Bảo vệ dữ liệu sinh trắc học eKYC là nghĩa vụ pháp lý của ngân hàng và fintech, không chỉ là bài toán chống gian lận. Kẻ gian hiện có thể tạo video khuôn mặt giả theo thời gian thực (real-time deepfake) để vượt bước xác thực khi mở tài khoản hoặc đăng ký khoản vay trực tuyến. Khi dữ liệu khuôn mặt và giọng nói của khách hàng bị khai thác trái phép, tổ chức tài chính vừa chịu thiệt hại tín dụng, vừa chịu trách nhiệm theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 về dữ liệu sinh trắc học đang lưu giữ. Bài viết tóm tắt các hình thức tấn công, nghĩa vụ bảo mật, quy trình thông báo sự cố 72 giờ và hồ sơ đánh giá tác động.
1. Ba hình thức tấn công deepfake vào luồng eKYC#
- Tấn công trình diễn (presentation attack): đưa màn hình phát video, mặt nạ 3D hoặc ảnh in chất lượng cao trước camera để giả làm chủ tài khoản.
- Tấn công chèn luồng (injection attack): dùng phần mềm can thiệp hệ điều hành trên thiết bị đã root hoặc jailbreak, hoặc camera ảo, để đưa video deepfake thẳng vào luồng dữ liệu gửi về máy chủ eKYC mà không qua ống kính.
- Giả giọng nói (voice cloning): tái tạo giọng chủ tài khoản để vượt bước xác thực qua cuộc gọi video.
2. Nghĩa vụ kỹ thuật để bảo vệ dữ liệu sinh trắc học eKYC theo Luật 91/2025 và chuẩn ISO/IEC 30107#
Luật 91/2025 yêu cầu tổ chức xử lý dữ liệu sinh trắc học có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, hạn chế quyền truy cập, có hệ thống theo dõi để phát hiện xâm phạm và tuân thủ tiêu chuẩn quốc tế có liên quan (điểm a khoản 4 Điều 31). Tổ chức trong lĩnh vực tài chính, ngân hàng còn phải áp dụng tiêu chuẩn, quy chuẩn kỹ thuật bảo vệ dữ liệu cá nhân, đánh giá tuân thủ định kỳ 01 năm/lần và ghi nhật ký toàn bộ hoạt động xử lý dữ liệu cá nhân (khoản 1 Điều 8 Nghị định 356/2025/NĐ-CP). Không ghi nhật ký hoặc không đánh giá tuân thủ hằng năm bị phạt từ 50 đến 70 triệu đồng (điểm c khoản 1 Điều 64 Nghị định 330/2026/NĐ-CP).
Pháp luật bảo vệ dữ liệu cá nhân không chỉ định công nghệ phát hiện giả mạo cụ thể. Các biện pháp dưới đây là thực hành được khuyến nghị. Khung tuân thủ đầy đủ cho ngành có tại trang bảo vệ dữ liệu cá nhân ngành ngân hàng.
a) Phát hiện giả mạo (liveness detection)#
Phương thức active liveness (yêu cầu chớp mắt, quay trái, quay phải) ngày càng dễ bị vượt qua bằng video tạo bởi AI. Nhiều tổ chức chuyển sang passive liveness detection, phân tích kết cấu da, phản xạ ánh sáng và dấu hiệu của video phát lại. Khi chọn nhà cung cấp, nên yêu cầu kết quả kiểm thử độc lập theo ISO/IEC 30107-3 (đánh giá khả năng phát hiện tấn công trình diễn).
b) Chống tấn công chèn camera ảo#
Kẻ tấn công dùng công cụ can thiệp hệ thống trên thiết bị Android đã root để chặn lệnh gọi camera của ứng dụng ngân hàng, rồi bơm video deepfake vào. Các lớp phòng thủ thường dùng:
- Phát hiện thiết bị đã root, jailbreak hoặc đang bật chế độ nhà phát triển, và từ chối thực hiện eKYC trên các thiết bị này.
- Kiểm tra tính toàn vẹn của ứng dụng bằng Google Play Integrity API hoặc Apple App Attest/DeviceCheck.
- Thử thách ngẫu nhiên, ví dụ phát chuỗi màu trên màn hình và đo phản xạ trên da mặt, để phân biệt người thật với video phát lại.
- Yêu cầu xác thực bổ sung khi phát hiện giao dịch giá trị lớn hoặc thay đổi thiết bị bất thường.
c) Lưu trữ mẫu sinh trắc học#
Pháp luật bảo vệ dữ liệu cá nhân không quy định dạng lưu trữ cho dữ liệu sinh trắc học. Chuyển giao dữ liệu nhạy cảm phải có biện pháp mã hóa, ẩn danh và bảo mật khác trong quá trình chuyển (khoản 2 Điều 7 Nghị định 356/2025/NĐ-CP). Thực hành tốt là lưu mẫu sinh trắc (template) đã mã hóa, khóa tách riêng, và hạn chế lưu ảnh gốc. Lưu ý: template khuôn mặt không thể "băm một chiều" như mật khẩu vì so khớp khuôn mặt là so khớp gần đúng. Quy định chuyên ngành ngân hàng về eKYC có thể yêu cầu lưu ảnh, video của khách hàng; khi đó cần mã hóa và phân quyền chặt thay vì xóa. Nếu hệ thống lưu ảnh khuôn mặt dạng tệp JPG, PNG không mã hóa, tổ chức sẽ khó chứng minh đã áp dụng biện pháp bảo vệ phù hợp khi xảy ra sự cố.
3. Trách nhiệm khi eKYC bị vượt qua hoặc dữ liệu khuôn mặt bị lộ#
Bên kiểm soát chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra (điểm g khoản 1 Điều 37 Luật 91/2025). Trách nhiệm bồi thường cụ thể khi kẻ gian mở tài khoản giả và chiếm đoạt tiền của khách còn phụ thuộc pháp luật dân sự và ngân hàng.
Về xử phạt hành chính, mức phạt tối đa với các vi phạm về bảo vệ dữ liệu cá nhân ngoài hai trường hợp đặc biệt là 03 tỷ đồng đối với tổ chức (khoản 5 Điều 8 Luật 91/2025). Mức phạt tới 5% doanh thu năm trước liền kề chỉ áp dụng cho vi phạm về chuyển dữ liệu cá nhân xuyên biên giới (khoản 4 Điều 8), còn mức 10 lần khoản thu áp dụng cho hành vi mua, bán dữ liệu (khoản 3 Điều 8).
4. Hồ sơ đánh giá tác động cho module eKYC#
Như mọi bên kiểm soát, tổ chức tài chính phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Mẫu số 10 và gửi 01 bản chính cho Cục A05 trong 60 ngày kể từ ngày đầu tiên xử lý (Điều 21 Luật 91/2025, Điều 19 Nghị định 356/2025/NĐ-CP). Vì trực tiếp xử lý dữ liệu nhạy cảm, fintech quy mô nhỏ cũng không được miễn nghĩa vụ này (khoản 2, khoản 3 Điều 38 Luật 91/2025). Tổ chức không phải chờ phê duyệt trước khi xử lý. Cục A05 đánh giá và trả kết quả đạt hoặc không đạt trong 15 ngày (khoản 5 Điều 19 Nghị định 356/2025/NĐ-CP). Hồ sơ nên mô tả rõ luồng dữ liệu eKYC, vendor OCR và đối chiếu khuôn mặt, và các biện pháp chống giả mạo ở mục 2. LexData hỗ trợ lập hồ sơ đánh giá tác động (DPIA) cho các hệ thống này.
5. Quy trình 72 giờ khi có sự cố bảo vệ dữ liệu sinh trắc học eKYC#
Khi phát hiện hệ thống eKYC bị vượt qua hàng loạt hoặc cơ sở dữ liệu template bị xâm nhập:
- 0–12 giờ: kích hoạt nhóm ứng phó, cô lập API của module eKYC và chuyển sang phương thức xác thực thay thế (tại quầy, hoặc đọc chip căn cước qua NFC).
- 12–72 giờ: gửi thông báo cho Cục A05 theo Mẫu số 08 (xem hướng dẫn soạn mẫu thông báo sự cố rò rỉ dữ liệu), đồng thời thông báo cho khách hàng bị ảnh hưởng. Với sự cố dữ liệu sinh trắc học và lộ, mất dữ liệu nhạy cảm trong lĩnh vực ngân hàng, thông báo cho chủ thể dữ liệu phải thực hiện trong không quá 72 giờ kể từ khi phát hiện (khoản 3 Điều 8, Điều 29 Nghị định 356/2025/NĐ-CP). Không thông báo hoặc thông báo chậm quá 72 giờ bị phạt từ 50 đến 70 triệu đồng (điểm a khoản 1 Điều 64 Nghị định 330/2026/NĐ-CP).
- Sau 72 giờ: điều tra số, vá lỗ hổng, cập nhật thông tin cho khách hàng và lưu hồ sơ vi phạm tối thiểu 5 năm kể từ ngày khắc phục xong sự cố (điểm c khoản 1 Điều 29 Nghị định 356/2025/NĐ-CP).
Đầu mối điều phối các bước này là nhân sự bảo vệ dữ liệu cá nhân của tổ chức. Tổ chức chưa có nhân sự này có thể dùng dịch vụ DPO thuê ngoài.
6. Câu hỏi thường gặp về bảo vệ dữ liệu sinh trắc học eKYC#
Q1: Khách hàng từ chối xác thực khuôn mặt thì ngân hàng có được từ chối cung cấp dịch vụ không?
A1: Luật 91/2025 không có quy định riêng buộc doanh nghiệp cung cấp phương thức xác thực thay thế. Tuy nhiên, sự đồng ý xử lý dữ liệu sinh trắc học phải tự nguyện và không được kèm điều kiện bắt buộc phải đồng ý với mục đích khác với nội dung thỏa thuận (khoản 2, điểm b khoản 4 Điều 9). Vì vậy, trừ trường hợp pháp luật chuyên ngành ngân hàng bắt buộc xác thực sinh trắc học, ngân hàng nên có phương thức thay thế hợp lý, như xác thực tại phòng giao dịch bằng giấy tờ tùy thân gốc hoặc chữ ký số.
Q2: Thuê giải pháp eKYC của bên thứ ba thì ai chịu trách nhiệm trước Cục A05?
A2: Ngân hàng, với tư cách bên kiểm soát, chịu trách nhiệm chính về hoạt động xử lý. Tuy nhiên, vendor là bên xử lý cũng có nghĩa vụ riêng và có thể bị phạt trực tiếp, ví dụ khi không thông báo kịp thời cho ngân hàng về vi phạm (điểm a khoản 1 Điều 54 Nghị định 330/2026/NĐ-CP). Vì vậy, thỏa thuận xử lý dữ liệu với nhà cung cấp OCR và đối chiếu khuôn mặt nên nêu rõ nghĩa vụ báo sự cố và bồi hoàn; ngân hàng có thể yêu cầu vendor bồi hoàn theo hợp đồng nếu lỗi thuộc về vendor.
