Quyết định 2345/QĐ-NHNN năm 2023 triển khai giải pháp an toàn, bảo mật trong thanh toán trực tuyến và thanh toán thẻ ngân hàng do Thống đốc Ngân hàng Nhà nước Việt Nam ban hành

NGÂN HÀNG NHÀ NƯỚC
VIỆT NAM
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

Số: 2345/QĐ-NHNN

Hà Nội, ngày 18 tháng 12 năm 2023

STT

Giao dịch1

Biện pháp xác thực2 tối thiểu

Khách hàng cá nhân

Khách hàng tổ chức

1

Giao dịch loại A

- Tên đăng nhập, mật khẩu hoặc mã PIN (trường hợp đã xác thực tại bước đăng nhập thì không bắt buộc phải xác thực tại bước thực hiện giao dịch).

- Tên đăng nhập, mật khẩu hoặc mã PIN (trường hợp đã xác thực tại bước đăng nhập thì không bắt buộc phải xác thực tại bước thực hiện giao dịch).

2

Giao dịch loại B

- OTP gửi qua phương thức SMS hoặc Voice hoặc Email.

- Hoặc Thẻ ma trận OTP.

- Hoặc Soft OTP/ Token OTP loại cơ bản.

- Hoặc biện pháp xác thực qua hai kênh.

- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của khách hàng gắn liền với thiết bị cầm tay thông minh3.

- Hoặc Soft OTP/Token OTP loại nâng cao.

- Hoặc theo chuẩn FIDO.

- Hoặc bằng chữ ký điện tử an toàn.

- OTP gửi qua phương thức SMS hoặc Voice hoặc Email.

- Hoặc Thẻ ma trận OTP.

- Hoặc Token OTP loại cơ bản, không có chức năng xác thực người dùng sử dụng Token.

- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của người đại diện hợp pháp, người phụ trách kế toán (nếu có) của khách hàng gắn liền với thiết bị cầm tay thông minh³.

3

Giao dịch loại C

- Bằng dấu hiệu nhận dạng sinh trắc học của khách hàng: (i) khớp đúng với dữ liệu sinh trắc học được lưu trong chip của thẻ căn cước công dân (CCCD) của khách hàng do cơ quan Công an cấp4; (ii) hoặc thông qua xác thực tài khoản định danh điện tử của khách hàng do hệ thống định danh và xác thực điện tử tạo lập5.

- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của khách hàng khớp đúng với dữ liệu sinh trắc học được lưu trong cơ sở dữ liệu (CSDL) sinh trắc học về khách hàng đã thu thập và kiểm tra6, khuyến khích kết hợp với phương thức xác thực OTP gửi qua SMS/Voice hoặc Soft OTP/Token OTP.

- Soft OTP/Token OTP loại cơ bản, có chức năng xác thực người dùng sử dụng phần mềm, Token.

- Hoặc biện pháp xác thực qua hai kênh.

4

Giao dịch loại D

Bằng dấu hiệu nhận dạng sinh trắc học của khách hàng: (i) khớp đúng với dữ liệu sinh trắc học được lưu trong chíp của thẻ CCCD của khách hàng do cơ quan Công an cấp⁴; (ii) hoặc thông qua xác thực tài khoản định danh điện tử của khách hàng do hệ thống định danh và xác thực điện tử tạo lập; (iii) hoặc khớp đúng với dữ liệu sinh trắc học được lưu trong CSDL sinh trắc học về khách hàng đã thu thập và kiểm tra⁶, kết hợp một trong các biện pháp xác thực sau:

- Soft OTP/Token OTP loại nâng cao.

- Hoặc theo chuẩn FIDO.

- Hoặc bằng chữ ký điện tử an toàn.

- Soft OTP/Token OTP loại nâng cao.

- Hoặc theo chuẩn FIDO.

- Hoặc bằng chữ ký điện tử an toàn.

NGÂN HÀNG NHÀ NƯỚC
VIỆT NAM
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

Số: 2345/QĐ-NHNN

Hà Nội, ngày 18 tháng 12 năm 2023

STT

Giao dịch1

Biện pháp xác thực2 tối thiểu

Khách hàng cá nhân

Khách hàng tổ chức

1

Giao dịch loại A

- Tên đăng nhập, mật khẩu hoặc mã PIN (trường hợp đã xác thực tại bước đăng nhập thì không bắt buộc phải xác thực tại bước thực hiện giao dịch).

- Tên đăng nhập, mật khẩu hoặc mã PIN (trường hợp đã xác thực tại bước đăng nhập thì không bắt buộc phải xác thực tại bước thực hiện giao dịch).

2

Giao dịch loại B

- OTP gửi qua phương thức SMS hoặc Voice hoặc Email.

- Hoặc Thẻ ma trận OTP.

- Hoặc Soft OTP/ Token OTP loại cơ bản.

- Hoặc biện pháp xác thực qua hai kênh.

- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của khách hàng gắn liền với thiết bị cầm tay thông minh3.

- Hoặc Soft OTP/Token OTP loại nâng cao.

- Hoặc theo chuẩn FIDO.

- Hoặc bằng chữ ký điện tử an toàn.

- OTP gửi qua phương thức SMS hoặc Voice hoặc Email.

- Hoặc Thẻ ma trận OTP.

- Hoặc Token OTP loại cơ bản, không có chức năng xác thực người dùng sử dụng Token.

- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của người đại diện hợp pháp, người phụ trách kế toán (nếu có) của khách hàng gắn liền với thiết bị cầm tay thông minh³.

3

Giao dịch loại C

- Bằng dấu hiệu nhận dạng sinh trắc học của khách hàng: (i) khớp đúng với dữ liệu sinh trắc học được lưu trong chip của thẻ căn cước công dân (CCCD) của khách hàng do cơ quan Công an cấp4; (ii) hoặc thông qua xác thực tài khoản định danh điện tử của khách hàng do hệ thống định danh và xác thực điện tử tạo lập5.

- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của khách hàng khớp đúng với dữ liệu sinh trắc học được lưu trong cơ sở dữ liệu (CSDL) sinh trắc học về khách hàng đã thu thập và kiểm tra6, khuyến khích kết hợp với phương thức xác thực OTP gửi qua SMS/Voice hoặc Soft OTP/Token OTP.

- Soft OTP/Token OTP loại cơ bản, có chức năng xác thực người dùng sử dụng phần mềm, Token.

- Hoặc biện pháp xác thực qua hai kênh.

4

Giao dịch loại D

Bằng dấu hiệu nhận dạng sinh trắc học của khách hàng: (i) khớp đúng với dữ liệu sinh trắc học được lưu trong chíp của thẻ CCCD của khách hàng do cơ quan Công an cấp⁴; (ii) hoặc thông qua xác thực tài khoản định danh điện tử của khách hàng do hệ thống định danh và xác thực điện tử tạo lập; (iii) hoặc khớp đúng với dữ liệu sinh trắc học được lưu trong CSDL sinh trắc học về khách hàng đã thu thập và kiểm tra⁶, kết hợp một trong các biện pháp xác thực sau:

- Soft OTP/Token OTP loại nâng cao.

- Hoặc theo chuẩn FIDO.

- Hoặc bằng chữ ký điện tử an toàn.

- Soft OTP/Token OTP loại nâng cao.

- Hoặc theo chuẩn FIDO.

- Hoặc bằng chữ ký điện tử an toàn.

Nơi nhận:
- Như Điều 6;
- Ban Lãnh đạo NHNN;
- Lưu; VP, CNTT _(HMTiến).

KT. THỐNG ĐỐC
PHÓ THỐNG ĐỐC




Phạm Tiến Dũng

STT

Loại hình giao dịch

Giao dịch loại A

Giao dịch loại B

Giao dịch loại C

Giao dịch loại D

I

Khách hàng cá nhân

1

Nhóm I.1:

- Các giao dịch tra cứu thông tin.

- Chuyển tiền trong cùng ngân hàng, cùng chủ tài khoản.

Tất cả các giao dịch.

2

Nhóm I.2:

- Các giao dịch thanh toán hàng hóa, dịch vụ hợp pháp được tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán cung cấp hoặc tại các đơn vị chấp nhận thanh toán do các tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán chịu trách nhiệm lựa chọn, thẩm định, giám sát và quản lý.

Giao dịch thỏa mãn điều kiện:

G + T ≤ 5 triệu VND.

Giao dịch thỏa mãn các điều kiện:

(i) G + T > 5 triệu VND.

(ii) G + T ≤ 100 triệu VND.

Giao dịch thỏa mãn các điều kiện:

(i) G + T > 100 triệu VND.

(ii) G + T ≤ 1,5 tỷ VND.

Giao dịch thỏa mãn điều kiện:

G + T > 1,5 tỷ VND.

3

Nhóm I.3:

- Chuyển tiền trong cùng ngân hàng, khác chủ tài khoản.

- Chuyển tiền liên ngân hàng trong nước.

- Chuyển tiền giữa các ví điện tử.

- Nạp tiền vào Ví điện tử7.

- Rút tiền từ Ví điện tử.

Giao dịch thỏa mãn các điều kiện:

(i) G ≤ 10 triệu VND.

(ii) G + T_ksth ≤ 20 triệu VND.

Giao dịch thỏa mãn một trong các trường hợp sau:

1. Trường hợp 1: Giao dịch thỏa mãn các điều kiện:

(i) G ≤ 10 triệu VND.

(ii) G + T_ksth > 20 triệu VND.

(iii) G + T ≤ 1,5 tỷ VND.

2. Trường hợp 2: Giao dịch thỏa mãn các điều kiện:

(i) G > 10 triệu VND.

(ii) G ≤ 500 triệu VND.

(iii) G + T ≤ 1,5 tỷ VND.

Giao dịch thỏa mãn một trong các trường hợp sau:

1. Trường hợp 1: Giao dịch thỏa mãn các điều kiện:

(i) G ≤ 10 triệu VND.

(ii) G + T_ksth > 20 triệu VND.

(iii) G + T > 1,5 tỷ VND.

2. Trường hợp 2: Giao dịch thỏa mãn các điều kiện:

(i) G > 10 triệu VND.

(ii) G ≤ 500 triệu VND.

(iii) G + T > 1,5 tỷ VND.

3. Trường hợp 3: Giao dịch thỏa mãn điều kiện:

G > 500 triệu VND.

4

Nhóm I.4:

Chuyển tiền liên ngân hàng ra nước ngoài*.

Giao dịch thỏa mãn các điều kiện:

(i) G ≤ 200 triệu VND.

(ii) G + T ≤ 1 tỷ VND.

Giao dịch thỏa mãn một trong các trường hợp sau:

1. Trường hợp 1: Giao dịch thỏa mãn các điều kiện:

(i) G ≤ 200 triệu VND.

(ii) G + T > 1 tỷ VND.

2. Trường hợp 2: Giao dịch thỏa mãn điều kiện:

G > 200 triệu VND.

II

Khách hàng tổ chức

1

Nhóm II.1:

Các giao dịch tra cứu thông tin.

Tất cả các giao dịch.

2

Nhóm II.2:

Chuyển tiền trong cùng ngân hàng, cùng chủ tài khoản.

Tất cả các giao dịch.

3

Nhóm II.3:

- Chuyển tiền trong cùng ngân hàng, khác chủ tài khoản.

- Chuyển tiền liên ngân hàng trong nước.

- Các giao dịch thanh toán hàng hóa, dịch vụ hợp pháp được tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán cung cấp hoặc tại các đơn vị chấp nhận thanh toán do các tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán chịu trách nhiệm lựa chọn, thẩm định, giám sát và quản lý.

- Chuyển tiền giữa các ví điện tử.

- Nạp tiền vào Ví điện tử.

- Rút tiền từ Ví điện tử.

Giao dịch thỏa mãn các điều kiện:

(i) G ≤ 1 tỷ VND.

(ii) G + T ≤ 10 tỷ VND.

Giao dịch thỏa mãn một trong các trường hợp sau:

1. Trường hợp 1: Giao dịch thỏa mãn các điều kiện:

(i) G ≤ 1 tỷ VND.

(ii) G + T > 10 tỷ VND.

2. Trường hợp 2: Giao dịch thỏa mãn điều kiện:

G > 1 tỷ VND.

4

Nhóm II.4:

Chuyển tiền liên ngân hàng ra nước ngoài*

Giao dịch thỏa mãn các điều kiện:

(i) G ≤ 500 triệu VND.

(ii) G + T ≤ 5 tỷ VND.

Giao dịch thỏa mãn một trong các trường hợp sau:

1. Trường hợp 1: Giao dịch thỏa mãn các điều kiện:

(i) G ≤ 500 triệu VND.

(ii) G + T > 5 tỷ VND.

2. Trường hợp 2: Giao dịch thỏa mãn điều kiện:

G > 500 triệu VND.

STT

Biện pháp

Chi tiết về biện pháp

1

OTP gửi qua phương thức SMS hoặc Voice hoặc Email.

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống Internet Banking / Mobile Banking sẽ gửi mã OTP qua tin nhắn SMS (SMS OTP) hoặc qua cuộc gọi thoại (Voice OTP) hoặc qua thư điện tử (Email OTP) khách hàng đã đăng ký trước.

Khách hàng nhập mã OTP trên giao diện thanh toán trực tuyến để hoàn thành giao dịch để thanh toán.

2

Thẻ ma trận OTP

Thẻ ma trận là một bảng 2 chiều (dòng, cột), tương ứng với mỗi dòng, cột là một mã OTP.

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống Internet Banking / Mobile Banking sẽ thông báo số dòng, cột trên thẻ ma trận để khách hàng nhập mã OTP tương ứng hoàn thành giao dịch thanh toán.

3

Soft OTP loại cơ bản

Phần mềm tạo mã OTP (Soft OTP) thường được cài đặt trên thiết bị cầm tay thông minh đã đăng ký với tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán. Đối với loại cơ bản, mã OTP được sinh ngẫu nhiên theo thời gian, đồng bộ với hệ thống thanh toán trực tuyến tại tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán.

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống Internet Banking / Mobile Banking yêu cầu khách hàng nhập mã OTP được sinh bởi Soft OTP.

Khách hàng hoặc phần mềm tự động nhập mã OTP trên giao diện thanh toán trực tuyến và khách hàng thực hiện xác nhận để hoàn thành giao dịch thanh toán.

4

Soft OTP loại nâng cao

Soft OTP loại nâng cao thường được cài đặt trên thiết bị cầm tay thông minh đã đăng ký với tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán. Đối với loại nâng cao, mã OTP được tạo kết hợp với mã của từng giao dịch (transaction signing).

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống Internet Banking / Mobile Banking tạo ra một mã giao dịch thông báo cho khách hàng.

Khách hàng hoặc phần mềm tự động nhập mã giao dịch vào Soft OTP để phần mềm tạo ra mã OTP.

Sau đó khách hàng hoặc phần mềm tự động nhập mã OTP trên giao diện thanh toán trực tuyến và khách hàng thực hiện xác nhận để hoàn thành giao dịch thanh toán.

5

Token OTP loại cơ bản

Token OTP là thiết bị tạo mã OTP. Đối với loại cơ bản, mã OTP được sinh ngẫu nhiên theo thời gian, đồng bộ với hệ thống thanh toán trực tuyến tại tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán.

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống Internet Banking / Mobile Banking yêu cầu khách hàng nhập mã OTP được sinh bởi Token OTP để hoàn thành giao dịch thanh toán.

6

Token OTP loại nâng cao

Token OTP loại nâng cao là thiết bị tạo mã OTP. Trong đó mã OTP được tạo kết hợp với mã của từng giao dịch (transaction signing).

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống Internet Banking / Mobile Banking tạo ra một mã giao dịch thông báo cho khách hàng.

Khách hàng nhập mã giao dịch vào Token OTP để thiết bị tạo ra mã OTP.

Sau đó khách hàng nhập mã OTP trên giao diện thanh toán trực tuyến để hoàn thành giao dịch thanh toán.

7

Xác thực hai kênh

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống Internet Banking / Mobile Banking gửi thông tin yêu cầu xác thực giao dịch đến thiết bị di động của khách hàng qua kênh thoại hoặc qua mã USSD hoặc qua phần mềm chuyên dụng.

Khách hàng phản hồi trực tiếp qua kênh đã kết nối để xác nhận hoặc không xác nhận thực hiện giao dịch.

8

Sinh trắc học

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống Internet Banking / Mobile Banking yêu cầu khách hàng trình diện dấu hiệu nhận dạng sinh trắc học của khách hàng khó có khả năng làm giả để xác thực giao dịch (như khuôn mặt, tĩnh mạch ngón tay hoặc bàn tay, vân tay, mống mắt, giọng nói).

9

FIDO

Tiêu chuẩn xác thực do Liên minh Xác thực trực tuyến thế giới FIDO Alliance ban hành (tham khảo tại Fidoalliance.org).

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống Internet Banking / Mobile Banking yêu cầu khách hàng sử dụng thiết bị U2F/UAF (giao tiếp qua cổng USB hoặc không dây (Bluetooth, NFC)) hoặc phần mềm xác thực tích hợp với điện thoại thông minh hoặc trình duyệt đáp ứng tiêu chuẩn FIDO2, Sau khi xác thực sử dụng thiết bị bằng mã truy cập hoặc dấu hiệu sinh trắc học, thiết bị U2F/UAF hoặc phần mềm xác thực sẽ tự động giao tiếp với trình duyệt và máy chủ xác thực để xác thực địa chỉ website Internet Banking và giao dịch.

10

Chữ ký điện tử an toàn

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống Internet Banking / Mobile Banking yêu cầu khách hàng sử dụng chữ ký điện tử an toàn đã đăng ký sử dụng với tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán.

Chữ ký điện tử an toàn bao gồm Chữ ký điện tử chuyên dùng bảo đảm an toàn hoặc chữ ký số hoặc chữ ký điện tử nước ngoài được công nhận theo quy định của pháp luật.