Chuyển tiền cho người khác trên 10 triệu: ngân hàng buộc khớp khuôn mặt, đừng tìm dịch vụ "mở khoá"

Chuyển tiền cho người khác qua app, nhớ hai ngưỡng: một lệnh trên 10 triệu đồng, hoặc tổng các lệnh trong ngày trên 20 triệu đồng, là phải khớp khuôn mặt. Dưới cả hai ngưỡng thì chỉ cần mã OTP. Không muốn quét thì ra quầy làm.

Chi phí

Không mất đồng nào cho lần quét: ngân hàng không có phí riêng cho bước xác thực này, chỉ có phí dịch vụ thường lệ của tài khoản. Thứ tốn là thời gian: vài chục giây cho mỗi lần quét, có khi phải giơ điện thoại đúng sáng và bỏ kính. Nếu bạn từ chối quét thì chi phí thật là một chuyến ra quầy, xếp hàng, mang theo thẻ căn cước, và chỉ làm được trong giờ giao dịch.

Lợi ích

Xác thực khuôn mặt cho giao dịch ngân hàng là lớp kiểm soát, không phải thao tác nên tìm cách vượt qua. Khi không thực hiện được, liên hệ chính ngân hàng để giải quyết.

Pháp luật Việt Nam

Điều 10 khoản 1 điểm a Thông tư 50/2024/TT-NHNN buộc tổ chức cung ứng dịch vụ thanh toán phân loại giao dịch theo Phụ lục 01 và áp dụng hình thức xác nhận theo Phụ lục 02. Phụ lục 01, nhóm I.3 - chuyển tiền giữa tài khoản, thẻ, ví điện tử của những người khác nhau - xếp giao dịch vào loại B khi giá trị từng lệnh không quá 10 triệu đồng và tổng giá trị trong ngày không quá 20 triệu đồng; vượt một trong hai con số đó thì thành loại C; khi tổng giá trị vượt 1,5 tỷ đồng thì lên loại D, cũng buộc khớp khuôn mặt, chỉ khác là phần OTP phải là loại nâng cao, FIDO hoặc chữ ký điện tử an toàn. Phụ lục 02 với khách hàng cá nhân quy định giao dịch loại C phải xác nhận bằng OTP gửi qua SMS hoặc Voice, hoặc Soft OTP, kết hợp với khớp đúng thông tin sinh trắc học. Điều 11 đặt yêu cầu kỹ thuật cho việc khớp khuôn mặt: phải chống được ảnh, video, mặt nạ 3D theo tiêu chuẩn ISO 30107 cấp độ 2, lần quét tối đa 3 phút, và sai liên tiếp quá số lần đơn vị quy định - không quá 10 lần - thì khoá chức năng cho tới khi khách hàng yêu cầu mở. Điều 10 khoản 4 mở một đường riêng cho người khuyết tật: đơn vị hướng dẫn khách hàng chọn hình thức xác nhận phù hợp, không bắt buộc áp dụng khoản 1. Về phía dữ liệu, Điều 4 khoản 1 điểm b Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 ghi quyền của chủ thể dữ liệu là được đồng ý hoặc không đồng ý, và được yêu cầu rút lại sự đồng ý; Điều 9 khoản 4 đòi sự đồng ý theo từng mục đích, không được kèm điều kiện bắt buộc phải đồng ý với mục đích khác, và ghi rõ im lặng hoặc không phản hồi không phải là đồng ý; Điều 10 cho bạn quyền rút lại bằng văn bản, kể cả bản điện tử; Điều 31 khoản 4 buộc bên thu thập dữ liệu sinh trắc học phải có biện pháp bảo mật vật lý với thiết bị lưu trữ và truyền tải, hạn chế quyền truy cập, có hệ thống theo dõi, và thông báo cho chủ thể dữ liệu khi việc xử lý gây thiệt hại.

Ghi chú

Vì sao mức B: con số 10 triệu đồng và 20 triệu đồng đọc được nguyên văn trong Phụ lục 01 của bản hợp nhất, kèm đúng nhóm giao dịch, đúng hình thức xác nhận ở Phụ lục 02, nên phần chỉ dẫn đứng trên văn bản chứ không phải trên bài báo. Chưa lên A vì đây là quy định thủ tục, không có thống kê Việt Nam nào đo được nhờ nó mà số vụ mất tiền giảm bao nhiêu, và cũng chưa có bản án nào cho thấy toà xử đúng theo ngưỡng này. Ba cái bẫy người ta hay mắc. Một: nghe "trên 10 triệu mới phải quét" rồi chia nhỏ lệnh, quên rằng ngưỡng thứ hai là tổng giá trị trong ngày vượt 20 triệu, và quên cả việc đăng nhập ứng dụng trên điện thoại mới cũng phải qua bước kiểm tra khách hàng. Hai: đưa ảnh căn cước, ảnh selfie và mã OTP cho dịch vụ "mở khoá tài khoản", "nâng hạn mức" trên mạng, trong khi chính bước khớp khuôn mặt tồn tại để chặn người khác dùng tài khoản của bạn, nên đưa dữ liệu cho người lạ là tự tay mở đúng cái chốt đó. Ba: coi đã quét khuôn mặt là hết rủi ro, rồi vẫn đọc mã OTP cho người tự xưng công an qua điện thoại, vì khuôn mặt chỉ chứng minh người đang bấm là bạn, không chứng minh người đang nghe máy là công an. Đồng ý quét khuôn mặt để chuyển tiền không có nghĩa là bạn giao luôn dữ liệu sinh trắc cho mọi mục đích khác: Điều 9 khoản 4 Luật 91/2025 buộc sự đồng ý phải theo từng mục đích, và Điều 10 cho bạn rút lại, nhưng khi đó bạn mất khả năng chuyển khoản lớn ngay trên ứng dụng. Còn chuyện chọn cách xác thực khác khuôn mặt thì pháp luật chưa quy định rõ: Điều 10 khoản 4 Thông tư 50/2024 chỉ miễn cho khách hàng khuyết tật, Luật 91/2025 không có điều nào buộc tổ chức phải đưa ra phương thức thay thế, nên đây là chỗ còn treo chứ không phải một quyền đã có.

Bản dịch sát bản gốc (Trung Quốc) để đối chiếu

Chi phí

Không tốn tiền. Khi bị yêu cầu quét mặt, hỏi một câu "có cách xác minh nào khác không". Bên kia nói không có, thì yêu cầu họ đưa ra một cách. Cái khó là phải mở miệng hỏi trực tiếp.

Nói đơn giản

Chỉ cần còn cách khác làm được cùng việc đó, bên kia không được chỉ cho bạn quét mặt. Bạn không đồng ý quét mặt, họ phải đưa cho bạn cách khác như quẹt thẻ, mật khẩu hay chứng minh thư, cũng không được lấy câu "thế thì không làm được thủ tục" để ép bạn. Ở phòng khách sạn, nhà tắm công cộng, phòng thay đồ, nhà vệ sinh, không ai được lắp thiết bị nhận diện khuôn mặt.

Lợi ích

Biện pháp quản lý an toàn ứng dụng công nghệ nhận diện khuôn mặt (Trung Quốc) ghi rõ: "Để đạt cùng một mục đích hoặc cùng một yêu cầu nghiệp vụ, nếu có cách khác không dùng công nghệ nhận diện khuôn mặt, thì không được dùng công nghệ nhận diện khuôn mặt làm cách xác minh duy nhất. Cá nhân không đồng ý xác minh danh tính bằng thông tin khuôn mặt thì phải cung cấp cách khác hợp lý, thuận tiện." Biện pháp này còn ghi rõ: "Mọi tổ chức và cá nhân không được lấy lý do làm thủ tục, nâng cao chất lượng dịch vụ… để dẫn dắt sai, lừa dối, ép buộc cá nhân chấp nhận xác minh danh tính bằng công nghệ nhận diện khuôn mặt." Nếu xử lý thông tin khuôn mặt dựa trên sự đồng ý của bạn, thì phải có được "sự đồng ý riêng, đưa ra một cách tự nguyện, rõ ràng trên cơ sở được biết đầy đủ": hỏi riêng bạn về đúng việc này, bạn gật đầu riêng thì mới tính. Bạn có quyền rút lại sự đồng ý, bên xử lý phải cung cấp cách rút lại thuận tiện. Xử lý thông tin khuôn mặt của trẻ chưa đủ 14 tuổi phải được cha mẹ hoặc người giám hộ khác đồng ý. Lắp thiết bị nhận diện khuôn mặt ở nơi công cộng "phải là cần thiết để giữ gìn an toàn công cộng", và phải đặt biển báo dễ thấy. Bên trong các không gian riêng tư ở nơi công cộng như phòng khách sạn, nhà tắm công cộng, phòng thay đồ công cộng, nhà vệ sinh công cộng, không tổ chức hay cá nhân nào được lắp. Thông tin khuôn mặt phải lưu trong thiết bị nhận diện khuôn mặt, không được truyền ra ngoài qua internet. Có hai ngoại lệ: luật, văn bản pháp quy hành chính có quy định khác, hoặc đã có sự đồng ý riêng (toàn Trung Quốc, áp dụng từ ngày 01/6/2025)

Mức bằng chứng

A

Ghi chú

Hay gặp nhất là cổng ra vào khu dân cư, nền tảng thuê nhà, phòng tập, khách sạn bắt bạn đăng ký khuôn mặt. Khi bên kia nói "hệ thống chỉ hỗ trợ quét mặt", hãy đọc nguyên văn của biện pháp cho họ nghe. Nguyên văn là: "Để đạt cùng một mục đích hoặc cùng một yêu cầu nghiệp vụ, nếu có cách khác không dùng công nghệ nhận diện khuôn mặt, thì không được dùng công nghệ nhận diện khuôn mặt làm cách xác minh duy nhất". Rồi yêu cầu họ đưa cách khác như quẹt thẻ, mật khẩu hay chứng minh thư. Vẫn không đưa, thì phản ánh với cơ quan quản lý không gian mạng ở địa phương (Trung Quốc). Nhà nước có quy định riêng về quét mặt xác minh danh tính, như một phần lĩnh vực tài chính và dịch vụ công, thì làm theo các quy định đó. Khác biệt lớn nhất giữa khuôn mặt và mật khẩu là khuôn mặt bị lộ rồi thì không đổi được, nên nó đáng được thận trọng hơn mật khẩu. Đơn vị lưu thông tin khuôn mặt của từ 100.000 người trở lên phải đăng ký với cơ quan quản lý không gian mạng cấp tỉnh trở lên trong vòng 30 ngày làm việc; đây cũng là một câu để hỏi xem bên kia có làm ăn đàng hoàng không. Quyền tra cứu, sửa, xoá thông tin cá nhân của mình xem mục 8. Người khác mượn mặt bạn để làm khoản vay của chính họ là chuyện khác, xem chương 8 mục 45 (giúp quét mặt một chút).

Phần này lấy từ bản luonglb/song-dang-tien.

Nguồn · 1

1. Thông tư 50/2024/TT-NHNN ngày 31/10/2024 của Thống đốc Ngân hàng Nhà nước quy định về an toàn, bảo mật cho việc cung cấp dịch vụ trực tuyến trong ngành Ngân hàng, được sửa đổi, bổ sung bởi Thông tư 77/2025/TT-NHNN ngày 31/12/2025, bản hợp nhất số 25/VBHN-NHNN (Điều 10 khoản 1 và khoản 4, Điều 11, Phụ lục 01 nhóm I.3, Phụ lục 02) vbpl.vn/van-ban/chi-tiet/van-ban-hop-nhat-so-… ; Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Điều 4 khoản 1 điểm b, Điều 9 khoản 4, Điều 10, Điều 31 khoản 4) vbpl.vn/van-ban/chi-tiet/luat-bao-ve-du-lieu-… . Tra ngày 3/11/2026.