SCA xác thực mạnh là gì?

SCA xác thực mạnh là gì?

Yêu cầu xác thực hai yếu tố trở lên khi thực hiện giao dịch thanh toán điện tử nhằm nâng cao bảo mật.

Thuật ngữ tiếng Anh: Strong Customer Authentication (SCA)

Lĩnh vực: Công nghệ & Số hóa

Ba yếu tố xác thực theo SCA

SCA yêu cầu người dùng chứng minh danh tính bằng ít nhất hai trong ba yếu tố thuộc các nhóm khác nhau:

• Yếu tố tri thức (Knowledge): thông tin chỉ người dùng biết, ví dụ mật khẩu, mã PIN, câu hỏi bảo mật.
• Yếu tố sở hữu (Possession): thiết bị hoặc vật thể thuộc quyền kiểm soát của người dùng, ví dụ điện thoại nhận OTP, thẻ smart chip, token cứng.
• Yếu tố sinh trắc (Inherence): đặc điểm sinh học của người dùng, ví dụ vân tay, nhận diện khuôn mặt, quét mống mắt.

Điểm mấu chốt là hai yếu tố được dùng phải thuộc hai nhóm khác nhau. Nhập mã PIN rồi nhập tiếp một mật khẩu khác vẫn không đạt chuẩn SCA vì cả hai đều thuộc nhóm tri thức. Một giao dịch điển hình đạt chuẩn là nhập mật khẩu (tri thức) kết hợp OTP gửi về điện thoại (sở hữu), hoặc quét vân tay (sinh trắc) kết hợp nhập PIN (tri thức).

Tác động thực tế đến doanh nghiệp SME

Với doanh nghiệp vừa và nhỏ đang sử dụng cổng thanh toán trực tuyến, ngân hàng số hoặc ví điện tử để thu tiền bán hàng, SCA ảnh hưởng trực tiếp đến ba điểm:

• Tỷ lệ hoàn tất giao dịch (conversion rate): Khi khách hàng phải thực hiện thêm bước xác thực, một tỷ lệ nhỏ giao dịch sẽ bị bỏ dở, đặc biệt với khách hàng mới chưa quen. Doanh nghiệp nên tối ưu luồng thanh toán để bước xác thực diễn ra mượt nhất có thể.
• Giao dịch giá trị thấp và định kỳ: Nhiều nhà cung cấp dịch vụ thanh toán cho phép áp dụng ngoại lệ (exemption) đối với các giao dịch nhỏ, giao dịch định kỳ giữa cùng chủ thẻ và người bán, hoặc khi hệ thống đánh giá mức rủi ro thấp. Doanh nghiệp nên kiểm tra với nhà cung cấp dịch vụ thanh toán để biết giao dịch nào được miễn áp SCA, tránh gây phiền cho khách hàng thân thiết.
• Quản lý truy cập tài khoản doanh nghiệp: Khi nhiều nhân viên cùng thao tác trên một tài khoản ngân hàng doanh nghiệp hoặc ví doanh nghiệp, việc kích hoạt SCA giúp giảm rủi ro lộ mật khẩu dẫn đến chuyển tiền trái phép.

Một số trường hợp ngoại lệ phổ biến

Hệ thống thanh toán có thể bỏ qua yêu cầu SCA trong một số tình huống nhất định, tùy theo chính sách của ngân hàng hoặc cổng thanh toán và khung quy định hiện hành:

• Giao dịch giá trị nhỏ: Các giao dịch dưới ngưỡng quy định có thể được miễn, nhưng nếu khách hàng thực hiện nhiều giao dịch liên tiếp, SCA sẽ được kích hoạt lại.
• Danh sách đáng tin cậy (whitelisting): Khách hàng có thể đăng ký người bán quen thuộc để không phải xác thực lại, nhưng tổng số lượng và giá trị giao dịch được miễn thường bị giới hạn.
• Phân tích rủi ro giao dịch (Transaction Risk Analysis): Nếu hệ thống đánh giá giao dịch có rủi ro thấp dựa trên tần suất, thiết bị, địa điểm, lịch sử, bước xác thực có thể được lược bớt.
• Giao dịch định kỳ: Sau khi được xác thực lần đầu, các khoản thanh toán định kỳ cùng mức cho cùng người bán có thể tiếp tục mà không cần xác thực lại trong một khoảng thời gian nhất định.

Lưu ý cho doanh nghiệp khi triển khai

• Ưu tiên chọn cổng thanh toán và ngân hàng đã hỗ trợ đầy đủ SCA theo chuẩn PSD2 (đối với thị trường châu Âu) hoặc tiêu chuẩn tương đương tại Việt Nam và thị trường mục tiêu, để không bị gián đoạn giao dịch xuyên biên giới.
• Cập nhật phần mềm bán hàng (POS, website, app) để luồng xác thực 3D Secure hoạt động liền mạch, tránh tình trạng trang thanh toán bị trắng hoặc lỗi khi bật SCA.
• Hướng dẫn khách hàng quen thuộc đăng ký whitelist để giữ trải nghiệm mua hàng nhanh, đồng thời giảm tải cho bộ phận chăm sóc khách hàng.

Nội dung mang tính tham khảo về khái niệm và cơ chế SCA, không thay thế tư vấn pháp lý hay tư vấn từ nhà cung cấp dịch vụ thanh toán cụ thể của doanh nghiệp.

Câu hỏi thường gặp

SCA có phải là 3D Secure không?

Không hoàn toàn. 3D Secure (như Visa Secure, Mastercard Identity Check) là một công cụ phổ mềm giúp ngân hàng phát hành thẻ thực hiện xác thực danh tính người mua, còn SCA là yêu cầu về chuẩn xác thực (ít nhất 2 yếu tố thuộc 2 nhóm khác nhau). 3D Secure là một trong những cách phổ biến để đáp ứng SCA, nhưng ngân hàng hoặc cổng thanh toán có thể dùng cơ chế khác.

Khách hàng của tôi thanh toán quốc tế có bắt buộc phải áp SCA không?

Yêu cầu SCA bắt buộc theo PSD2 áp dụng cho giao dịch thẻ tại khu vực châu Âu (EEA). Tại Việt Nam, các ngân hàng và cổng thanh toán thường triển khai SCA theo tiêu chuẩn tương đương hoặc do chính sách nội bộ. Doanh nghiệp nên hỏi trực tiếp nhà cung cấp dịch vụ thanh toán đang dùng để biết giao dịch nào sẽ kích hoạt xác thực thêm.

Nếu khách hàng không nhận được OTP, giao dịch có bị hủy không?

Có thể. Nếu giao dịch nằm trong diện bắt buộc áp SCA mà yếu tố "sở hữu" (OTP, token) hoặc yếu tố "sinh trắc" (vân tay, nhận diện khuôn mặt) không hoạt động, giao dịch sẽ không thể hoàn tất. Doanh nghiệp nên có phương án dự phòng như cho phép xác thực qua app ngân hàng thay vì SMS OTP, hoặc hướng dẫn khách hàng cập nhật số điện thoại trước khi thanh toán.

SCA có làm tăng chi phí cho doanh nghiệp không?

Bản thân SCA không thu phí trực tiếp từ người bán, nhưng khi tỷ lệ giao dịch bị bỏ dở tăng hoặc cần tích hợp thêm module 3D Secure vào website/app, doanh nghiệp có thể phát sinh chi phí tích hợp kỹ thuật hoặc phí cổng thanh toán cao hơn một chút. Mức phí cụ thể phụ thuộc vào nhà cung cấp dịch vụ thanh toán, không phải do BizLoan quy định.

Vay vốn kinh doanh

Hiểu rõ thuật ngữ tài chính giúp doanh nghiệp chuẩn bị hồ sơ vay vốn tốt hơn và tăng khả năng được phê duyệt khoản vay. Đăng ký so sánh lãi suất từ nhiều ngân hàng qua BizLoan.