Xác thực mạnh khách hàng SCA là gì?
Yêu cầu xác thực ít nhất hai trong ba yếu tố — điều bạn biết, có và là — để bảo vệ giao dịch điện tử.
Thuật ngữ tiếng Anh: Strong Customer Authentication
Lĩnh vực: Công nghệ & Số hóa
Ba yếu tố xác thực theo chuẩn SCA
Nguyên tắc cốt lõi của SCA là yêu cầu người dùng chứng minh danh tính qua ít nhất 2 trong 3 yếu tố độc lập:
- Yếu tố "biết" (Knowledge): mật khẩu, mã PIN, mật khẩu một lần (OTP) gửi qua SMS/email.
- Yếu tố "có" (Possession): thẻ ngân hàng vật lý, điện thoại đã đăng ký, token phần cứng hoặc ứng dụng sinh mã xác thực (soft token).
- Yếu tố "là" (Inherence): sinh trắc học như vân tay, nhận diện khuôn mặt, quét mống mắt.
Ví dụ thực tế với SME: khi chủ shop online thực hiện chuyển khoản lớn từ tài khoản doanh nghiệp, hệ thống có thể yêu cầu nhập mật khẩu (yếu tố "biết") đồng thời xác nhận OTP trên ứng dụng ngân hàng điện tử đã đăng ký với số điện thoại của doanh nghiệp (yếu tố "có") trước khi giao dịch hoàn tất. Một số ngân hàng còn tích hợp xác thực khuôn mặt tại quầy hoặc trên app, tạo thành chuỗi 3 yếu tố.
SCA trong ngữ cảnh thanh toán số và PSD2
SCA trở nên phổ biến rộng rãi từ khi Chỉ thị Dịch vụ Thanh toán số hóa (PSD2) của Liên minh Châu Âu có hiệu lực, yêu cầu các nhà cung cấp dịch vụ thanh toán áp dụng xác thực mạnh cho phần lớn giao dịch điện tử. Dù PSD2 là khung pháp lý châu Âu, nguyên tắc SCA đã được nhiều ngân hàng và fintech tại Việt Nam tham chiếu khi xây dựng hệ thống bảo mật, đặc biệt sau khi Ngân hàng Nhà nước ban hành các quy định về xác thực sinh trắc học và an toàn giao dịch trực tuyến trong thời gian gần đây.
Một số điểm thường thấy trong áp dụng SCA:
- Giao dịch thẻ không tiếp xúc (contactless) dưới một ngưỡng giá trị nhỏ có thể được miễn SCA nhằy cân bằng giữa bảo mật và trải nghiệm.
- Giao dịch định kỳ, đáng tin cậy (ví dụ: thanh toán hóa đơn SaaS hàng tháng cho doanh nghiệp) có thể được cấu hình SCA một lần cho các lần sau.
- Danh sách trắng (whitelist) cho phép khách hàng đăng ký người nhận đáng tin cậy để giảm bớt bước xác thực, nhưng phải có sự đồng thuận rõ ràng từ chủ tài khoản.
Ý nghĩa đối với doanh nghiệp SME Việt Nam
Với SME đang chuyển đổi số, SCA tác động đến hai mặt rõ rệt:
- Giảm rủi ro gian lận: Giao dịch B2B — đặc biệt là chuyển tiền cho nhà cung cấp, thanh toán lương qua tài khoản, hay rút tiền từ ví điện tử — được bảo vệ tốt hơn khi một mật khẩu bị lộ không đủ để kẻ gian hoàn tất giao dịch.
- Tăng ma sát trong trải nghiệm: Xác thực thêm một bước có thể khiến tỷ lệ giao dịch thất bại (cart abandonment) tăng nhẹ, đặc biệt với khách hàng lớn tuổi hoặc người ít quen công nghệ. Doanh nghiệp nên lựa chọn phương thức xác thực phù hợp với đối tượng khách hàng của mình.
Khi đăng ký dịch vụ ngân hàng số hoặc ví điện tử cho doanh nghiệp, SME nên ưu tiên các giải pháp hỗ trợ nhiều phương thức xác thực (sinh trắc học + soft token + OTP), đồng thời thiết lập quy trình nội bộ để nhân viên được phép thực hiện giao dịch luôn cập nhật thiết bị và số điện thoại đã đăng ký — tránh tình trạng bị khóa giao dịch đột xuất vì thông tin xác thực cũ.
Nội dung mang tính tham khảo về khái niệm, không thay thế tư vấn pháp lý hay hướng dẫn kỹ thuật chính thức từ nhà cung cấp dịch vụ thanh toán.
Câu hỏi thường gặp
SCA có giống với xác thực hai lớp (2FA) không? Không hoàn toàn. 2FA là thuật ngữ chung chỉ việc dùng hai bước xác thực, có thể cùng loại (ví dụ hai mật khẩu). SCA yêu cầu cụ thể hai yếu tố thuộc hai trong ba nhóm khác nhau (biết/có/là), nên có tiêu chuẩn chặt hơn 2FA thông thường.
Giao dịch nào của doanh nghiệp thường phải áp dụng SCA? Thông thường là các giao dịch điện tử có giá trị lớn hoặc nhạy cảm như chuyển khoản doanh nghiệp, thanh toán online, rút tiền từ ví điện tử. Giao dịch nhỏ, định kỳ hoặc đã được đưa vào danh sách người nhận tin cậy có thể được miễn hoặc rút gọn bước xác thực.
Chi phí triển khai SCA cho hệ thống thanh toán của SME có lớn không? Nếu SME dùng dịch vụ ngân hàng số hoặc cổng thanh toán có sẵn, SCA thường đã được tích hợp nên không phát sinh thêm phí rõ ràng. Nếu tự xây dựng hệ thống, chi phí phụ thuộc vào việc tích hợp soft token, sinh trắc học hay SMS OTP — SME nên hỏi trực tiếp nhà cung cấp dịch vụ thanh toán để có con số cụ thể.
Nhân viên làm giao dịch mà không nhận được OTP thì xử lý thế nào? Thường do số điện thoại, thiết bị hoặc ứng dụng xác thực chưa được cập nhật trên hệ thống. Doanh nghiệp nên có quy trình đăng ký/cập nhật thiết bị xác thực định kỳ, và liên hệ ngân hàng hoặc nhà cung cấp dịch vụ để được hỗ trợ mở khóa giao dịch.
Vay vốn kinh doanh
Hiểu rõ thuật ngữ tài chính giúp doanh nghiệp chuẩn bị hồ sơ vay vốn tốt hơn và tăng khả năng được phê duyệt khoản vay. Đăng ký so sánh lãi suất từ nhiều ngân hàng qua BizLoan.