Soft Token là gì?
Phần mềm tạo mã OTP trên thiết bị di động, thay thế thiết bị token vật lý trong xác thực giao dịch.
Thuật ngữ tiếng Anh: Soft Token
Lĩnh vực: Công nghệ & Số hóa
Cách Soft Token hoạt động và các chuẩn xác thực phổ biến
Soft Token về bản chất là một ứng dụng cài trên điện thoại thông minh, có nhiệm vụ tạo mã OTP (One-Time Password) dùng một lần trong một khoảng thời gian rất ngắn — thường từ 30 đến 60 giây — để xác nhận giao dịch. Mã này được sinh ra dựa trên thuật toán đồng bộ giữa ứng dụng trên thiết bị của người dùng và hệ thống của ngân hàng, kết hợp với một khóa bí mật (secret key) được thiết lập khi kích hoạt lần đầu.
Hai cơ chế tạo mã được sử dụng phổ biến nhất hiện nay:
- TOTP (Time-based OTP): Mã thay đổi theo thời gian thực, phụ thuộc vào đồng hồ hệ thống. Đây là chuẩn phổ biến nhất và được hầu hết ngân hàng tại Việt Nam áp dụng.
- HOTP (HMAC-based OTP): Mã sinh ra dựa trên bộ đếm số lần giao dịch, ít phụ thuộc vào thời gian nhưng cần đồng bộ bộ đếm giữa hai phía.
Trước đây, khách hàng doanh nghiệp phải mang theo một thiết bị cầm tay riêng (hard token) để nhấn nút nhận mã. Soft Token thay thế hoàn toàn thiết bị đó — chỉ cần chiếc smartphone đã cài ứng dụng ngân hàng là có thể xác thực giao dịch mọi lúc, mọi nơi. Với doanh nghiệp SME có kế toán hoặc chủ doanh nghiệp thường xuyên phải duyệt thanh toán online từ xa, đây là cải tiến giúp giảm đáng kể thời gian và chi phí vận hành so với việc phát hành nhiều thiết bị vật lý.
Soft Token và các lớp bảo mật trong ngân hàng số
Soft Token thường được tích hợp chung trong ứng dụng ngân hàng di động hoặc phát hành thành một app riêng (ví dụ: Smart OTP của một số ngân hàng). Khi kích hoạt, người dùng phải liên kết ứng dụng với tài khoản thông qua QR Code hoặc mã kích hoạt, đồng thời thiết lập mã PIN sinh trắc học (vân tay, nhận diện khuôn mặt) để mở khóa — tạo thành hai lớp bảo vệ: "cái tôi có" (điện thoại đã đăng ký) và "cái tôi biết/cái tôi là" (PIN hoặc sinh trắc học).
So với SMS OTP (mã gửi qua tin nhắn), Soft Token có ưu thế rõ rệt vì mã được sinh offline ngay trên thiết bị, không phụ thuộc vào sóng di động hay hệ thống SMS — vốn dễ bị lợi qua các hình thức như SIM swap hoặc chặn đường truyền. Ngân hàng Nhà nước cũng từng khuyến nghị các tổ chức tín dụng nâng cấp phương thức xác thực, trong đó Soft Token và sinh trắc học là hai hướng đi được ưu tiên.
Một số rủi ro thực tế doanh nghiệp cần lưu ý:
- Mất hoặc thay đổi điện thoại: Cần liên hệ ngân hàng để hủy Soft Token cũ và kích hoạt lại trên thiết bị mới, nếu không sẽ không thể duyệt giao dịch.
- Nhiễm for IP trên thiết điện thoại: Kẻ gian có thể đánh cắp khóa bí mật hoặc đánh cắp mã PIN, vì thế không nên cài ứng dụng ngân hàng trên điện thoại đã jailbreak/root hoặc tải app từ nguồn không chính thống.
- Lừa đảo social engineering: Kẻ gian giả danh nhân viên ngân hàng yêu cầu cung cấp mã Soft Token — mã này tuyệt đối không được chia sẻ cho bất kỳ ai, kể cả người tự xưng là ngân hàng.
Soft Token trong quy trình tài chính của doanh nghiệp SME
Với doanh nghiệp SME, Soft Token xuất hiện trong nhiều nghiệp vụ thường ngày:
- Duyệt chuyển tiền online: Mỗi lệnh chuyển tiền từ tài khoản doanh nghiệp — đặc biệt các giao dịch vượt ngưỡng yêu cầu xác thực bắt buộc — đều cần nhập mã Soft Token.
- Đăng nhập Internet Banking/ Mobile Banking: Nhiều ngân hàng yêu cầu xác thực hai yếu tố (2FA) khi đăng nhập lần đầu trên thiết bị mới.
- Xác nhận giao dịch trên sàn thương mại điện tử hoặc ví điện tử liên kết ngân hàng.
- Ký số và xác thực hợp đồng điện tử trong một số dịch vụ ngân hàng số hóa.
Đối với chủ doanh nghiệp hoặc kế toán trưởng thường xuyên xử lý thanh toán nhà cung cấp, lương nhân viên, thuế… việc cài Soft Token trên điện thoại giúp giảm tình trạng gián đoạn do quên thiết bị hard token hoặc sự cố mạng. Khi thiết lập quy trình phê duyệt giao dịch nội bộ, doanh nghiệp nên quy định rõ người được phép nhận mã xác thực, cách lưu trữ điện thoại phụ trách duyệt lệnh, và quy trình hủy/kích hoạt lại Soft Token khi nhân sự thay đổi — đây cũng là một tiêu chí nhỏ trong bộ hồ sơ quản trị nội bộ mà lender có thể xem xét khi thẩm định tín dụng doanh nghiệp.
Nội dung mang tính tham khảo, không thay thế tư vấn chuyên môn từ ngân hàng hoặc đơn vị cung cấp dịch vụ.
Câu hỏi thường gặp
Soft Token có an toàn hơn SMS OTP không?
Soft Token tạo mã ngay trên điện thoại nên tránh được một số rủi ro của SMS OTP như chặn tin nhắn hoặc lợi dụng SIM swap. Tuy nhiên, doanh nghiệp vẫn cần bảo vệ thiết bị, không cài ứng dụng lạ và không chia sẻ mã OTP cho bất kỳ ai.
Doanh nghiệp có thể dùng chung một Soft Token cho nhiều người không?
Mỗi người được cấp quyền ký hoặc phê duyệt giao dịch nên đăng ký và quản lý thiết bị xác thực riêng. Việc chia sẻ tài khoản hoặc mã OTP có thể gây rủi ro gian lận và vi phạm chính sách bảo mật của ngân hàng.
Khi đổi điện thoại hoặc nhân sự phụ trách thay đổi, cần làm gì?
Doanh nghiệp nên liên hệ ngân hàng để hủy đăng ký cũ, kích hoạt lại Soft Token trên thiết bị mới và cập nhật danh sách người được ủy quyền. Quy trình này nên được quy định trong chính sách quản trị truy cập nội bộ.
Soft Token có phải chữ ký số hợp pháp không?
Không. Soft Token chủ yếu dùng để xác thực người dùng bằng mã OTP; nó không thay thế chữ ký số dùng cho hợp đồng, hóa đơn hoặc chứng từ điện tử. Việc sử dụng chữ ký số phải tuân thủ quy định hiện hành và yêu cầu của từng tổ chức, dịch vụ.
Vay vốn kinh doanh
Hiểu rõ thuật ngữ tài chính giúp doanh nghiệp chuẩn bị hồ sơ vay vốn tốt hơn và tăng khả năng được phê duyệt khoản vay. Đăng ký so sánh lãi suất từ nhiều ngân hàng qua BizLoan.