Trong quý II năm 2026, khách hàng ngân hàng bị đánh cắp 2,74 tỷ rúp thông qua Hệ thống Thanh toán Nhanh (SBP) – con số kỷ lục kể từ khi bắt đầu được theo dõi. Các ngân hàng chỉ có thể thu hồi được 2,1% số tiền này, trong khi số vụ chiếm đoạt được ghi nhận là hơn 129.000 – gần gấp ba lần so với một năm trước đó. So với quý I, thiệt hại tăng 4%, và tính theo năm thì tăng 25%.
Tuy nhiên, các kênh chiếm đoạt khác lại cho thấy xu hướng ngược lại. Tổn thất từ thẻ ngân hàng vào khoảng 1,3 tỷ rúp – ít hơn 17% so với cùng kỳ năm ngoái, và tỷ lệ hoàn trả tiền cho khách hàng ở kênh này đạt 13,3%. Hình thức dịch vụ ngân hàng từ xa bị chiếm đoạt 2,17 tỷ rúp, thấp hơn 7% so với chỉ số của năm trước. Kết quả là, tổng khối lượng giao dịch không có sự đồng ý tự nguyện của khách hàng không vượt quá 7,4 tỷ rúp với 458.700 trường hợp được ghi nhận, trong khi các ngân hàng trong cùng kỳ đã ngăn chặn 17,5 triệu nỗ lực chiếm đoạt với số tiền khoảng 1.900 tỷ rúp. Tỷ lệ bồi thường cho nạn nhân ở tất cả các phân khúc đã tăng lên 7%.
Tại sao thẻ được bảo vệ tốt hơn chuyển khoản
Việc giảm số vụ chiếm đoạt từ thẻ và tài khoản phần lớn liên quan đến cơ chế "thời gian làm mát": ngân hàng có quyền tạm dừng một chuyển khoản đáng ngờ trong thời gian lên đến hai ngày dựa trên các dấu hiệu được Ngân hàng Trung ương Nga phê duyệt và cảnh báo khách hàng. Sau khi được xác nhận lại, giao dịch mới được thực hiện – nhưng chỉ khi thông tin người nhận không có trong cơ sở dữ liệu tài khoản gian lận. Đối với thanh toán bằng thẻ, còn có cơ chế chargeback, cho phép khiếu nại giao dịch sau thực tế: cơ sở hạ tầng thẻ đã được cải thiện qua nhiều năm, và việc giảm chiếm đoạt qua kênh này có vẻ là kết quả hợp lý của nỗ lực đó. Một yếu tố bổ sung là trong chuyển khoản, tiền đầu tiên bị chặn trên thẻ người gửi, chứ không bị trừ ngay lập tức – điều này cho ngân hàng thời gian để ngăn chặn gian lận và hoàn trả tiền.
Hệ thống SBP lại hoạt động khác. Chuyển khoản được gửi trực tiếp đến tài khoản cá nhân hoặc người trung gian, sau đó số tiền thường bị chia nhỏ thành các khoản nhỏ hơn và chuyển đi tiếp theo chuỗi. Những chuyển khoản như vậy là tức thì, và không có cơ chế tương tự chargeback cho chúng – chỉ có thể hoàn tiền với sự đồng ý của người nhận hoặc thông qua tòa án. Dịch vụ ban đầu được tạo ra với mục tiêu nhanh chóng và tiện lợi tối đa, nên việc bảo vệ khỏi gian lận trở thành nhiệm vụ thứ yếu: chính khách hàng khởi tạo chuyển khoản, còn ngân hàng chỉ đơn thuần thực hiện giao dịch ngay lập tức mà không có khả năng hủy ngược, và những kẻ xấu đang lợi dụng điều này thông qua kỹ thuật xã hội.
Kỹ thuật xã hội gia tăng
Điểm yếu của SBP trực tiếp liên quan đến sự gia tăng các cuộc tấn công bằng phương pháp kỹ thuật xã hội: trong quý II, số lượng của chúng đạt 28.700 – mức cao nhất trong hai năm. Con số này cao hơn gần một phần rưỡi so với quý trước và hơn gấp đôi so với chỉ số cách đây một năm. Vì chính khách hàng khởi tạo chuyển khoản qua SBP, những kẻ xấu đặt cược vào việc thuyết phục nạn nhân, thay vì hack bảo vệ kỹ thuật.
Cơ quan quản lý thay đổi luật chơi
Một phần hiệu quả về thẻ và tài khoản liên quan đến các yêu cầu mới đối với ngân hàng. Từ đầu năm, danh sách dấu hiệu giao dịch gian lận đã được mở rộng từ 6 lên 12 điểm, bao gồm cả việc chuyển khoản đáng ngờ cho chính mình qua SBP trước khi gửi tiền cho bên thứ ba.
Cuối tháng Sáu, Tổng thống Nga Vladimir Putin đã ký gói biện pháp chống gian lận thứ hai – hệ thống "Chống Gian lận 2.0", thay đổi quy tắc hoạt động của ngân hàng và nhà mạng. Điểm mới quan trọng – mở rộng quyền hạn của ngân hàng: nếu hệ thống phát hiện dấu hiệu thiết bị của khách hàng bị nhiễm phần mềm độc hại, tổ chức tín dụng sẽ có quyền tạm dừng chuyển khoản hoặc hoàn toàn từ chối thực hiện nó. Luật cũng đưa ra cơ chế bồi thường cho nạn nhân của kẻ lừa đảo, nếu ngân hàng hoặc nhà mạng vi phạm các yêu cầu được thiết lập về ngăn chặn chiếm đoạt – với điều kiện khách hàng không tự chuyển tiền cho kẻ xấu. Các quy định có hiệu lực theo từng giai đoạn, khối chính – từ năm 2027.
Quan điểm của AI
Từ góc độ phân tích dữ liệu bằng máy, trường hợp của Nga không phải là duy nhất: điểm yếu tương tự của thanh toán tức thời cũng xuất hiện ở Anh, nơi Faster Payments trong nhiều năm vẫn là kênh chính cho những kẻ lừa đảo thông qua kỹ thuật xã hội. Sau khi áp dụng bồi thường bắt buộc cho nạn nhân từ tháng 10 năm 2024, cơ quan quản lý ghi nhận mức giảm tổn thất qua kênh này khoảng 21%, và tỷ lệ các trường hợp được bồi thường tăng từ 54% lên 65%. Điều này cho thấy việc chuyển gánh nặng tài chính sang ngân hàng có thể thay đổi hành vi của hệ thống nhanh hơn so với chỉ các biện pháp hạn chế kỹ thuật.
Kinh nghiệm của Anh cũng cho thấy mặt trái: ngay cả sau cải cách, hệ thống chỉ bao phủ khoảng một phần mười tổng số giao dịch thanh toán của đất nước, để lại thẻ và các kênh khác ngoài vòng bảo vệ. Hệ thống "Chống Gian lận 2.0" của Nga có hiệu lực theo từng giai đoạn và bao phủ phạm vi giao dịch rộng hơn – câu hỏi đặt ra là liệu trách nhiệm mở rộng của ngân hàng có dẫn đến khoảng cách tương tự giữa các kênh thanh toán được bảo vệ và không được bảo vệ hay không.
end-content
