Các điều khoản nhằm tăng cường an toàn, bảo mật cho việc cung cấp dịch vụ trực tuyến trong bối cảnh tội phạm công nghệ cao đang lợi dụng tài khoản doanh nghiệp “ma” và các công nghệ tinh vi như Deepfake (giả mạo gương mặt người khác bằng AI) hoặc mã độc để lừa đảo, chiếm đoạt tài sản.

Theo đó, ứng dụng Mobile Banking (ứng dụng ngân hàng trên thiết bị di động) sẽ phải tự động thoát hoặc dừng hoạt động và thông báo cho người dùng nếu phát hiện 3 dấu hiệu gian lận, can thiệp trái phép hoặc rủi ro an toàn sau.

Một là, phát hiện có trình gỡ lỗi (debugger) được gắn vào hoặc môi trường có trình gỡ lỗi đang hoạt động, hoặc khi ứng dụng chạy trong môi trường giả lập (emulator)/máy ảo/thiết bị giả lập; hoặc hoạt động ở chế độ cho phép máy tính giao tiếp trực tiếp với thiết bị chạy Android (Android Debug Bridge).

Hai là, app bị chèn mã bên ngoài ứng dụng khi đang chạy, thực hiện các hành vi như theo dõi các hàm được chạy, ghi lại log dữ liệu truyền qua các hàm, API, hoặc ứng dụng bị can thiệp, đóng gói lại.

Ba là, thiết bị đã bị bẻ khóa (root/jailbreak) hoặc đã bị mở khóa cơ chế bảo vệ (unlock bootloader).

Ngoài ra, Thông tư 77 cũng siết chặt việc kiểm soát phiên bản Mobile Banking được phát hành. Theo đó, định kỳ tối thiểu 3 tháng một lần, đơn vị phải đánh giá an toàn, bảo mật của các phiên bản phần mềm ứng dụng đang cho phép khách hàng cài đặt, sử dụng nhằm xác định các lỗ hổng bảo mật và đánh giá khả năng bị can thiệp bởi tội phạm.

Khi kích hoạt trên thiết bị mới hoặc kích hoạt lại ứng dụng Mobile Banking, khách hàng phải cài đặt, sử dụng phiên bản mới nhất hoặc phiên bản gần nhất bảo đảm các yêu cầu về an toàn, bảo mật theo quy định. Đơn vị phải có giải pháp kiểm soát không cho phép hạ phiên bản (downgrading) xuống sử dụng các phiên bản thấp hơn trong trường hợp này.

Khi phát hiện có lỗ hổng bảo mật được đánh giá ở mức cao hoặc nghiêm trọng, đơn vị phải có biện pháp kiểm tra, không cho thực hiện giao dịch hoặc có biện pháp kiểm soát nhằm phòng chống tội phạm lợi dụng lỗ hổng bảo mật để tấn công mạng, thực hiện các giao dịch gian lận, chiếm đoạt tài sản.

Đơn vị phát triển ứng dụng phải thực hiện xử lý, khắc phục, cập nhật ngay phiên bản mới trong vòng 1 ngày đối với thành phần hệ thống kết nối trực tiếp với Internet; trong vòng 1 tháng đối với các thành phần còn lại (nếu là lỗ hổng ở mức độ nghiêm trọng) hoặc trong vòng 2 tháng đối với các thành phần còn lại (nếu lỗ hổng ở mức độ cao).

Bên cạnh đó, quy định không cho phép chức năng ghi nhớ mã khóa bí mật truy cập, trừ trường hợp áp dụng hình thức xác nhận theo quy định tại thông tư.

Về mặt công nghệ xác thực, để đối phó với làn sóng lừa đảo sử dụng trí tuệ nhân tạo (AI), NHNN yêu cầu các giải pháp phát hiện giả mạo sinh trắc học phải đạt chuẩn quốc tế ISO 30107 cấp độ 2 hoặc tương đương.