Khi chuyển khoản trên 10 triệu đồng, bạn có thể được yêu cầu quét khuôn mặt hoặc vân tay ngay trên ứng dụng ngân hàng. Nhưng vì sao bước xác thực này lại cần thiết và dữ liệu sinh trắc học của bạn được xử lý như thế nào? Đây là một ứng dụng quen thuộc của xác thực sinh trắc học, phương thức sử dụng đặc điểm sinh học để xác minh danh tính.

Bài viết sẽ giải thích cách công nghệ này hoạt động, quy định ngân hàng liên quan và những giới hạn bảo mật cần lưu ý. 

Xác thực sinh trắc học là gì?

Xác thực sinh trắc học là phương pháp xác minh danh tính một người dựa trên những đặc điểm sinh học hoặc hành vi riêng của họ, thay vì thông tin cần ghi nhớ như mật khẩu hay vật sở hữu như thẻ và điện thoại nhận mã OTP.

Viện Tiêu chuẩn và Công nghệ Hoa Kỳ (NIST) định nghĩa sinh trắc học là “sự nhận diện tự động một cá nhân dựa trên đặc điểm sinh học và hành vi”. Các đặc điểm này có thể là vân tay, khuôn mặt, mống mắt hoặc hành vi như nhịp gõ phím và cách cầm điện thoại.

Bốn phương thức sinh trắc học phổ biến hiện nay gồm:

• Vân tay: Quét dấu vân tay qua cảm biến trên điện thoại hoặc đầu đọc chuyên dụng.
• Khuôn mặt: Nhận diện các đặc điểm khuôn mặt thông qua camera.
• Giọng nói: Phân tích các đặc điểm âm thanh khi người dùng nói.
• Mống mắt: Ghi nhận hoa văn mống mắt bằng cảm biến hồng ngoại chuyên dụng. Phương thức này chủ yếu dùng trong kiểm soát an ninh cấp cao hoặc xuất nhập cảnh và gần như chưa xuất hiện trong hệ thống ngân hàng Việt Nam.

Xét theo lý thuyết xác thực sinh trắc học thuộc nhóm yếu tố “cái bạn là” (inherence). Nhóm này khác với “cái bạn biết” như mật khẩu, mã PIN và “cái bạn có” như điện thoại nhận mã OTP. Khi hệ thống kết hợp từ hai yếu tố trở lên, người dùng sẽ thực hiện xác thực hai yếu tố (2FA). Như phần sau sẽ phân tích, sinh trắc học thường không được sử dụng riêng lẻ mà kết hợp với một yếu tố xác thực khác để tăng mức độ bảo mật.

Vì sao ngân hàng Việt Nam bắt buộc xác thực sinh trắc học khi chuyển tiền?

Việt Nam áp dụng yêu cầu xác thực sinh trắc học cho giao dịch ngân hàng qua hai mốc pháp lý riêng biệt.

Mốc đầu tiên bắt đầu từ ngày 01/7/2024 theo Quyết định số 2345/QĐ-NHNN, do Ngân hàng Nhà nước ban hành ngày 18/12/2023 về các giải pháp an toàn, bảo mật trong thanh toán trực tuyến và thanh toán thẻ ngân hàng.

Theo quy định này, khách hàng phải xác thực bằng khuôn mặt hoặc vân tay khi chuyển tiền trực tuyến trên 10 triệu đồng mỗi lần hoặc tổng giá trị giao dịch trong ngày vượt 20 triệu đồng. Dữ liệu sinh trắc học được đối chiếu với thông tin trong căn cước công dân gắn chip hoặc tài khoản định danh điện tử VNeID. Dưới các ngưỡng này, giao dịch áp dụng biện pháp xác thực tương ứng theo loại giao dịch và quy định tại Quyết định 2345/QĐ-NHNN.

Ví dụ, trong một ngày, khách hàng lần lượt chuyển 3 triệu, 8 triệu và 9 triệu đồng. Tổng giá trị vừa đúng 20 triệu đồng nên ba giao dịch này chưa cần xác thực sinh trắc học. Tuy nhiên, nếu khách hàng tiếp tục chuyển thêm 30.000 đồng, giao dịch này sẽ khiến tổng giá trị trong ngày vượt ngưỡng 20 triệu đồng và phải xác thực bằng khuôn mặt hoặc vân tay.

Từ ngày 01/01/2025, ngưỡng giá trị giao dịch không còn là điều kiện duy nhất quyết định khách hàng có cần xác thực sinh trắc học hay không.

Theo Thông tư 17/2024/TT-NHNN về mở và sử dụng tài khoản thanh toán và Thông tư 18/2024/TT-NHNN về hoạt động thẻ ngân hàng, khách hàng chỉ có thể sử dụng tài khoản, thẻ để thực hiện giao dịch bằng phương tiện điện tử sau khi ngân hàng hoàn tất đối chiếu giấy tờ tùy thân với dữ liệu sinh trắc học của chủ tài khoản.

Vì vậy, nếu chưa hoàn tất bước đối chiếu sinh trắc học theo quy định, khách hàng không thể tiếp tục thực hiện giao dịch bằng phương tiện điện tử, bất kể giá trị giao dịch. Khi đó, khách hàng chỉ có thể giao dịch trực tiếp tại quầy.

Cần phân biệt yêu cầu trên với xác thực sinh trắc học khi lập hóa đơn điện tử theo quy định của ngành thuế. Đây là hai phạm vi khác nhau, vì vậy bài viết không đề cập đến quy định về hóa đơn điện tử.

Vân tay, khuôn mặt, giọng nói, mống mắt: phương thức nào chính xác và an toàn hơn?

Không có phương thức sinh trắc học nào chính xác tuyệt đối. Mức độ tin cậy của hệ thống thường được đánh giá qua hai chỉ số kỹ thuật là tỷ lệ chấp nhận sai và tỷ lệ từ chối sai.

Theo Hướng dẫn định danh số NIST SP 800-63-4 (bản cập nhật chính thức năm 2025):

• Tỷ lệ chấp nhận sai (false match rate – FMR): Cho biết khả năng hệ thống nhận nhầm một người khác là chủ tài khoản. Trong các tài liệu phổ thông, chỉ số này thường được gọi là FAR (false acceptance rate).
• Tỷ lệ từ chối sai (false non-match rate – FNMR): Cho biết khả năng hệ thống không nhận ra chính chủ tài khoản. Chỉ số này còn được gọi là FRR (false rejection rate).

NIST yêu cầu hệ thống sinh trắc học dùng cho xác thực phải đạt FMR tốt hơn 1/10.000 đối với mọi nhóm nhân khẩu học, đồng thời khuyến nghị FNMR dưới 5%.

Bốn phương thức phổ biến cũng có yêu cầu chống giả mạo khác nhau, thể hiện trong bảng dưới đây.

Điểm đáng chú ý là NIST SP 800-63-4 quy định không sử dụng so sánh sinh trắc học bằng giọng nói làm yếu tố xác thực (SHALL NOT). Với nhận diện khuôn mặt, hệ thống bắt buộc phải có công nghệ phát hiện giả mạo trình diện (presentation attack detection – PAD). Phần tiếp theo sẽ phân tích rõ hơn các hình thức giả mạo sinh trắc học và những giới hạn bảo mật liên quan.

Xác thực sinh trắc học có an toàn tuyệt đối không?

Không. Sinh trắc học có thể tăng cường khả năng xác minh danh tính nhưng không phải là lá chắn tuyệt đối, vì bản thân đặc điểm sinh học không phải là bí mật.

NIST chỉ ra rằng ảnh khuôn mặt có thể bị chụp bằng điện thoại, dấu vân tay có thể lấy từ bề mặt một người từng chạm vào, còn hoa văn mống mắt có thể được ghi lại bằng camera độ phân giải cao. Những dữ liệu này đều có thể bị thu thập mà không cần sự đồng ý của chủ thể.

Rủi ro đáng chú ý hiện nay là deepfake, tức hình ảnh hoặc âm thanh do AI tạo ra để giả danh người thật. Theo Báo cáo gian lận danh tính 2026 của Entrust, dựa trên phân tích hơn 1 tỷ lượt xác minh danh tính tại 195 quốc gia, deepfake xuất hiện trong 1/5 số trường hợp gian lận sinh trắc học mà Entrust ghi nhận. Số lượt giả mạo selfie bằng deepfake cũng tăng 58% chỉ trong một năm.

Trước rủi ro giả mạo, NIST SP 800-63-4 đặt ra yêu cầu chặt chẽ hơn đối với xác thực sinh trắc học. Hệ thống nhận diện khuôn mặt bắt buộc phải có công nghệ phát hiện giả mạo trình diện (presentation attack detection – PAD), còn giọng nói không được sử dụng làm yếu tố xác thực.

Vì những giới hạn này, NIST quy định sinh trắc học chỉ được sử dụng như một phần của xác thực đa yếu tố và phải đi kèm một yếu tố sở hữu vật lý như thiết bị hoặc khóa mã hóa.

Vì vậy, sinh trắc học không nên là yếu tố duy nhất dùng để xác thực danh tính. Dữ liệu sinh trắc học cũng phải được bảo vệ như thông tin cá nhân nhạy cảm theo cách phân loại của pháp luật Việt Nam, nội dung này sẽ được trình bày ở phần sau.

Sinh trắc học được dùng ở đâu ngoài giao dịch ngân hàng?

Ngoài giao dịch ngân hàng, sinh trắc học còn được doanh nghiệp sử dụng trong nhiều hoạt động kiểm soát danh tính và quyền truy cập. Ba tình huống phổ biến gồm:

• Chấm công: Doanh nghiệp sử dụng vân tay hoặc khuôn mặt thay cho thẻ từ để hạn chế tình trạng chấm công hộ.
• Kiểm soát ra vào: Vân tay hoặc khuôn mặt có thể thay thế chìa khóa vật lý khi nhân viên ra vào văn phòng, nhà máy hoặc khu vực chứa dữ liệu nhạy cảm.
• Mở khóa thiết bị đầu cuối: Các tính năng như Face ID hoặc Windows Hello giúp nhân viên mở khóa laptop, điện thoại công việc mà không cần nhập mật khẩu. Đây cũng có thể là một lớp xác thực trong hệ thống kiểm soát truy cập của doanh nghiệp.

Trong cả ba trường hợp, sinh trắc học chủ yếu giúp xác minh “ai đang yêu cầu truy cập”. Còn người đó được phép truy cập hệ thống, dữ liệu hoặc chức năng nào lại phụ thuộc vào cơ chế kiểm soát quyền truy cập của doanh nghiệp.

Dữ liệu sinh trắc học được pháp luật Việt Nam bảo vệ ra sao?

Dữ liệu sinh trắc học thuộc nhóm dữ liệu cá nhân nhạy cảm và phải đáp ứng yêu cầu bảo vệ nghiêm ngặt hơn dữ liệu cá nhân cơ bản như họ tên hay số điện thoại.

Theo điểm đ khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP, hướng dẫn thi hành Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, dữ liệu sinh trắc học và đặc điểm di truyền thuộc nhóm dữ liệu cá nhân nhạy cảm. Hai văn bản cùng có hiệu lực từ ngày 01/01/2026.

Theo Nghị định 356/2025/NĐ-CP, tổ chức xử lý dữ liệu nhạy cảm phải giới hạn và phân quyền truy cập, xây dựng quy trình xử lý riêng và áp dụng các biện pháp bảo mật phù hợp. Tổ chức cũng phải thông báo rõ cho chủ thể dữ liệu biết thông tin được xử lý thuộc nhóm dữ liệu nhạy cảm trước khi xin sự đồng ý, thay vì áp dụng cơ chế “mặc định đồng ý”.

Nghị định cũng có yêu cầu riêng khi xảy ra vi phạm liên quan đến dữ liệu vị trí và dữ liệu sinh trắc học. Bên kiểm soát dữ liệu phải thông báo cho chủ thể dữ liệu bị ảnh hưởng chậm nhất 72 giờ kể từ khi phát hiện vi phạm.

CyStack Endpoint hỗ trợ kiểm soát truy cập doanh nghiệp thế nào?

CyStack Endpoint không cung cấp công nghệ xác thực sinh trắc học mà bổ sung lớp kiểm soát truy cập sau bước xác thực.

Khi nhân viên đã mở khóa thiết bị bằng vân tay hoặc khuôn mặt, doanh nghiệp vẫn cần xác định xem họ được phép truy cập hệ thống và dữ liệu nào. CyStack Endpoint hỗ trợ kiểm soát này thông qua phân quyền theo vai trò (RBAC), xác thực đa yếu tố (MFA), kiểm soát truy cập theo ngữ cảnh và tính năng Passport để quản lý truy cập vào mạng nội bộ doanh nghiệp.

Nói cách khác, CyStack Endpoint không thay thế bước xámmc thực bằng vân tay hoặc khuôn mặt trên thiết bị mà giúp doanh nghiệp kiểm soát quyền truy cập sau khi danh tính đã được xác minh. Nếu doanh nghiệp cần quản lý chặt chẽ nhân sự nào được truy cập hệ thống và dữ liệu nào, có thể tìm hiểu CyStack Endpoint hoặc tham khảo cách kiểm soát quyền truy cập dữ liệu theo vai trò nhân sự.

Câu hỏi thường gặp (FAQ)

Không xác thực sinh trắc học thì có chuyển khoản online được không?

Không. Từ 01/01/2025, theo Thông tư 17/2024/TT-NHNN và Thông tư 18/2024/TT-NHNN, tài khoản và thẻ ngân hàng chưa hoàn tất đối chiếu sinh trắc học sẽ bị dừng giao dịch bằng phương tiện điện tử. Khách hàng chỉ có thể thực hiện giao dịch trực tiếp tại quầy.

Xác thực sinh trắc học trên hóa đơn điện tử có giống xác thực ngân hàng không?

Không. Yêu cầu sinh trắc học trên hóa đơn điện tử thuộc quy định riêng của ngành thuế, tách biệt với Quyết định 2345/QĐ-NHNN và hai thông tư nêu trên về giao dịch ngân hàng.

Vì sao NIST không cho phép dùng giọng nói làm yếu tố xác thực?

Theo NIST SP 800-63-4 (2025), so sánh sinh trắc học bằng giọng nói không được dùng làm yếu tố xác thực. Trong khi đó, với nhận diện khuôn mặt, NIST yêu cầu phải có công nghệ phát hiện giả mạo trình diện (PAD).

Doanh nghiệp thu thập sinh trắc học nhân viên để chấm công có cần xin phép không?

Có. Sinh trắc học là dữ liệu cá nhân nhạy cảm theo Nghị định 356/2025/NĐ-CP. Doanh nghiệp phải thông báo rõ cho nhân viên về việc xử lý dữ liệu nhạy cảm trước khi xin sự đồng ý, đồng thời áp dụng quy trình phân quyền và bảo mật phù hợp.

VNeID có thể thay thế bước quét khuôn mặt trực tiếp trên app ngân hàng không?

Có thể trong một số trường hợp. Nếu điện thoại không hỗ trợ NFC để quét chip căn cước công dân, khách hàng có thể xác thực qua tài khoản định danh điện tử VNeID tại những ngân hàng hỗ trợ phương thức này.

Tóm tắt nhanh

Xác thực sinh trắc học sử dụng các đặc điểm như vân tay, khuôn mặt, mống mắt hoặc giọng nói để xác minh danh tính.

• Từ 01/7/2024, Quyết định 2345/QĐ-NHNN yêu cầu xác thực sinh trắc học đối với giao dịch trên 10 triệu đồng/lần hoặc tổng giao dịch trong ngày trên 20 triệu đồng.
• Từ 01/01/2025, Thông tư 17/2024/TT-NHNN và Thông tư 18/2024/TT-NHNN yêu cầu hoàn tất đối chiếu sinh trắc học để tiếp tục thực hiện giao dịch điện tử.
• Sinh trắc học không an toàn tuyệt đối. NIST không cho phép dùng giọng nói làm yếu tố xác thực và yêu cầu nhận diện khuôn mặt phải có công nghệ phát hiện giả mạo trình diện (PAD).
• Dữ liệu sinh trắc học là dữ liệu cá nhân nhạy cảm theo pháp luật Việt Nam và phải áp dụng các biện pháp bảo vệ tương ứng.