Sáu tháng đầu 2026, hệ thống SIMO của NHNN cảnh báo khoảng 4,6 triệu lượt khách hàng, hơn 1,5 triệu lượt tạm dừng/hủy giao dịch và ngăn chặn thiệt hại trên 5.200 tỷ đồng [theo Báo Chính phủ dẫn họp báo NHNN, ngày 02/07/2026]. Tuy vậy, link phishing lấy OTP và đổi SIM vẫn là hai đường vào phổ biến nhất. Dưới đây là cách bảo mật tài khoản ngân hàng trước hai kiểu tấn công này, kèm lớp bảo vệ thứ hai cho tài khoản chứng khoán và sàn crypto.
📌 4,6 triệu lượt cảnh báo SIMO 6 tháng đầu 2026; 1.500 vụ lừa đảo trực tuyến, thiệt hại khoảng 1.660 tỷ đồng trong 8 tháng đầu 2025 [theo Báo Hải Phòng, 18/12/2025]; 12,9 triệu tài khoản chứng khoán chịu tác động từ dự thảo thông tư dự kiến hiệu lực tháng 8/2026.
Cơ chế phishing và SIM swap hoạt động thế nào ở Việt Nam 2026
Hai dạng tấn công phổ biến nhất: link phishing lấy OTP và chiếm quyền kiểm soát SIM (SIM swap). Phishing diễn ra theo chuỗi: kẻ gian gửi link giả mạo ngân hàng, ví điện tử hoặc sàn crypto qua SMS brand-name lừa, Zalo, Facebook hoặc email; nạn nhân nhập tên đăng nhập/mật khẩu rồi nhập luôn mã OTP “để xác nhận” — toàn bộ thông tin chuyển cho kẻ tấn công, tài khoản bị chiếm trong vài giây [theo DNSE Academy, 2026]. Techcombank cảnh báo từ 4/2025 về “mạo danh nhân viên ngân hàng” gọi điện xin số thẻ, mã CVV, mã OTP [theo Techcombank, 17/04/2025].
SIM swap tinh vi hơn, 5 bước theo ABBank: (1) thu thập họ tên, SĐT, CCCD, ngân hàng đang dùng; (2) đến đại lý viễn thông được ủy quyền đổi SIM, lợi dụng kẽ hở KYC; (3) SIM gốc vô hiệu hoá — toàn bộ OTP chuyển sang SIM kẻ tấn công; (4) dùng “Quên mật khẩu” + SMS OTP đăng nhập Mobile Banking; (5) khởi tạo lệnh chuyển tiền qua tài khoản trung gian [theo ABBank, 2025–2026]. Dấu hiệu cảnh báo: điện thoại đột ngột mất sóng dù vẫn trong vùng phủ [theo VietnamNet, 2025–2026].
Bối cảnh Việt Nam: quý 3/2025, PA Việt Nam phát hiện gần 4.000 tên miền lừa đảo với hơn 870 trang web giả ngân hàng, sàn TMĐT và cơ quan nhà nước [theo PA Vietnam KB, Q3/2025]; vụ MoMo ở Đà Nẵng khiến hộ kinh doanh bị rút 27 triệu đồng sau khi cài app giả [theo VNBA dẫn GPBank, 2026].
Bảo mật tài khoản ngân hàng: CCCD gắn chip, OTP và SIM
Tính đến 26/6/2026, hệ thống đã đối chiếu sinh trắc học (STH) 162,9 triệu hồ sơ cá nhân và 2,6 triệu hồ sơ tổ chức, đạt 100% tài khoản phát sinh giao dịch kênh số; 57 TCTD và 39 trung gian thanh toán triển khai CCCD gắn chip qua điện thoại [theo Báo Chính phủ dẫn họp báo NHNN, ngày 02/07/2026]. Văn bản liên quan: Thông tư 77/2025/TT-NHNN sửa Thông tư 50/2024/TT-NHNN về an toàn, bảo mật dịch vụ trực tuyến; bài viết chưa xác minh được chi tiết điều khoản, cần đối chiếu Cổng thông tin NHNN. Khoảng 32,6% lượt cảnh báo SIMO dẫn tới khách hàng tự tạm dừng hoặc hủy giao dịch [tính từ Báo Chính phủ, 02/07/2026].
Lớp 2 — Tài khoản chứng khoán theo dự thảo tháng 8/2026
Bộ Tài chính đang lấy ý kiến dự thảo Thông tư về giao dịch điện tử trên thị trường chứng khoán với 6 hình thức xác thực (OTP, chữ ký số, khớp STH khuôn mặt, xác thực hai kênh…) [theo VnExpress dẫn dự thảo, ngày 19/05/2026]. Quy tắc dự kiến, chỉ áp dụng cho giao dịch chứng khoán:
- STH khuôn mặt ít nhất 1 lần đầu phiên đăng nhập;
- Sai quá 10 lần thì tài khoản bị khoá;
- Giao dịch chứng khoán trên 10 triệu đồng bắt buộc khớp STH;
- Xác thực và mua/bán phải thực hiện trên cùng một thiết bị.
Tính đến 19/05/2026, Việt Nam có hơn 12,9 triệu tài khoản chứng khoán [theo VnExpress, 19/05/2026]. Dự thảo dự kiến hiệu lực từ tháng 8/2026; bài viết chưa xác minh được ngày ban hành và số hiệu văn bản chính thức. Ngưỡng 10 triệu đồng nêu trên thuộc dự thảo dành riêng cho giao dịch chứng khoán, không áp dụng cho ứng dụng ngân hàng hay sản phẩm tài chính khác.
Lớp 3 — Sàn crypto và dịch vụ quốc tế
CISA (Mỹ) khuyến nghị MFA chống phishing (phishing-resistant MFA) dựa trên FIDO2/WebAuthn hoặc PKI thay vì SMS-OTP hay push notification đơn thuần [theo CISA, 31/10/2022]. Với mobile push, number matching là biện pháp tạm thời tốt nhất trước “MFA fatigue”.
IC3 2024 của FBI ghi nhận 859.532 khiếu nại, thiệt hại 16,6 tỷ USD; phishing/spoofing chiếm vị trí số 1 với hơn 193.000 khiếu nại [theo FBI IC3 2024, công bố 2025]. IC3 2025 ghi nhận 1.008.597 khiếu nại, thiệt hại khoảng 20,9 tỷ USD, tăng 26% so với 2024 [theo FBI IC3 2025]. FTC (Mỹ) khuyến cáo thêm PIN tài khoản tại nhà mạng và dùng app authenticator thay SMS OTP [theo FTC, 2019].
Bảng so sánh ba tier xác thực
| Tiêu chí | SMS-OTP | TOTP App | Passkey / FIDO2 |
|---|---|---|---|
| An toàn trước phishing reverse-proxy | Thấp — kẻ gian nhập cùng bạn trên trang giả | Trung bình — token 30–60 giây, site-binding hạn chế | Cao — khoá theo origin, trang giả không replay |
| An toàn trước SIM swap | Thấp — OTP qua SMS chuyển được sang SIM kẻ gian | Cao — token sinh trên thiết bị của bạn | Cao — private key chỉ tồn tại trên thiết bị |
| Dễ dùng cho người không chuyên | Rất dễ | Trung bình — phải cài app, scan QR | Trung bình — phụ thuộc trình duyệt/hệ điều hành |
| Chi phí | Gần 0 | Gần 0 | Có thể cần USB key (FIDO2) |
| Phù hợp với | Dịch vụ chỉ hỗ trợ SMS-OTP — FTC khuyến cáo không dùng làm lớp bảo mật duy nhất | Sàn crypto, chứng khoán, dịch vụ quốc tế — tự thiết lập, không phụ thuộc nhà mạng | Dịch vụ hỗ trợ FIDO2/WebAuthn — CISA khuyến nghị cho MFA chống phishing |
⚠️ Cảnh báo: Ngân hàng không bao giờ gọi điện/nhắn tin xin OTP. Kẻ gian giả danh nhân viên ngân hàng, công an, nhân viên Viettel/Mobifone/VinaPhone để dụ bạn đọc mã OTP — nhân viên ngân hàng thật, nhân viên nhà mạng thật và cơ quan chức năng đều KHÔNG BAO GIỜ hỏi mã OTP [theo Techcombank, 17/04/2025]; [ông Lương Công Thành, GPBank, 2026].
Checklist 5 bước kích hoạt ngay
- Bật xác thực STH khuôn mặt với CCCD gắn chip trên app ngân hàng nếu ứng dụng có tuỳ chọn này.
- Đặt mã PIN/mã PUK SIM tại nhà mạng; thêm số PIN tài khoản (account PIN) để ràng buộc đổi SIM [theo FTC, 2019].
- Cài app Authenticator (Google/Microsoft/Authy) cho sàn crypto và dịch vụ quốc tế; tắt SMS-OTP ở nơi cho phép.
- Bật number matching cho push notification; kiểm tra lịch sử đăng nhập hàng tuần.
- Liên kết VNeID mức 2 và đăng ký cảnh báo SIMO; không gọi lại số trong SMS brand-name giả.
Kết
Bảo mật tài khoản tài chính Việt Nam 2026 đang chuyển từ “OTP qua SMS là đủ” sang đa lớp: vật lý (CCCD gắn chip, SIM PIN), hành vi (không đọc OTP cho ai), kỹ thuật (STH khuôn mặt, FIDO2/passkey). SIMO đã chặn thiệt hại trên 5.200 tỷ đồng 6 tháng đầu 2026 [theo Báo Chính phủ, 02/07/2026], nhưng 8 tháng đầu 2025 vẫn có hơn 1.500 vụ lừa đảo trực tuyến [theo Báo Hải Phòng, 18/12/2025]. Chi phí nâng cấp gần bằng 0, thiệt hại khi để lộ OTP thì đo bằng tỷ đồng.
Bài này không đưa lời khuyên đầu tư cụ thể. Với văn bản chưa xác minh (điều khoản Thông tư 77/2025/TT-NHNN, ngày ban hành dự thảo thông tư chứng khoán), cần đối chiếu Cổng thông tin NHNN, Bộ Tài chính và UBCKNN.
Danh sách nguồn
- Báo Chính phủ — NHNN chặn lừa đảo hơn 5.200 tỷ đồng, cảnh báo 4,6 triệu giao dịch — Báo Chính phủ, ngày 02/07/2026.
- VnExpress — Mua bán chứng khoán có thể cần xác thực sinh trắc học khuôn mặt — VnExpress, ngày 19/05/2026.
- ABBank — Cảnh báo chiến dịch tấn công đổi SIM (SIM swap) — ABBank, cập nhật 2025–2026.
- Báo Hải Phòng — Khi tội phạm công nghệ cao nhắm vào người dùng ngân hàng số — Báo Hải Phòng, ngày 18/12/2025.
- DNSE — Đường link phishing lấy OTP — DNSE Academy, 2026.
- Techcombank — Cảnh giác trước các hình thức lừa đảo thẻ ngân hàng — Techcombank, ngày 17/04/2025.
- VNBA — Thanh toán số bùng nổ: Ngân hàng đẩy mạnh phòng chống gian lận — VNBA, 2026.
- VietnamNet — Mất sóng điện thoại bất thường: tài khoản ngân hàng có thể bị rút sạch — VietnamNet, 2025–2026.
- CISA — Phishing-Resistant and Numbers Matching Multifactor Authentication — CISA, ngày 31/10/2022.
- FBI IC3 — 2024 Annual Report (tóm tắt qua Secureframe) — IC3/FBI, công bố 2025.
- FBI IC3 — 2025 Annual Report — IC3/FBI, báo cáo 2025.
- FTC Consumer Alert — SIM Swap Scams: How to Protect Yourself — FTC, 2019.
- PA Vietnam — Gần 4.000 tên miền giả mạo bị phát hiện Q3/2025 — PA Vietnam KB, Q3/2025.
