Lộ mã OTP, mật khẩu ngân hàng: Khi nào được bồi hoàn?

Cơ chế rủi ro khi lộ OTP, mật khẩu ngân hàng

OTP, mật khẩu đăng nhập, mã PIN Smart OTP và các yếu tố xác thực tương tự là công cụ nhận diện chủ thể giao dịch trong môi trường số. Khi các thông tin này bị lộ, kẻ gian có thể đăng nhập, xác thực và thực hiện lệnh chuyển tiền như thể giao dịch do chính chủ tài khoản phát sinh. Vì vậy, thiệt hại tài chính thường không xuất phát từ việc “mất tiền trên hệ thống” theo nghĩa kỹ thuật đơn thuần, mà từ việc thông tin xác thực bị chiếm đoạt và bị dùng sai mục đích.

Trong thực tiễn, tranh chấp thường xoay quanh việc ai là người tạo ra rủi ro ban đầu: khách hàng tự tiết lộ thông tin, bị lừa cung cấp mã xác thực, hay ngân hàng để lộ dữ liệu, để xảy ra lỗi kỹ thuật hoặc xác thực không chặt chẽ. Cách xác định nguyên nhân này có ý nghĩa quyết định đối với câu hỏi bồi hoàn. Không có một quy tắc chung nào buộc ngân hàng hoàn tiền trong mọi trường hợp khách hàng bị lừa cung cấp OTP.

Căn cứ pháp lý hiện hành về dịch vụ thanh toán và trách nhiệm bảo mật

Khung pháp lý nền tảng hiện nay là Thông tư 15/2024/TT-NHNN của Ngân hàng Nhà nước Việt Nam quy định về cung ứng dịch vụ thanh toán không dùng tiền mặt, đã được sửa đổi, bổ sung bởi Thông tư 21/2026/TT-NHNN. Các quy định này đặt trọng tâm vào việc bảo đảm an toàn, bảo mật trong quá trình cung ứng và sử dụng dịch vụ thanh toán, bao gồm nghĩa vụ của đơn vị cung ứng dịch vụ và nghĩa vụ của khách hàng trong việc bảo vệ thông tin xác thực.

Về nguyên tắc trách nhiệm dân sự, khoản 1 Điều 584 Bộ luật Dân sự 2015 xác lập trách nhiệm bồi thường thiệt hại khi có hành vi xâm phạm quyền, lợi ích hợp pháp của người khác. Tuy nhiên, để buộc ngân hàng bồi thường, cần chứng minh ngân hàng có hành vi vi phạm nghĩa vụ pháp lý hoặc có lỗi làm phát sinh thiệt hại. Nếu thiệt hại phát sinh chủ yếu do khách hàng tự làm lộ thông tin xác thực theo cơ chế bảo mật đã được ngân hàng thông báo đầy đủ, yêu cầu bồi hoàn từ ngân hàng sẽ không đương nhiên được chấp nhận.

Ở chiều ngược lại, nếu ngân hàng vi phạm chuẩn an toàn hệ thống, quy trình xác thực, cảnh báo giao dịch bất thường, hoặc xử lý yêu cầu phong tỏa chậm trái quy định, trách nhiệm hoàn trả có cơ sở rõ hơn. Khi đó, việc đánh giá không dừng ở hình thức giao dịch đã được xác thực bằng OTP, mà phải xem xét liệu cơ chế xác thực đó có đáp ứng đúng chuẩn an toàn theo quy định hiện hành hay không.

Khi nào ngân hàng phải bồi hoàn

Ngân hàng có nghĩa vụ xem xét hoàn trả hoặc bồi thường khi giao dịch trái phép gắn với lỗi của hệ thống, lỗi quy trình hoặc lỗi của nhân viên/người đại diện của ngân hàng. Trường hợp phổ biến là tài khoản bị trừ tiền mà khách hàng không cung cấp OTP, không chia sẻ mật khẩu, không thực hiện thao tác xác nhận, nhưng giao dịch vẫn được ghi nhận thành công. Khi đó, ngân hàng phải chứng minh căn cứ hợp lệ của giao dịch và tính an toàn của quy trình xử lý.

Ngân hàng cũng phải xem xét trách nhiệm nếu đã nhận được thông báo kịp thời về rủi ro nhưng không áp dụng biện pháp ngăn chặn cần thiết, chẳng hạn tạm khóa tài khoản, phong tỏa lệnh chuyển tiền nghi ngờ, hoặc hướng dẫn tra soát theo thời hạn nghiệp vụ. Trong các tình huống này, vấn đề không chỉ là giao dịch có “đúng OTP” hay không, mà còn là ngân hàng đã thực hiện đầy đủ nghĩa vụ quản trị rủi ro và hỗ trợ khách hàng hay chưa.

Khi nào khách hàng phải tự chịu rủi ro

Nếu khách hàng tự cung cấp OTP, mật khẩu, mã Smart OTP hoặc thông tin xác thực cho người khác, đặc biệt thông qua các thủ đoạn giả mạo nhân viên ngân hàng, công an, tòa án hoặc đơn vị giao hàng, trách nhiệm chính thường nghiêng về phía khách hàng. Lý do là nghĩa vụ bảo mật thông tin xác thực là nghĩa vụ trực tiếp của người sử dụng dịch vụ, và việc tiết lộ mã xác thực thường tạo ra điều kiện quyết định để giao dịch gian lận diễn ra. Trong trường hợp này, ngân hàng có thể từ chối bồi hoàn nếu chứng minh đã cung cấp đúng cơ chế bảo mật và cảnh báo rủi ro.

Tương tự, nếu khách hàng cài đặt ứng dụng độc hại, truy cập đường link giả mạo, hoặc tự chuyển tiền theo chỉ dẫn của đối tượng lừa đảo, việc đòi ngân hàng hoàn tiền sẽ rất khó thành công. Pháp luật thanh toán hiện hành không thiết lập nguyên tắc “mất tiền là ngân hàng phải trả” trong mọi hoàn cảnh. Trách nhiệm được phân chia theo lỗi và theo quan hệ nhân quả giữa hành vi vi phạm và thiệt hại thực tế.

Thủ tục xử lý khi phát hiện bị mất tiền do lộ OTP

Ngay khi phát hiện giao dịch bất thường, khách hàng phải thông báo ngay cho ngân hàng để yêu cầu khóa tài khoản, phong tỏa dịch vụ hoặc tra soát giao dịch. Cần lưu giữ đầy đủ bằng chứng gồm tin nhắn OTP, lịch sử giao dịch, thời gian phát sinh sự việc, cuộc gọi nghi vấn, nội dung trao đổi với đối tượng lừa đảo và xác nhận nộp đơn trình báo cơ quan công an nếu có. Việc chậm thông báo thường làm giảm khả năng thu hồi tiền vì dòng tiền điện tử có thể đã được rút hoặc chuyển tiếp.

Trong thực tiễn giải quyết khiếu nại, ngân hàng sẽ đối chiếu dấu vết giao dịch, IP, thiết bị đăng nhập, thời điểm xác thực, số điện thoại, và thông tin giao nhận lệnh. Nếu người dùng chứng minh được mình không thực hiện giao dịch và ngân hàng không bảo đảm quy trình an toàn, khả năng được hoàn trả tăng lên. Ngược lại, nếu dữ liệu cho thấy người dùng chủ động nhập hoặc cung cấp mã xác thực, yêu cầu bồi hoàn thường không có cơ sở vững chắc.

Đánh giá pháp lý về câu hỏi có được ngân hàng bồi hoàn không

Câu trả lời pháp lý là không mặc nhiên. Việc có được ngân hàng bồi hoàn hay không phụ thuộc vào nguyên nhân trực tiếp gây mất tiền, lỗi của ngân hàng hay lỗi của khách hàng, cùng các điều khoản dịch vụ mà hai bên đã chấp thuận. Trong đa số vụ việc lộ OTP do bị lừa cung cấp, ngân hàng thường không đương nhiên phải hoàn tiền nếu chứng minh đã cảnh báo rủi ro, còn khách hàng tự tiết lộ thông tin xác thực.

Tuy vậy, quyền yêu cầu tra soát, khiếu nại, đề nghị phong tỏa và yêu cầu xem xét trách nhiệm vẫn luôn tồn tại. Nếu có dấu hiệu ngân hàng bỏ qua cảnh báo giao dịch bất thường, xác thực không đúng quy trình, hoặc để xảy ra lỗi hệ thống, khách hàng có cơ sở pháp lý rõ để yêu cầu hoàn trả và bồi thường thiệt hại theo quy định của pháp luật dân sự và pháp luật về thanh toán không dùng tiền mặt.

Kết luận

Lộ mã OTP, mật khẩu ngân hàng không tự động làm phát sinh quyền được bồi hoàn từ phía ngân hàng. Cơ quan có thẩm quyền, ngân hàng và khách hàng phải xác định chính xác nguồn gốc rủi ro, hành vi vi phạm và mối quan hệ nhân quả trước khi kết luận trách nhiệm. Trong bối cảnh giao dịch số ngày càng phổ biến, việc tuân thủ nghĩa vụ bảo mật của khách hàng và nghĩa vụ an toàn hệ thống của ngân hàng là hai trụ cột quyết định đến kết quả xử lý tranh chấp.

Tài liệu tham khảo

• Bộ luật Dân sự 2015.
• Thông tư 15/2024/TT-NHNN quy định về cung ứng dịch vụ thanh toán không dùng tiền mặt.
• Thông tư 21/2026/TT-NHNN sửa đổi, bổ sung Điều 15 Thông tư 15/2024/TT-NHNN.
• Văn bản hợp nhất về quy định cung ứng dịch vụ thanh toán không dùng tiền mặt do Ngân hàng Nhà nước ban hành năm 2026.
• Các điều khoản, điều kiện dịch vụ Smart OTP và dịch vụ ngân hàng điện tử của từng tổ chức tín dụng.