Soft OTP là gì?
Ngày 31/10/2024, Ngân hàng Nhà nước ban hành Thông tư 50/2024/TT-NHNN quy định về an toàn, bảo mật cho việc cung cấp dịch vụ trực tuyến trong ngành Ngân hàng. Theo đó, tại Điều 11 Thông tư 50 đã đưa ra các hình thức xác nhận giao dịch điện tử thông qua hệ thống Online Banking, bao gồm:
(i) Hình thức xác nhận bằng mã khóa bí mật (Password)
(ii) Hình thức xác nhận bằng mã PIN (Personal Identification Number)
(iii) Hình thức xác nhận bằng mã khóa bí mật dùng một lần (One Time Password – OTP)
(iv) Hình thức xác nhận hai kênh
(v) Hình thức xác nhận khớp đúng thông tin sinh trắc học
(vi) Hình thức xác nhận FIDO (Fast IDentity Online)
(vii) Hình thức xác nhận bằng chữ ký điện tử
(viii) Hình thức xác nhận bằng chữ ký điện tử an toàn
(ix) Hình thức xác nhận trên cơ sở đánh giá rủi ro đối với giao dịch thanh toán thẻ trực tuyến theo tiêu chuẩn EMV 3-D Secure (EMV 3DS)
(x) Hình thức xác nhận thông qua các thao tác thể hiện sự xác nhận của khách hàng đối với thông điệp dữ liệu khi thực hiện giao dịch
Như vậy, theo điểm đ khoản 3 Điều 11 Thông tư 50/2024/TT-NHNN, Soft OTP là một hình thức xác nhận bằng mã khóa bí mật dùng một lần, giao dịch sẽ được xác nhận thông qua mã OTP được tạo bởi phần mềm cài đặt trên thiết bị di động của khách hàng.
Phần mềm Soft OTP có thể là phần mềm độc lập hoặc được tích hợp với phần mềm ứng dụng Mobile Banking.
Hiện nay, Soft OTP được chia thành 02 loại chính:
-
Soft OTP loại cơ bản: là mã OTP được sinh ngẫu nhiên theo thời gian, đồng bộ với hệ thống Online Banking.
- Soft OTP loại nâng cao: là mã OTP được tạo kết hợp với mã của từng giao dịch, khi thực hiện giao dịch, hệ thống Online Banking tạo ra một mã giao dịch thông báo cho khách hàng hoặc truyền cho phần mềm Soft OTP, khách hàng hoặc phần mềm Soft OTP tự động nhập mã giao dịch vào phần mềm Soft OTP để phần mềm Soft OTP tạo ra mã OTP.
Các yêu cầu bắt buộc của Soft OTP?
Nhằm tăng cường an toàn bảo mật và tăng độ tin cậy của ứng dụng đối với khách hàng, khoản 3 Điều 11 Thông tư 50/2024/TT-NHNN quy định các yêu cầu bắt buộc khi vận hành của Soft OTP như sau:
(i) Phần mềm Soft OTP độc lập với phần mềm ứng dụng Mobile Banking
Trường hợp phần mềm Soft OTP độc lập với phần mềm ứng dụng Mobile Banking thì cần đáp ứng các yêu cầu sau:
– Được đơn vị đăng ký, quản lý tại kho ứng dụng chính thức của hãng cung cấp hệ điều hành cho thiết bị di động và hướng dẫn cài đặt rõ ràng trên trang tin điện tử của đơn vị để khách hàng tải và cài đặt phần mềm Soft OTP.
– Có chức năng kiểm tra khách hàng cá nhân trước khi cho phép khách hàng sử dụng lần đầu hoặc trước khi khách hàng sử dụng trên thiết bị khác với thiết bị sử dụng lần gần nhất. Việc kiểm tra khách hàng tối thiểu bao gồm:
-
Khớp đúng SMS OTP hoặc Voice OTP thông qua số điện thoại đã được khách hàng đăng ký
-
Khớp đúng thông tin sinh trắc học của khách hàng
(ii) Phần mềm Soft OTP phải yêu cầu kích hoạt trước khi sử dụng
Mã kích hoạt sử dụng Soft OTP do đơn vị cung cấp cho khách hàng và chỉ được sử dụng để kích hoạt trên một thiết bị di động. Mã kích hoạt phải được thiết lập thời hạn hiệu lực sử dụng.
(iii) Phần mềm Soft OTP phải có chức năng kiểm soát truy cập
Trường hợp truy cập sai liên tiếp quá số lần do đơn vị quy định (nhưng không quá 10 lần), phần mềm Soft OTP phải tự động khóa không cho khách hàng sử dụng tiếp. Quy định này nhằm cập nhật thông tin về kiểm soát truy cập của phần mềm.
Đơn vị chỉ mở khóa phần mềm Soft OTP khi khách hàng yêu cầu và phải kiểm tra, nhận biết khách hàng trước khi thực hiện mở khóa, bảo đảm chống gian lận, giả mạo.
(iv) Mã OTP có hiệu lực tối đa 02 phút.
(v) Token OTP
Token OTP là hình thức xác nhận thông qua mã OTP tạo bởi thiết bị chuyên dụng.
Token OTP được chia thành 02 loại:
-
Token OTP loại cơ bản: Mã OTP được tạo một cách ngẫu nhiên theo thời gian, đồng bộ với hệ thống Online Banking.
- Token OTP loại nâng cao: Mã OTP được tạo ra kết hợp với mã của từng giao dịch. Khi thực hiện giao dịch, hệ thống Online Banking tạo ra một mã giao dịch thông báo cho khách hàng, khách hàng nhập mã giao dịch vào Token OTP để thiết bị tạo ra mã OTP.
Trên đây là thông tin cơ bản về Soft OTP và các yêu cầu bắt buộc của Soft OTP.
