Thẻ phi vật lý — thẻ chỉ tồn tại trong ứng dụng, không có miếng nhựa — được pháp luật ngân hàng Việt Nam thừa nhận đầy đủ, nhưng quyền phát hành nó thì không mở cho mọi doanh nghiệp. Chỉ tổ chức tín dụng, chi nhánh ngân hàng nước ngoài và tổ chức trung gian thanh toán được phép đối với thẻ trả trước mới được phát hành thẻ; một công ty FDI ngoài ngành muốn gắn thẻ ảo vào sản phẩm của mình phải đi qua một trong các chủ thể đó.
Ai được phát hành thẻ ảo và điều kiện giấy phép
Thông tư 18/2024/TT-NHNN (thay thế Thông tư 19/2016/TT-NHNN, hiệu lực từ ngày 01/7/2024, đã sửa đổi bởi Thông tư 45/2025/TT-NHNN) điều chỉnh toàn bộ hoạt động thẻ ngân hàng tại Việt Nam và cho phép phát hành thẻ dưới hình thức phi vật lý. Tổ chức phát hành thẻ theo thông tư này gồm tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, và tổ chức cung ứng dịch vụ trung gian thanh toán đối với nghiệp vụ phát hành thẻ trả trước. Như vậy, một ngân hàng số FDI phát hành thẻ ảo ghi nợ hoặc tín dụng cho khách hàng cá nhân là hoạt động thẻ thông thường trong giấy phép ngân hàng của nó; một fintech FDI không phải ngân hàng chỉ có thể phát hành thẻ trả trước khi giấy phép trung gian thanh toán của nó theo Nghị định 52/2024/NĐ-CP bao quát dịch vụ này, hoặc phải đồng phát hành cùng ngân hàng đối tác.
Về phía khách hàng, phát hành thẻ phi vật lý đi kèm yêu cầu định danh chủ thẻ tương ứng loại thẻ: thẻ ghi nợ, tín dụng và thẻ trả trước định danh phải mở trên cơ sở hồ sơ định danh đầy đủ (trực tiếp hoặc điện tử eKYC theo quy định), còn thẻ trả trước vô danh bị giới hạn chặt về số dư và khả năng nạp lại. Doanh nghiệp FDI muốn phát hành thẻ ảo dùng cho chi tiêu nội bộ hoặc trả thưởng cho khách hàng vẫn phải qua tổ chức phát hành có phép — không tồn tại cơ chế tự in ‘thẻ’ riêng mang số hiệu dạng thẻ ngân hàng.
Hạn mức giao dịch của thẻ phi vật lý
Thẻ phi vật lý chịu cùng khung hạn mức như thẻ vật lý tương ứng: hạn mức rút tiền mặt, chuyển khoản, thanh toán trong ngày do tổ chức phát hành quy định trên cơ sở khung của Ngân hàng Nhà nước và hồ sơ rủi ro của chủ thẻ, và được ghi trong hợp đồng phát hành, sử dụng thẻ. Riêng thẻ trả trước vô danh — loại thường được dùng làm thẻ quà tặng — bị khóa ở mức thấp: số dư tối đa trên thẻ không vượt quá 5 triệu đồng theo Thông tư 18/2024/TT-NHNN, không được nạp thêm tiền sau lần phát hành đầu và không rút tiền mặt, để kiểm soát rủi ro rửa tiền của công cụ thanh toán không định danh.
Ngoài hạn mức tiền, thẻ phi vật lý còn chịu hạn mức theo kênh và mức xác thực: giao dịch trực tuyến hoặc không tiếp xúc giá trị lớn yêu cầu xác thực mạnh (mật khẩu dùng một lần, sinh trắc học hoặc xác thực theo chuẩn 3D Secure) theo quy định về an toàn giao dịch điện tử trong hoạt động ngân hàng. Chủ thẻ có thể chủ động hạ hoặc khóa các hạn mức kênh trong ứng dụng; tổ chức phát hành có trách nhiệm cung cấp công cụ đó và thông báo biến động số dư sau mỗi giao dịch — lớp kiểm soát này chính là hàng rào đầu tiên khi thẻ ảo bị lộ thông tin.
Mất tiền từ thẻ ảo: phân bổ trách nhiệm
Khi phát sinh giao dịch mà chủ thẻ khẳng định không thực hiện, Thông tư 18/2024/TT-NHNN đặt quy trình xử lý khiếu nại, tra soát lên tổ chức phát hành: tổ chức phát hành phải tiếp nhận khiếu nại, tra soát giao dịch với tổ chức thanh toán và đơn vị chấp nhận thẻ, và hoàn trả cho chủ thẻ đối với các giao dịch được xác định không phải do chủ thẻ thực hiện hoặc ủy quyền, trong thời hạn xử lý khiếu nại theo quy định — trừ trường hợp chứng minh được giao dịch phát sinh do lỗi của chủ thẻ như để lộ thông tin xác thực, mã PIN hoặc đưa thẻ cho người khác dùng.
Với thẻ phi vật lý, ‘để lộ thông tin thẻ’ là kịch bản tranh chấp phổ biến nhất vì toàn bộ thông tin thẻ hiển thị trên ứng dụng và có thể bị chụp lại, đánh cắp qua phần mềm độc hại. Tổ chức phát hành vì vậy có nghĩa vụ thiết kế lớp bảo vệ tương xứng: che số thẻ mặc định, yêu cầu xác thực khi xem thông tin thẻ đầy đủ, khóa/mở thẻ tức thời trong ứng dụng và cảnh báo giao dịch bất thường. Chủ thẻ FDI là doanh nghiệp phát hành thẻ ảo cho nhân viên hoặc khách hàng nên ghi rõ trong điều khoản sử dụng: quy trình báo mất, khóa thẻ trong thời gian tối đa bao lâu sau khi phát hiện, và bên nào chịu thiệt hại trong khoảng trống giữa thời điểm giao dịch gian lận và thời điểm báo khóa — vì khoảng trống đó là nơi trách nhiệm được tranh luận nhiều nhất khi có sự cố.
Câu hỏi thường gặp
Phát hành thẻ ảo cho khách hàng có cần phép?
Có. Phát hành thẻ — kể cả thẻ phi vật lý — chỉ dành cho tổ chức phát hành thẻ theo Thông tư 18/2024/TT-NHNN: tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, và tổ chức trung gian thanh toán đối với thẻ trả trước (giấy phép theo Nghị định 52/2024/NĐ-CP phải bao quát dịch vụ phát hành thẻ trả trước). Công ty FDI ngoài các chủ thể này phải đồng phát hành với ngân hàng hoặc tổ chức có phép.
Thẻ phi vật lý có hạn mức giao dịch?
Có hạn mức như thẻ vật lý tương ứng: hạn mức giao dịch ngày do tổ chức phát hành quy định trong khung Ngân hàng Nhà nước và ghi trong hợp đồng thẻ. Riêng thẻ trả trước vô danh bị giới hạn chặt — số dư tối đa 5 triệu đồng theo Thông tư 18/2024/TT-NHNN, không nạp thêm, không rút tiền mặt. Giao dịch online/không tiếp xúc giá trị lớn còn phải qua xác thực mạnh (OTP, sinh trắc học, 3D Secure).
Mất tiền từ thẻ ảo ai chịu trách nhiệm?
Tổ chức phát hành chịu trách nhiệm xử lý khiếu nại, tra soát và hoàn trả cho chủ thẻ với giao dịch được xác định không do chủ thẻ thực hiện hoặc ủy quyền, theo Thông tư 18/2024/TT-NHNN; ngoại lệ là khi chứng minh được giao dịch do lỗi của chủ thẻ (lộ thông tin xác thực, PIN, cho người khác dùng thẻ). Vì vậy khi có giao dịch lạ, chủ thẻ phải báo khóa thẻ ngay để cố định thời điểm và bảo vệ quyền được hoàn trả.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng
