Trong kỷ nguyên số hóa, an toàn bảo mật trong giao dịch ngân hàng luôn là ưu tiên hàng đầu. Ngày 31/10/2024, Ngân hàng Nhà nước đã ban hành Thông tư 50/2024/TT-NHNN quy định về an toàn, bảo mật cho việc cung cấp dịch vụ trực tuyến trong ngành Ngân hàng. Một trong những nội dung trọng tâm được người dùng quan tâm chính là các quy định khắt khe về Soft OTP.

Soft OTP là gì và có mấy loại?

Theo quy định tại Điều 11 Thông tư 50/2024/TT-NHNN, Soft OTP là một hình thức xác nhận bằng mã khóa bí mật dùng một lần (One Time Password). Điểm khác biệt của Soft OTP so với SMS OTP truyền thống là mã xác thực được tạo ra ngay trên phần mềm cài đặt trên thiết bị di động của khách hàng, giúp hạn chế rủi ro bị đánh cắp mã qua tin nhắn viễn thông.

Hiện nay, pháp luật phân chia Soft OTP thành hai loại chính:

• Soft OTP loại cơ bản: Mã được sinh ngẫu nhiên theo thời gian và đồng bộ với hệ thống Online Banking.
• Soft OTP loại nâng cao: Mã được tạo kết hợp với thông tin của từng giao dịch cụ thể, mang lại cấp độ bảo mật cao hơn vượt trội.

5 yêu cầu bảo mật "thép" đối với Soft OTP từ năm 2025

Để đảm bảo an toàn tuyệt đối cho tài khoản của khách hàng, khoản 3 Điều 11 Thông tư 50/2024/TT-NHNN đã đặt ra các tiêu chuẩn kỹ thuật và vận hành bắt buộc:

1. Tính độc lập và nguồn gốc ứng dụng

Nếu phần mềm Soft OTP độc lập với ứng dụng Mobile Banking, nó phải được đăng ký và quản lý tại các kho ứng dụng chính thức (như App Store hoặc Google Play). Ngân hàng có trách nhiệm hướng dẫn cài đặt rõ ràng trên trang thông tin điện tử chính thức để tránh việc khách hàng tải nhầm phần mềm giả mạo.

2. Xác thực danh tính khi kích hoạt lần đầu

Trước khi cho phép sử dụng Soft OTP lần đầu hoặc trên thiết bị mới, ngân hàng bắt buộc phải kiểm tra khách hàng thông qua SMS OTP/Voice OTP hoặc khớp đúng thông tin sinh trắc học. Điều này ngăn chặn kẻ gian tự ý kích hoạt Soft OTP trên thiết bị lạ để chiếm đoạt quyền kiểm soát tài khoản.

3. Cơ chế kiểm soát truy cập nghiêm ngặt

Phần mềm Soft OTP phải có chức năng tự động khóa nếu người dùng nhập sai mã truy cập liên tiếp quá số lần quy định (tối đa không quá 10 lần). Việc mở khóa chỉ được thực hiện khi có yêu cầu trực tiếp từ khách hàng và sau khi ngân hàng đã xác minh danh tính kỹ lưỡng.

4. Giới hạn thời gian hiệu lực của mã OTP

Một trong những quy định quan trọng nhất là mã OTP chỉ được phép có hiệu lực tối đa trong vòng 02 phút. Sau thời gian này, mã sẽ vô hiệu, giúp giảm thiểu rủi ro nếu mã vô tình bị lộ lọt ra ngoài.

5. Quy định về Token OTP chuyên dụng

Bên cạnh Soft OTP trên điện thoại, hình thức Token OTP (thiết bị rời) cũng được quy định rõ ràng. Tương tự như Soft OTP, Token OTP cũng có hai loại cơ bản và nâng cao, đáp ứng nhu cầu bảo mật đa dạng của các phân khúc khách hàng khác nhau.

"Soft OTP là hình thức xác nhận bằng mã khóa bí mật dùng một lần, giao dịch sẽ được xác nhận thông qua mã OTP được tạo bởi phần mềm cài đặt trên thiết bị di động của khách hàng." - Trích khoản 3 Điều 11 Thông tư 50/2024/TT-NHNN.

Việc nắm vững các quy định về Soft OTP không chỉ giúp bạn thực hiện giao dịch thuận tiện hơn mà còn là cách tự bảo vệ mình trước các thủ đoạn lừa đảo công nghệ cao ngày càng tinh vi hiện nay.