Bối cảnh: SIM swap là vụ lừa đảo bắt đầu ở cửa hàng viễn thông chứ không phải ở ngân hàng: kẻ gian làm lại SIM của nạn nhân, nhận toàn bộ mã OTP, và từ đó mọi lớp bảo vệ dựa trên tin nhắn đều sụp đổ trong vài phút.
Căn cứ pháp lý và cách áp dụng
Chuỗi tấn công SIM swap có ba mắt xích thuộc ba ngành khác nhau: kẻ gian thu thập thông tin cá nhân của nạn nhân, dùng giấy tờ giả hoặc kẽ hở quy trình để nhà mạng cấp lại SIM, rồi dùng OTP nhận được để đặt lại mật khẩu ngân hàng và chuyển tiền. Pháp luật viễn thông đặt nghĩa vụ đăng ký và xác thực thông tin thuê bao chính chủ lên nhà mạng, và khi việc cấp lại SIM sai quy trình dẫn đến thiệt hại, nhà mạng không đứng ngoài trách nhiệm. Ngân hàng ở mắt xích cuối: hệ thống chỉ nhìn thấy ‘đúng số điện thoại, đúng OTP’, nên tranh chấp SIM swap luôn xoay quanh việc ai đã để mắt xích của mình gãy trước.
Hướng giảm rủi ro của ngành là giảm phụ thuộc vào OTP qua SMS: Quyết định 2345/QD-NHNN đẩy xác thực sinh trắc học cho giao dịch giá trị lớn và thay đổi quan trọng, nhiều ngân hàng bổ sung xác thực thiết bị và cảnh báo khi tài khoản đăng nhập từ thiết bị mới hoặc SIM mới thay đổi. Về phân bổ trách nhiệm khi vụ việc xảy ra, cần đối chiếu ba hồ sơ: hồ sơ cấp lại SIM của nhà mạng (ai yêu cầu, giấy tờ gì, đúng quy trình không), nhật ký xác thực của ngân hàng (có bất thường thiết bị, địa điểm không, có cảnh báo không), và hành vi của khách hàng (có để lộ thông tin cá nhân ở mắt xích nào không). Kết quả bồi hoàn trong thực tế là tổng của ba đối chiếu này, không có đáp án mẫu cho mọi trường hợp.
Thực tiễn áp dụng và điểm dễ vấp
Phòng ngừa hiệu quả nhất nằm ngoài ngân hàng: đặt mã PIN cho SIM, yêu cầu nhà mạng khóa dịch vụ cấp lại SIM từ xa cho số điện thoại gắn với ngân hàng, và dùng ứng dụng xác thực hoặc sinh trắc học thay OTP SMS ở mọi dịch vụ cho phép. Khi điện thoại đột ngột mất sóng không rõ lý do, hãy coi đó là tín hiệu khẩn: gọi ngân hàng khóa tài khoản trước khi gọi nhà mạng hỏi nguyên nhân.
Danh mục hành động
Các bước dưới đây chuyển phần phân tích trên thành việc làm cụ thể:
- Đối chiếu tình huống của mình với căn cứ này trước tiên: Chuỗi tấn công SIM swap có ba mắt xích thuộc ba ngành khác nhau: kẻ gian thu thập thông tin cá nhân của nạn nhân, dùng giấy tờ giả hoặc kẽ hở quy trình để nhà mạng cấp lại SIM, rồi dùng OTP nhận được để đặt lại mật khẩu ngân hàng và chuyển tiền.
- Ghi lại điểm áp dụng riêng của trường hợp này, không sao chép kết luận của trường hợp khác: Ngân hàng ở mắt xích cuối: hệ thống chỉ nhìn thấy ‘đúng số điện thoại, đúng OTP’, nên tranh chấp SIM swap luôn xoay quanh việc ai đã để mắt xích của mình gãy trước.
- Chuẩn bị sẵn bằng chứng và hồ sơ liên quan đến nội dung sau để làm việc với cơ quan hoặc đối tác: Phòng ngừa hiệu quả nhất nằm ngoài ngân hàng: đặt mã PIN cho SIM, yêu cầu nhà mạng khóa dịch vụ cấp lại SIM từ xa cho số điện thoại gắn với ngân hàng, và dùng ứng dụng xác thực hoặc sinh trắc học thay OTP SMS ở mọi dịch vụ cho phép. Khi điện thoại đột ngột mất sóng không rõ lý do, hãy coi đó là tín hiệu khẩn: gọi ngân hàng khóa tài khoản trước khi gọi nhà mạng hỏi nguyên nhân.
- Trả lời thẳng câu hỏi khách hàng đặt ra nhiều nhất bằng kết luận sau, và lưu lại làm căn cứ: Trách nhiệm được phân bổ theo mắt xích bị gãy sau khi đối chiếu hồ sơ cấp lại SIM của nhà mạng, nhật ký xác thực của ngân hàng và hành vi của khách hàng. Nhà mạng cấp lại SIM sai quy trình phải chịu phần trách nhiệm của mình; ngân hàng có lỗi xác thực hoặc không cảnh báo bất thường cũng phải chịu phần tương ứng — không có một bên mặc định đền toàn bộ.
Câu hỏi thường gặp
Bị làm lại SIM chiếm OTP mất tiền thì ai đền?
Trách nhiệm được phân bổ theo mắt xích bị gãy sau khi đối chiếu hồ sơ cấp lại SIM của nhà mạng, nhật ký xác thực của ngân hàng và hành vi của khách hàng. Nhà mạng cấp lại SIM sai quy trình phải chịu phần trách nhiệm của mình; ngân hàng có lỗi xác thực hoặc không cảnh báo bất thường cũng phải chịu phần tương ứng — không có một bên mặc định đền toàn bộ.
Ngân hàng, nhà mạng ai chịu trách nhiệm?
Cả hai đều có thể phải chịu, ở các phần khác nhau: nhà mạng chịu về khâu đăng ký thuê bao và cấp lại SIM, ngân hàng chịu về khâu xác thực giao dịch và phát hiện bất thường. Khách hàng nên khiếu nại song song cả hai bên và trình báo công an để hồ sơ của hai hệ thống được trích xuất và đối chiếu chính thức.
Phòng ngừa SIM swap?
Giảm phụ thuộc OTP SMS bằng sinh trắc học và xác thực thiết bị theo hướng Quyết định 2345/QD-NHNN, đặt PIN cho SIM và khóa cấp lại SIM từ xa với nhà mạng, không công khai số điện thoại gắn ngân hàng kèm thông tin cá nhân trên mạng xã hội. Mất sóng đột ngột không rõ lý do là dấu hiệu phải khóa tài khoản ngân hàng ngay.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng