền bắt buộc tại Anh: chuyên trang về lừa đảo APP của Payment Systems Regulator, APP scam performance data tháng 02/2026 và bảng theo dõi hoàn tiền lừa đảo APP cho quý 1/2026, cập nhật ngày 30/7/2026. Hãy đọc kỹ phạm vi, vì chúng khác nhau: 60% theo giá trị và 73% theo số lượng mô tả việc hoàn tiền bởi 14 tập đoàn ngân hàng lớn nhất đối với các vụ lừa đảo xảy ra trước ngày 07/10/2024 trong những hồ sơ khép lại trong năm 2024, với phép đo theo số lượng tính cả các vụ được hoàn trả toàn bộ hoặc một phần, và đến từ báo cáo tháng 02/2026; còn 88%, 316 triệu GBP và các số đếm yêu cầu đến từ bảng theo dõi và là lũy kế trong 18 tháng đầu của quy định, từ ngày 07/10/2024 đến ngày 31/3/2026, cho các tổn thất thuộc phạm vi của yêu cầu hoàn tiền — một phạm trù do chính quy định tạo ra. Tỷ lệ này cũng là 88% tại mốc 12 tháng, trên 173 triệu GBP, con số mà báo cáo tháng 02/2026 nêu trong phần mở đầu; con số 18 tháng là con số hiện hành, còn con số 12 tháng chỉ được giữ lại ở trên như điểm so sánh trước đó. Vì vậy, các phép đo trước và sau quy định không phải một cặp tương đương, cả về phạm vi lẫn về giai đoạn; báo cáo tháng Hai nêu rằng dữ liệu của nó "phản ánh hiệu quả hoạt động trước khi có yêu cầu hoàn tiền", và bảng theo dõi từ chối phép so sánh tương đương bằng chính lời của mình — họ "không thể so sánh trực tiếp, do khác biệt về phạm vi" — khi đặt 88% cạnh một tỷ lệ hoàn tiền trước đó. 82% là một tốc độ xử lý yêu cầu trên mẫu số riêng của nó, với 98% yêu cầu được khép lại trong 35 ngày làm việc. Các cặp 34%/19% và 48%/10% mô tả các tổ chức cung ứng dịch vụ thanh toán không thuộc nhóm chỉ định trên Faster Payments của người tiêu dùng trong giai đoạn trước quy định; tỷ lệ 41 lần là con số được cơ quan quản lý công bố riêng cho các tổ chức đó so với 14 tập đoàn lớn nhất và không phải tỷ số suy ra từ các tỷ trọng đó, vốn gần gấp đôi.

Việt Nam: Thông tư 77/2025/TT-NHNN, ban hành ngày 31/12/2025, do Phó Thống đốc Phạm Tiến Dũng ký và đăng Công báo số 25 ngày 20/1/2026, sửa đổi Thông tư 50/2024/TT-NHNN. Điều 12 đã được đọc trực tiếp: hiệu lực chung từ ngày 01/3/2026, trừ Điều 3 và Điều 10 của thông tư sửa đổi áp dụng từ ngày 01/7/2026 đối với tổ chức phục vụ cả khách hàng cá nhân lẫn khách hàng tổ chức, và từ ngày 01/10/2026 đối với tổ chức chỉ phục vụ khách hàng tổ chức. Yêu cầu phát hiện tấn công giả mạo sinh trắc học nằm ở Điều 7 (sửa đổi Điều 11 của Thông tư 50/2024, yêu cầu chứng nhận bởi phòng thử nghiệm được FIDO Alliance công nhận hoặc bởi tổ chức chứng nhận, đạt ISO 30107 Mức 2 hoặc tương đương) và các kiểm tra toàn vẹn thiết bị nằm ở Điều 5 (sửa đổi Điều 8), nên cả hai đều thuộc mốc chung 01/3/2026 chứ không thuộc phần lùi hiệu lực. Một phiên bản trước của bài viết này đặt mốc lùi cạnh yêu cầu sinh trắc học, điều lẽ ra sẽ làm chậm đúng chương trình không nên chậm, trễ 4 tháng. Bản thân Thông tư 50/2024 là văn bản hợp nhất và nên được đọc cùng với văn bản sửa đổi. Luật Trí tuệ nhân tạo 134/2025 và chế độ bảo vệ dữ liệu cá nhân của Việt Nam được dẫn cho rủi ro mà một quyết định chặn thanh toán có thể tạo ra, nêu có điều kiện chứ không phải như một kết luận rằng bất kỳ chốt kiểm soát cụ thể nào thuộc phạm vi điều chỉnh; chưa có tiền lệ xử lý nào về việc can thiệp chặn thanh toán theo cả hai văn bản, và ở đây không khẳng định số hiệu của bất kỳ văn bản cụ thể nào về dữ liệu cá nhân.

Không có bất kỳ dữ liệu nào về khách hàng, nhân viên hay ở cấp tổ chức xuất hiện trong bài viết này, tình huống giao dịch được mô tả chỉ mang tính minh họa — không ngân hàng cụ thể, không số liệu, không tổn thất thực tế — và khung tư duy này là cách phân rã do tác giả đề xuất chứ không phải một chuẩn mực đã được phê chuẩn. Đây là quan điểm độc lập, không liên kết với bất kỳ tổ chức nào nơi tác giả đang hoặc đã từng làm việc, và không thay thế cho việc rà soát pháp lý, tuân thủ, rủi ro gian lận và bảo vệ dữ liệu của chính anh/chị.