Mất tiền trong tài khoản vì Deepfake & Lừa đảo qua mạng: Ngân hàng hay Khách hàng phải chịu trách nhiệm?

Trong thời gian gần đây, tội phạm công nghệ cao tại Việt Nam liên tục nâng cấp các thủ đoạn tinh vi: từ việc sử dụng công nghệ Deepfake (giả mạo khuôn mặt và giọng nói) trong các cuộc gọi video để mạo danh cơ quan công an, người thân vay tiền, cho đến việc lừa nạn nhân cài đặt các ứng dụng có mã độc (chứa quyền trợ năng Accessibility) để chiếm quyền điều khiển điện thoại, tự động quét khuôn mặt và vét sạch tiền trong tài khoản ngân hàng.

Khi tiền trong tài khoản "bốc hơi" chỉ sau vài phút, mâu thuẫn lớn nhất giữa khách hàng và ngân hàng lập tức bùng nổ: Khách hàng cho rằng ngân hàng có lỗi bảo mật và phải bồi thường; trong khi ngân hàng thường khẳng định hệ thống hoạt động đúng quy chuẩn và từ chối trách nhiệm vì giao dịch đã được xác thực đầy đủ bằng mật khẩu, OTP hoặc sinh trắc học.

Dưới góc nhìn pháp lý, ai mới là bên phải chịu trách nhiệm? Hãy cùng các Luật sư chuyên trách Tài chính - Ngân hàng tại TrustLawyer phân tích chi tiết dựa trên các quy định mới nhất của Ngân hàng Nhà nước (NHNN) và Bộ luật Dân sự.

1. Khung pháp lý mới: Sinh trắc học theo Quyết định 2345/QĐ-NHNN

Kể từ ngày 01/07/2024, Quyết định số 2345/QĐ-NHNN của Ngân hàng Nhà nước chính thức có hiệu lực, đặt ra hàng rào kỹ thuật bắt buộc nhằm bảo vệ người dùng thanh toán điện tử:

• Giao dịch chuyển tiền trên 10 triệu đồng/lần hoặc tổng giao dịch vượt quá 20 triệu đồng/ngày bắt buộc phải xác thực bằng dấu hiệu nhận dạng sinh trắc học của chủ tài khoản.

• Dữ liệu sinh trắc học khuôn mặt phải khớp đúng với dữ liệu được lưu trữ trong chip của thẻ Căn cước công dân (CCCD) hoặc tài khoản VNeID định danh mức 2.

• Công nghệ nhận diện của các ngân hàng thương mại bắt buộc phải có tính năng nhận diện thực thể sống (Liveness Detection) để ngăn chặn việc sử dụng ảnh tĩnh, video phát lại hoặc công nghệ Deepfake 2D/3D nhằm giả mạo khuôn mặt chủ tài khoản.

Tiếp nối đó, Thông tư 17/2024/TT-NHNN và Thông tư 18/2024/TT-NHNN áp dụng từ ngày 01/01/2025 siết chặt hơn nữa: người dùng chưa hoàn tất cập nhật sinh trắc học sẽ bị tạm dừng các giao dịch trực tuyến trên ứng dụng Internet Banking / Mobile Banking.

2. Phân định trách nhiệm bồi thường: Ngân hàng hay Khách hàng?

Để xác định nghĩa vụ bồi thường thiệt hại theo quy định tại Điều 584, Điều 554 và Điều 556 Bộ luật Dân sự 2015, cơ quan tài phán (Tòa án) sẽ xem xét căn cứ vào yếu tố lỗi của từng bên trong quá trình thực hiện giao dịch:

Trường hợp 1: Ngân hàng PHẢI bồi thường thiệt hại

Ngân hàng phải chịu trách nhiệm bồi hoàn toàn bộ hoặc một phần số tiền bị chiếm đoạt nếu khách hàng chứng minh được một trong các lỗi kỹ thuật/quy trình sau từ phía tổ chức tín dụng:

1. Lỗ hổng công nghệ nhận diện sinh trắc học: Hệ thống ngân hàng không đạt chuẩn an toàn của NHNN, để video Deepfake hoặc ảnh chụp vượt qua lớp xác thực sinh trắc học mà không có cơ chế phát hiện thực thể sống (Liveness check thất bại);

2. Bỏ qua bước xác thực bắt buộc: Giao dịch trên 10 triệu đồng nhưng hệ thống của ngân hàng gặp sự cố (bug hệ thống) cho phép chuyển tiền trót lọt mà không yêu cầu quét khuôn mặt theo Quyết định 2345;

3. Chậm trễ xử lý lệnh khóa khẩn cấp: Khách hàng đã phát hiện nguy cơ và liên hệ tổng đài/chi nhánh yêu cầu khóa tài khoản/thẻ nhưng nhân viên ngân hàng chậm trễ thao tác, dẫn đến việc tội phạm tiếp tục rút thêm các khoản tiền sau thời điểm tiếp nhận yêu cầu.

Trường hợp 2: Khách hàng PHẢI tự gánh chịu thiệt hại

Pháp luật quy định chủ tài khoản có nghĩa vụ bảo mật thông tin định danh. Ngân hàng sẽ được miễn trừ trách nhiệm nếu lỗi phát sinh hoàn toàn từ sự bất cẩn hoặc hành vi chủ động của khách hàng:

1. Khách hàng trực tiếp cung cấp mã OTP, mật khẩu Internet Banking, hoặc mã Smart OTP cho kẻ mạo danh;

2. Khách hàng tin theo lời đe dọa/dụ dỗ của kẻ gian và tự tay thao tác quét sinh trắc học khuôn mặt để hoàn tất lệnh chuyển tiền sang tài khoản của đối tượng lừa đảo;

3. Khách hàng chia sẻ thiết bị hoặc cho người khác mượn tài khoản thanh toán vi phạm quy chế sử dụng dịch vụ của ngân hàng.

Trường hợp 3: Bị mã độc chiếm quyền Accessibility trên điện thoại (Tranh chấp gay gắt nhất)

Đây là kịch bản phổ biến nhất hiện nay: Kẻ gian dụ nạn nhân tải ứng dụng giả danh "Cổng dịch vụ công", "Cơ quan Thuế" chứa mã độc tống tiền (Trojan). Mã độc chiếm quyền trợ năng (Accessibility Service) trên hệ điều hành Android, tự động theo dõi màn hình, đọc trộm mật khẩu/OTP và thậm chí tự bật camera ghi hình để vượt qua xác thực.

Thực tiễn xét xử: Nhiều Tòa án hiện nay đánh giá đây là lỗi hỗn hợp. Người dùng có lỗi sơ suất khi cài đặt phần mềm không rõ nguồn gốc (tập tin .APK ngoài Google Play/App Store). Tuy nhiên, nếu ngân hàng không kịp thời nâng cấp ứng dụng để chặn các thiết bị có quyền can thiệp hệ thống nguy hiểm (Root/Accessibility can thiệp sâu), ngân hàng vẫn có thể bị xem xét một phần trách nhiệm bảo mật an toàn giao dịch.

3. Bảng đối chiếu trách nhiệm pháp lý theo các kịch bản lừa đảo

4. Quy trình 4 bước "vàng" cần làm ngay khi bị mất tiền trong tài khoản

Nếu không may bị lừa đảo hoặc phát hiện tài khoản ngân hàng bị trừ tiền bất thường, bạn cần bình tĩnh thực hiện ngay 4 bước sau trong vòng 24 giờ đầu tiên:

1. Bước 1: Khóa thẻ và tài khoản khẩn cấp: Ngay lập tức đăng nhập app để khóa tạm thời tính năng giao dịch trực tuyến, hoặc gọi trực tiếp tổng đài hotline ngân hàng (ghi âm cuộc gọi) yêu cầu khóa khẩn cấp toàn bộ tài khoản và dịch vụ điện tử.

2. Bước 2: Nộp Giấy yêu cầu tra soát giao dịch tại chi nhánh ngân hàng: Trực tiếp đến phòng giao dịch gần nhất, điền mẫu đề nghị tra soát, yêu cầu ngân hàng lập biên bản tiếp nhận ghi rõ thời gian bạn thông báo sự việc và yêu cầu ngân hàng phối hợp với ngân hàng thụ hưởng phong tỏa dòng tiền.

3. Bước 3: Thu thập và niêm phong chứng cứ (Lập vi bằng): Giữ nguyên hiện trạng điện thoại, không tự ý xóa tin nhắn, cuộc gọi, app độc hại. Đến văn phòng Thừa phát lại để lập Vi bằng ghi nhận các giao dịch trừ tiền bất thường làm chứng cứ hợp pháp trước Tòa án.

4. Bước 4: Nộp đơn tố giác tội phạm tới Cơ quan Cảnh sát điều tra: Gửi đơn tố giác kèm toàn bộ sao kê tài khoản, biên bản tra soát tới Phòng An ninh mạng và phòng chống tội phạm công nghệ cao (PA05) hoặc Công an quận/huyện nơi bạn cư trú.

5. Lời khuyên từ Luật sư TrustLawyer

Các vụ tranh chấp mất tiền trong tài khoản giữa khách hàng và ngân hàng thương mại là những vụ kiện dân sự rất phức tạp về mặt chứng cứ kỹ thuật số (digital forensics). Ngân hàng luôn sở hữu đội ngũ chuyên gia pháp chế và kỹ thuật viên bảo mật hùng hậu để chứng minh lỗi thuộc về người dùng.

Do đó, nếu số tiền bị mất có giá trị lớn (từ vài chục triệu đến hàng tỷ đồng), việc có sự đồng hành của Luật sư chuyên ngành Ngân hàng & Công nghệ ngay từ giai đoạn tra soát đầu tiên sẽ giúp bạn:

• Yêu cầu ngân hàng cung cấp nhật ký hệ thống (log files) về thời gian, địa chỉ IP và kết quả khớp khuôn mặt của giao dịch;

• Xác định chính xác ngân hàng có thực hiện đúng quy trình an toàn sinh trắc học theo Quyết định 2345 hay không;

• Đại diện đàm phán phương án bồi hoàn thiệt hại hoặc bảo vệ quyền lợi hợp pháp của bạn tại Tòa án nhân dân có thẩm quyền.

Bạn đang bị lừa đảo qua mạng hoặc gặp sự cố tranh chấp tiền với ngân hàng?

Thời gian xử lý dòng tiền là vàng! Hãy kết nối ngay với các Luật sư chuyên trách Tài chính - Ngân hàng trên TrustLawyer để được hướng dẫn thủ tục tra soát khẩn cấp và bảo vệ tối đa quyền lợi bồi thường của bạn.