eKYC là gì? Quy trình, quy định 2026 và rủi ro cần biết

Mục lục

1. eKYC là gì?
2. KYC và eKYC khác nhau thế nào?
3. eKYC, định danh điện tử và VNeID có phải là một?
4. Quy trình eKYC hoạt động như thế nào?
5. Quy định pháp luật Việt Nam về eKYC đang hiệu lực năm 2026
6. eKYC được ứng dụng ở đâu?
7. Lợi ích và giới hạn của eKYC
8. eKYC có những rủi ro gì?
9. Doanh nghiệp nên chọn giải pháp eKYC theo tiêu chí nào?
10. Làm eKYC thế nào cho nhanh và an toàn?
11. Câu hỏi thường gặp

eKYC là gì?

eKYC là viết tắt của electronic Know Your Customer, dịch sát là “nhận biết khách hàng điện tử”. Trong tiếng Việt, bạn sẽ gặp nhiều tên gọi: định danh khách hàng điện tử, xác thực khách hàng điện tử, định danh trực tuyến. Tất cả cùng chỉ một việc: tổ chức xác minh bạn là ai mà không cần gặp trực tiếp.

Ví dụ quen thuộc: bạn tải ứng dụng ngân hàng, chụp hai mặt thẻ căn cước, áp thẻ vào lưng điện thoại, rồi quay mặt theo hướng dẫn. Vài phút sau tài khoản được mở. Toàn bộ chuỗi thao tác đó là eKYC.

Về bản chất, một hệ thống eKYC phải trả lời ba câu hỏi:

1. Giấy tờ có thật không? Thẻ không bị làm giả, ảnh thẻ không bị chỉnh sửa.
2. Người trước camera có phải người thật, đang có mặt không? Không phải ảnh in, video phát lại, mặt nạ hay video tổng hợp bằng AI.
3. Người đó có đúng là chủ giấy tờ không? Khuôn mặt khớp với ảnh lưu trong giấy tờ hoặc trong cơ sở dữ liệu tin cậy.

Chỉ khi cả ba câu trả lời đều “có”, tổ chức mới có cơ sở tin rằng bạn là chính bạn. Nhiều hệ thống đời đầu chỉ làm tốt câu hỏi thứ ba, nên dễ bị qua mặt bằng ảnh hoặc video giả.

KYC và eKYC khác nhau thế nào?

KYC (Know Your Customer) là nghĩa vụ nhận biết khách hàng của tổ chức tài chính. Tại Việt Nam, nghĩa vụ này nằm trong Luật Phòng, chống rửa tiền số 14/2022/QH15 (ban hành 15/11/2022, hiệu lực 01/03/2023). Điều 9 của luật định nghĩa nhận biết khách hàng gồm thu thập, cập nhật và xác minh thông tin khách hàng. Tổ chức tài chính phải làm việc này khi khách hàng lần đầu mở tài khoản hoặc thiết lập quan hệ, khi có giao dịch không thường xuyên theo quy định, khi nghi ngờ liên quan rửa tiền hoặc khi nghi ngờ thông tin đã thu thập không chính xác.

eKYC không thay nghĩa vụ KYC. Nó chỉ là cách thực hiện bước xác minh danh tính bằng phương tiện điện tử. Các bước khác của KYC như phân loại rủi ro khách hàng, cập nhật thông tin, giám sát giao dịch vẫn phải làm.

Tiêu chí	KYC truyền thống	eKYC
Nơi thực hiện	Tại quầy, khách mang giấy tờ gốc	Từ xa, qua ứng dụng hoặc website
Ai kiểm tra giấy tờ	Nhân viên nhìn và so bằng mắt	Phần mềm đọc giấy tờ, đọc chip, kiểm tra dấu hiệu giả
Ai so khuôn mặt	Nhân viên so mặt khách với ảnh thẻ	Mô hình so khớp khuôn mặt, kèm kiểm tra người thật
Thời gian	Phụ thuộc giờ làm việc, hàng chờ	Vài phút, gần như mọi lúc
Bằng chứng lưu lại	Bản sao giấy tờ, chữ ký trên giấy	Ảnh, video, kết quả đối chiếu, nhật ký hệ thống
Rủi ro đặc trưng	Nhân viên nhìn sót giấy tờ giả	Ảnh, video giả, deepfake, tấn công chèn luồng, lộ dữ liệu sinh trắc
Chi phí trên mỗi khách	Chủ yếu là nhân sự, mặt bằng	Chủ yếu là phí giải pháp, hạ tầng, người duyệt ca khó

Vì vậy, khi ai đó hỏi eKYC là gì so với KYC, câu trả lời ngắn gọn là: cùng mục tiêu nhận biết khách hàng, khác phương tiện thực hiện. Hai cách không loại trừ nhau. Nhiều tổ chức dùng mô hình kết hợp: eKYC cho phần lớn khách hàng, chuyển về quầy hoặc gọi video với nhân viên khi hệ thống không chắc chắn.

eKYC, định danh điện tử và VNeID có phải là một?

Ba khái niệm này hay bị dùng lẫn. Chúng liên quan nhưng không giống nhau.

• Định danh điện tử là thuật ngữ pháp lý. Theo khoản 3 Điều 3 Nghị định 69/2024/NĐ-CP (ngày 25/06/2024, hiệu lực 01/07/2024), định danh điện tử là hoạt động đăng ký, đối soát, tạo lập và gắn danh tính điện tử với chủ thể danh tính điện tử. Việc này do cơ quan quản lý định danh và xác thực điện tử thuộc Bộ Công an thực hiện.
• Tài khoản định danh điện tử là tài khoản do hệ thống định danh quốc gia cấp, dùng qua ứng dụng VNeID. Nghị định 69/2024 chia tài khoản của công dân thành mức độ 01 và mức độ 02.
• eKYC là quy trình của từng doanh nghiệp (ngân hàng, ví điện tử, nhà mạng…) để nhận biết khách hàng của mình. Doanh nghiệp có thể dùng chip thẻ căn cước hoặc tài khoản định danh điện tử làm nguồn đối chiếu.

Định danh điện tử mức 1 và mức 2 khác nhau ra sao?

Theo Điều 10 Nghị định 69/2024/NĐ-CP, tài khoản mức độ 01 được đăng ký trên ứng dụng VNeID: công dân nhập số định danh cá nhân, số điện thoại chính chủ và thu nhận ảnh khuôn mặt qua thiết bị. Tài khoản mức độ 02 được cấp khi công dân đến Công an cấp xã hoặc cơ quan quản lý căn cước, xuất trình thẻ; cán bộ xác thực ảnh khuôn mặt và vân tay của công dân với Cơ sở dữ liệu căn cước.

Vì được xác thực trực tiếp, tài khoản mức 2 có giá trị cao hơn. Theo Điều 9 của nghị định, tài khoản mức 2 của công dân dùng được căn cước điện tử, thông tin tích hợp và toàn bộ tiện ích của hệ thống; thông tin danh tính điện tử và thông tin tích hợp có giá trị chứng minh tương đương xuất trình giấy tờ khi làm thủ tục và giao dịch. Cũng Điều 9 (khoản 7) nêu rõ: cơ quan, tổ chức tự tạo lập tài khoản giao dịch điện tử cho khách hàng phải chịu trách nhiệm xác thực, bảo đảm tính chính xác của tài khoản do mình tạo lập. Nói cách khác, chất lượng eKYC là trách nhiệm của doanh nghiệp. Nghị định 320/2026/NĐ-CP sửa đổi Nghị định 69/2024, có hiệu lực từ 28/09/2026, mở rộng đối tượng người nước ngoài được cấp tài khoản và cho phép dùng giấy tờ đã tích hợp trên ứng dụng thay bản gốc hoặc bản sao trong nhiều thủ tục.

Quy mô hiện nay đủ lớn để làm nguồn đối chiếu: tại họp báo ngày 02/07/2026, Bộ Công an cho biết hệ sinh thái VNeID có hơn 102,1 triệu hồ sơ định danh và 71,5 triệu tài khoản đã kích hoạt. Bức tranh rộng hơn về VNeID và nền tảng dữ liệu dân cư có trong bài chính phủ số và hạ tầng định danh quốc gia.

Quy trình eKYC hoạt động như thế nào?

Hiểu eKYC là gì mới là một nửa; nửa còn lại là biết nó chạy ra sao để đánh giá một hệ thống tốt hay yếu. Mỗi nhà cung cấp có giao diện khác nhau, nhưng một quy trình eKYC đầy đủ tại Việt Nam thường gồm 5 bước kỹ thuật và một bước ra quyết định.

Bước 1: Chụp giấy tờ và đọc bằng OCR

Ứng dụng hướng dẫn bạn chụp mặt trước và mặt sau thẻ. Phần mềm tự phát hiện khung thẻ, kiểm tra ảnh có bị loá, mờ, mất góc không. Sau đó công nghệ nhận dạng ký tự quang học đọc các trường như họ tên, số định danh cá nhân, ngày sinh để điền sẵn vào biểu mẫu. Cách OCR đọc chữ và vì sao tiếng Việt khó hơn được giải thích trong bài OCR là gì.

Song song, hệ thống kiểm tra dấu hiệu giả của chính tấm ảnh giấy tờ: ảnh chụp lại từ màn hình (vân moiré, viền màn hình), bản photo đen trắng, ảnh chân dung bị dán đè, font chữ hoặc bố cục lệch mẫu. Lưu ý quan trọng: OCR chỉ hỗ trợ nhập liệu. Dữ liệu đọc từ ảnh chụp không đủ để xác minh danh tính, vì ảnh có thể bị sửa.

Bước 2: Đọc chip thẻ căn cước qua NFC

Thẻ căn cước gắn chip có bộ phận lưu trữ thông tin được mã hoá. Theo khoản 3 Điều 18 Luật Căn cước số 26/2023/QH15 (ban hành 27/11/2023, hiệu lực 01/07/2024), bộ phận này lưu ảnh khuôn mặt, vân tay, mống mắt của công dân cùng các thông tin nhân thân theo luật định.

Điện thoại có NFC (Near Field Communication, giao tiếp trường gần) đọc được chip khi bạn áp thẻ vào. Về nguyên lý, giống như hộ chiếu điện tử, ứng dụng thường phải dùng thông tin in trên thẻ để mở kênh đọc chip, sau đó kiểm tra chữ ký số của cơ quan cấp trên dữ liệu chip. Nếu dữ liệu bị sửa hoặc chip là giả, chữ ký sẽ không hợp lệ. Đây là lý do đọc chip đáng tin hơn nhiều so với OCR ảnh chụp.

Ảnh khuôn mặt trong chip trở thành “ảnh gốc” để so khớp ở bước 4, thay cho ảnh in trên mặt thẻ vốn nhỏ và dễ bị thay.

Bước 3: Kiểm tra người thật (liveness) và chống giả mạo (PAD)

Kiểm tra người thật (liveness detection) xác định khuôn mặt trước camera là của người sống, đang có mặt. Có hai kiểu phổ biến:

• Chủ động (active): yêu cầu bạn quay đầu, chớp mắt, mỉm cười hoặc đọc số. Dễ hiểu với người dùng nhưng làm quy trình dài hơn.
• Thụ động (passive): chỉ cần nhìn vào camera vài giây; mô hình phân tích kết cấu da, độ sâu, phản sáng, chuyển động nhỏ. Nhanh hơn nhưng phụ thuộc chất lượng mô hình.

Phát hiện tấn công trình diện (PAD, Presentation Attack Detection) là tên kỹ thuật của khả năng nhận ra ảnh in, ảnh trên màn hình, video phát lại, mặt nạ. Bộ tiêu chuẩn quốc tế liên quan là ISO/IEC 30107; phần 3 (bản 2023) quy định nguyên tắc, phương pháp kiểm thử và báo cáo hiệu năng của cơ chế PAD.

Một điểm ít bài viết nhắc: theo phạm vi công bố của ISO/IEC 30107-3, tiêu chuẩn này chỉ xét các tấn công xảy ra tại thiết bị thu nhận, tức thứ được đưa ra trước camera. Tấn công chèn luồng (injection attack), khi kẻ gian bơm video giả thẳng vào ứng dụng qua camera ảo hoặc trình giả lập, nằm ngoài phạm vi đó. Vì vậy, giải pháp có chứng nhận PAD vẫn cần thêm lớp kiểm tra toàn vẹn ứng dụng và thiết bị.

Bước 4: So khớp khuôn mặt (face matching 1:1)

Hệ thống trích đặc trưng khuôn mặt từ video vừa quay và từ ảnh trong chip, rồi tính điểm tương đồng. Đây là bài toán so khớp 1:1 (một với một, xác minh “có phải người này không”), khác với nhận diện 1:N (tìm một người trong cả kho ảnh). Công nghệ nền tảng là thị giác máy tính và học sâu; bạn có thể đọc thêm về thị giác máy tính (computer vision).

Điểm tương đồng được so với một ngưỡng. Ngưỡng cao thì khó bị mạo danh nhưng người thật dễ bị từ chối nhầm; ngưỡng thấp thì ngược lại. Không có ngưỡng “đúng” cho mọi nơi; tổ chức phải chọn theo khẩu vị rủi ro và đo trên dữ liệu thật của mình.

Thuật toán cũng có thể chênh lệch theo nhóm người. Nghiên cứu của Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) công bố tháng 12/2019, đánh giá 189 thuật toán của 99 nhà phát triển trên 18,27 triệu ảnh, ghi nhận với bài toán so khớp 1:1, tỷ lệ chấp nhận nhầm đối với khuôn mặt người châu Á và người Mỹ gốc Phi cao hơn người da trắng từ 10 đến 100 lần tuỳ thuật toán. Đáng chú ý, nhiều thuật toán phát triển tại châu Á không có chênh lệch lớn này giữa mặt người châu Á và người da trắng. Bài học: hãy kiểm thử trên tập khuôn mặt người Việt.

Bước 5: Đối chiếu nguồn tin cậy và chấm điểm rủi ro

Ngoài chip, hệ thống có thể đối chiếu qua tài khoản định danh điện tử, kiểm tra thiết bị (máy đã root, jailbreak, đang chạy giả lập không), số điện thoại, địa chỉ IP, danh sách cảnh báo nội bộ và hành vi bất thường như một thiết bị mở nhiều tài khoản. Kết quả các bước được gộp thành điểm rủi ro.

Cuối cùng là quyết định: duyệt tự động, chuyển cho nhân viên xem lại, hoặc từ chối và yêu cầu làm lại. Mọi bằng chứng (ảnh, video, kết quả đối chiếu) cần được lưu lại. Với tài khoản thanh toán, Điều 16 Thông tư 17/2024/TT-NHNN yêu cầu lưu đầy đủ thông tin nhận biết khách hàng, yếu tố sinh trắc học và các dữ liệu âm thanh, hình ảnh, video, ghi âm của quá trình mở tài khoản.

Quy định pháp luật Việt Nam về eKYC đang hiệu lực năm 2026

Việt Nam không có một văn bản riêng tên “eKYC”. Quy định nằm rải ở nhiều văn bản theo ngành. Bảng dưới tổng hợp các văn bản chính đang áp dụng tính đến tháng 10/2026.

Văn bản	Hiệu lực	Nội dung liên quan eKYC
Luật Phòng, chống rửa tiền 14/2022/QH15	01/03/2023	Nghĩa vụ nhận biết khách hàng (Điều 9)
Luật Căn cước 26/2023/QH15	01/07/2024	Chip thẻ căn cước lưu ảnh khuôn mặt, vân tay, mống mắt (khoản 3 Điều 18)
Nghị định 69/2024/NĐ-CP, sửa đổi bởi Nghị định 320/2026/NĐ-CP	01/07/2024; sửa đổi từ 28/09/2026	Định danh và xác thực điện tử, tài khoản định danh mức 1, mức 2
Quyết định 2345/QĐ-NHNN ngày 18/12/2023	Áp dụng từ 01/07/2024	Xác thực sinh trắc học khi chuyển tiền, nạp ví vượt ngưỡng, khi dùng thiết bị mới
Thông tư 17/2024/TT-NHNN ngày 28/06/2024	01/07/2024; các điều về mở tài khoản từ 01/10/2024	Mở tài khoản thanh toán bằng phương thức điện tử, đối chiếu sinh trắc với chip hoặc VNeID
Thông tư 50/2024/TT-NHNN, sửa đổi bởi Thông tư 77/2025/TT-NHNN	01/01/2025; sửa đổi từ 01/03/2026	An toàn ứng dụng ngân hàng, chống giả mạo sinh trắc học đạt ISO 30107 cấp độ 2
Thông tư 08/2026/TT-BKHCN	15/04/2026; quy định đổi thiết bị từ 15/06/2026	Xác thực thông tin thuê bao di động bằng sinh trắc học khuôn mặt
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP	01/01/2026	Dữ liệu sinh trắc học là dữ liệu nhạy cảm, nghĩa vụ bảo vệ riêng

Mở tài khoản thanh toán trực tuyến: Thông tư 17/2024/TT-NHNN

Mở tài khoản ngân hàng bằng eKYC đã có cơ sở pháp lý từ Thông tư 16/2020/TT-NHNN (ngày 04/12/2020, hiệu lực 05/03/2021). Khi đó, tổng giao dịch ghi Nợ qua tài khoản mở điện tử bị giới hạn 100 triệu đồng mỗi tháng, trừ khi ngân hàng áp dụng thêm biện pháp như gọi video hoặc kiểm tra sinh trắc học. Văn bản hiện hành là Thông tư 17/2024/TT-NHNN ngày 28/06/2024, thay thế Thông tư 23/2014/TT-NHNN cùng các thông tư sửa đổi. Thông tư có hiệu lực từ 01/07/2024, riêng nhóm điều về mở tài khoản, gồm Điều 16 về mở bằng phương thức điện tử, áp dụng từ 01/10/2024. Các điểm chính:

• Đối chiếu sinh trắc học bắt buộc: ngân hàng phải đối chiếu thông tin sinh trắc học của chủ tài khoản với dữ liệu trong bộ phận lưu trữ được mã hoá của thẻ căn cước, hoặc thông qua tài khoản định danh điện tử tạo lập bởi hệ thống định danh và xác thực điện tử. Với tài khoản của tổ chức, việc đối chiếu áp dụng cho người đại diện hợp pháp.
• Không được mở bằng phương thức điện tử: tài khoản thanh toán chung, tài khoản thanh toán bằng ngoại tệ và tài khoản của khách hàng cá nhân từ đủ 15 tuổi đến chưa đủ 18 tuổi.
• Quản lý rủi ro: ngân hàng phải có tiêu chí nhận diện tài khoản có dấu hiệu nghi ngờ gian lận, lừa đảo, vi phạm pháp luật, và lưu đầy đủ bằng chứng của quá trình mở tài khoản.
• Giao dịch trực tuyến: từ 01/01/2025, giao dịch rút tiền, thanh toán trực tuyến từ tài khoản cá nhân chỉ được thực hiện khi giấy tờ và sinh trắc học của chủ tài khoản đã được đối chiếu với chip thẻ căn cước hoặc tài khoản định danh điện tử. Mốc với tài khoản tổ chức là 01/07/2025.

Hệ quả thực tế: eKYC ngân hàng hiện nay gần như luôn có bước đọc chip NFC hoặc liên kết VNeID. Ảnh chụp thẻ đơn thuần không còn đủ. Theo số liệu Ngân hàng Nhà nước công bố tại sự kiện ngày 18/08/2026, đến 31/07/2026 toàn ngành đã đối chiếu sinh trắc học hơn 167,8 triệu hồ sơ khách hàng cá nhân và hơn 2,78 triệu hồ sơ tổ chức.

Xác thực sinh trắc học khi giao dịch: Quyết định 2345/QĐ-NHNN

Quyết định 2345/QĐ-NHNN ngày 18/12/2023 yêu cầu từ 01/07/2024, khách hàng cá nhân phải xác thực sinh trắc học khuôn mặt hoặc vân tay khi chuyển tiền hay nạp ví điện tử trên 10 triệu đồng mỗi lần, khi tổng giao dịch trong ngày vượt 20 triệu đồng, và khi đăng nhập ứng dụng lần đầu hoặc trên thiết bị mới. Dữ liệu dùng để so khớp là dữ liệu từ chip thẻ căn cước, từ tài khoản VNeID, hoặc dữ liệu sinh trắc học đã được ngân hàng thu thập và đối chiếu trước đó. Đây chính là lý do eKYC ban đầu phải lấy được “ảnh gốc” đáng tin.

An toàn ứng dụng và chống giả mạo: Thông tư 77/2025/TT-NHNN

Thông tư 77/2025/TT-NHNN sửa đổi Thông tư 50/2024/TT-NHNN về an toàn bảo mật cho dịch vụ trực tuyến, có hiệu lực từ 01/03/2026. Hai nhóm yêu cầu liên quan trực tiếp đến eKYC:

• Giải pháp phát hiện giả mạo sinh trắc học phải đạt tiêu chuẩn ISO 30107 cấp độ 2 (Level 2) hoặc tương đương, được tổ chức uy tín như Liên minh FIDO công nhận.
• Ứng dụng ngân hàng trên điện thoại phải tự dừng khi phát hiện trình gỡ lỗi, môi trường giả lập hoặc máy ảo, mã bị chèn từ bên ngoài, ứng dụng bị đóng gói lại, hoặc thiết bị đã root, jailbreak, mở khoá bootloader. Đây là lớp chặn chính cho tấn công chèn luồng video.

Viễn thông: Thông tư 08/2026/TT-BKHCN

Thông tư 08/2026/TT-BKHCN của Bộ Khoa học và Công nghệ hướng dẫn xác thực thông tin thuê bao di động mặt đất, có hiệu lực từ 15/04/2026. Nhà mạng phải đối chiếu bốn trường thông tin: số định danh cá nhân, họ chữ đệm và tên, ngày sinh, và sinh trắc học ảnh khuôn mặt, với Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước hoặc dữ liệu trong chip thẻ căn cước. Từ 15/06/2026, khi thuê bao đổi sang điện thoại khác, nhà mạng tạm dừng chiều gọi đi, nhắn tin đi cho tới khi chủ thuê bao xác thực lại khuôn mặt qua VNeID, ứng dụng nhà mạng hoặc tại điểm giao dịch.

Dữ liệu sinh trắc học: Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 thông qua ngày 26/06/2025, có hiệu lực từ 01/01/2026. Điều 31 định nghĩa dữ liệu sinh trắc học là dữ liệu về thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định của một người để xác định người đó. Bên thu thập phải có biện pháp bảo mật vật lý cho thiết bị lưu trữ và truyền tải, hạn chế quyền truy cập, có hệ thống theo dõi để phát hiện xâm phạm, và thông báo cho chủ thể khi việc xử lý gây thiệt hại.

Nghị định 356/2025/NĐ-CP (ngày 31/12/2025, hiệu lực 01/01/2026) xếp dữ liệu sinh trắc học vào danh mục dữ liệu cá nhân nhạy cảm (điểm đ khoản 1 Điều 4). Thông tin đăng nhập, thẻ và lịch sử giao dịch ngân hàng cũng thuộc danh mục này (điểm k). Theo Điều 8 của luật, mức phạt tối đa với hành vi mua bán dữ liệu cá nhân là 10 lần khoản thu có được từ vi phạm; với các vi phạm khác là 3 tỷ đồng đối với tổ chức, cá nhân bằng một nửa.

eKYC được ứng dụng ở đâu?

Ngân hàng

Đây là nơi eKYC phổ biến và bị quản lý chặt nhất: mở tài khoản thanh toán, mở thẻ, cập nhật sinh trắc học cho tài khoản cũ, xác thực lại khi đổi thiết bị. eKYC cũng là đầu vào cho các mô hình chống gian lận và chống rửa tiền. Phần AI dùng trong chấm điểm tín dụng, giám sát giao dịch được phân tích riêng trong bài ứng dụng AI trong ngân hàng.

Ví điện tử, trung gian thanh toán

Ví điện tử dùng eKYC khi người dùng đăng ký và liên kết tài khoản ngân hàng. Giao dịch nạp ví vượt ngưỡng cũng chịu yêu cầu xác thực sinh trắc học theo Quyết định 2345/QĐ-NHNN như đã nêu.

Chứng khoán, bảo hiểm, cho vay tiêu dùng

Công ty chứng khoán dùng eKYC để mở tài khoản giao dịch trực tuyến trong vài phút. Doanh nghiệp bảo hiểm và công ty tài chính dùng eKYC khi phát hành hợp đồng, giải ngân khoản vay nhỏ. Với hồ sơ vay phức tạp, eKYC thường chỉ là bước đầu, sau đó vẫn cần thẩm định thu nhập và hồ sơ khác.

Viễn thông

Nhà mạng xác thực khuôn mặt khi đăng ký SIM, chuẩn hoá thông tin thuê bao và khi khách đổi điện thoại, theo Thông tư 08/2026/TT-BKHCN. Mục tiêu là hạn chế SIM không chính chủ, công cụ quen thuộc của lừa đảo.

Chữ ký số, dịch vụ công, thương mại điện tử

Muốn được cấp chứng thư chữ ký số từ xa, người dùng phải được xác minh danh tính trước; eKYC là bước đó. Cơ chế ký và giá trị pháp lý của chữ ký được giải thích trong bài chữ ký số. Sàn thương mại điện tử, đơn vị vận chuyển, nền tảng tuyển dụng cũng dùng eKYC để xác minh người bán, tài xế, đối tác.

Lợi ích và giới hạn của eKYC

Lợi ích	Giới hạn
Khách hàng mở dịch vụ trong vài phút, không cần đến quầy	Phụ thuộc điện thoại có NFC, camera tốt, kết nối ổn định
Doanh nghiệp tiếp cận khách ở mọi địa bàn	Người cao tuổi, người khuyết tật, người ít dùng công nghệ dễ thất bại nhiều lần
Kiểm tra chip và sinh trắc học khách quan hơn mắt người	Không hệ thống nào chính xác 100%; vẫn có từ chối nhầm và chấp nhận nhầm
Lưu bằng chứng số đầy đủ, dễ kiểm toán	Kho ảnh, video khuôn mặt là mục tiêu tấn công giá trị cao
Giảm tài khoản mạo danh khi làm đúng cách	Không chặn được tài khoản do chính chủ mở rồi cho thuê, bán

eKYC có những rủi ro gì?

Deepfake và video giả mạo

Kẻ gian dùng ảnh, video tổng hợp bằng AI để vượt bước kiểm tra người thật. Một thủ đoạn tại Việt Nam đã được cảnh báo: gọi video mạo danh người quen hoặc cơ quan chức năng, yêu cầu nạn nhân nhìn thẳng, nhìn trái, nhìn lên, nhìn xuống, rồi dùng chính đoạn video đó để mở tài khoản trực tuyến (cảnh báo đăng trên Cổng thông tin điện tử tỉnh Hà Tĩnh ngày 22/08/2024). Cách nhận biết và phòng chống deepfake ở cấp cá nhân và doanh nghiệp có trong bài deepfake là gì và cách phòng tránh.

Tấn công chèn luồng video

Thay vì đưa ảnh ra trước camera, kẻ gian can thiệp vào điện thoại để ứng dụng nhận video giả như thể đến từ camera thật. Kiểu tấn công này vượt qua được PAD thuần tuý. Phòng chống cần kiểm tra toàn vẹn ứng dụng, phát hiện giả lập, root, jailbreak, đúng như Thông tư 77/2025/TT-NHNN yêu cầu với ứng dụng ngân hàng.

Lộ dữ liệu sinh trắc học

Mật khẩu bị lộ thì đổi được. Khuôn mặt, vân tay thì không. Một kho ảnh chân dung kèm ảnh giấy tờ bị lộ có thể bị dùng để làm giấy tờ giả, huấn luyện deepfake hoặc thử vượt eKYC ở nơi khác. Vì vậy doanh nghiệp chỉ nên thu thập đúng phần cần thiết, mã hoá khi lưu và truyền, phân quyền chặt, đặt thời hạn lưu và có quy trình xử lý sự cố. Các nguyên tắc bảo vệ hệ thống tổng thể được tóm lược trong bài an ninh mạng.

Thiên lệch thuật toán và từ chối nhầm

Mô hình huấn luyện chủ yếu trên khuôn mặt nhóm người khác có thể kém chính xác hơn với người Việt, như nghiên cứu NIST 2019 đã cho thấy ở quy mô lớn. Từ chối nhầm làm mất khách; chấp nhận nhầm mở cửa cho mạo danh. Cả hai đều cần đo định kỳ.

Tài khoản thuê, mua và người bị lợi dụng

eKYC chứng minh được người mở tài khoản là chủ giấy tờ. Nó không chứng minh được người đó sẽ tự dùng tài khoản. Tài khoản do chính chủ mở rồi bán, cho thuê cho đường dây lừa đảo là rủi ro mà eKYC một mình không chặn được. Cần giám sát hành vi sau khi mở và xác thực lại khi có dấu hiệu bất thường.

Doanh nghiệp nên chọn giải pháp eKYC theo tiêu chí nào?

Thị trường có nhiều nhà cung cấp trong nước và quốc tế. Thay vì tin con số quảng cáo, hãy đánh giá theo tiêu chí và kiểm thử trên dữ liệu của bạn.

Tiêu chí	Câu hỏi nên đặt cho nhà cung cấp
Chống giả mạo (PAD)	Đã được kiểm thử theo ISO/IEC 30107-3 ở cấp độ nào, phòng thí nghiệm nào, phiên bản sản phẩm nào, còn hiệu lực không?
Chống chèn luồng	Phát hiện camera ảo, giả lập, thiết bị root, jailbreak, ứng dụng bị đóng gói lại ra sao?
Đọc chip	Đọc được thẻ căn cước gắn chip các mẫu đang lưu hành không; có kiểm tra chữ ký số dữ liệu chip không; tỷ lệ đọc thành công trên các dòng điện thoại phổ biến?
Nguồn đối chiếu	Có hỗ trợ đối chiếu qua tài khoản định danh điện tử theo quy định hiện hành không?
Độ chính xác	Tỷ lệ chấp nhận nhầm, từ chối nhầm đo trên tập khuôn mặt người Việt, ở ngưỡng nào; cho phép bạn tự chỉnh ngưỡng không?
Trải nghiệm	Bao nhiêu bước, bao lâu, tỷ lệ hoàn thành; dung lượng SDK; hỗ trợ điện thoại cấu hình thấp, người cao tuổi?
Dữ liệu và tuân thủ	Dữ liệu lưu ở đâu, bao lâu, ai truy cập, có dùng để huấn luyện mô hình không; hỗ trợ bạn đáp ứng Luật 91/2025 và Nghị định 356/2025 thế nào?
Vận hành	Có giao diện cho nhân viên duyệt ca khó, nhật ký kiểm toán, cảnh báo gian lận, cam kết thời gian hoạt động?
Chi phí tổng	Tính phí theo lượt hay theo gói; chi phí khi khách làm lại nhiều lần; chi phí tích hợp, người duyệt?

Lộ trình triển khai gợi ý

1. Xác định yêu cầu pháp lý của ngành bạn (ngân hàng, ví, viễn thông, chứng khoán) và mức rủi ro chấp nhận được.
2. Thiết kế luồng: bước nào bắt buộc, khi nào chuyển người duyệt, khi nào cho làm lại, phương án cho khách không có điện thoại NFC.
3. Thử nghiệm 2 đến 3 giải pháp trên cùng bộ mẫu, gồm cả mẫu tấn công giả lập do đội kiểm thử thực hiện trong môi trường được phép.
4. Đánh giá tác động dữ liệu cá nhân và cập nhật chính sách quyền riêng tư, nội dung xin đồng ý của khách hàng.
5. Chạy thí điểm với một nhóm khách, đo tỷ lệ hoàn thành, tỷ lệ chuyển người duyệt, các ca gian lận phát hiện được.
6. Mở rộng và giám sát liên tục: kỹ thuật tấn công thay đổi nhanh, nên cần cập nhật mô hình, ngưỡng và kiểm thử lại định kỳ.

Làm eKYC thế nào cho nhanh và an toàn?

Nếu bạn là người dùng, vài mẹo giúp eKYC thành công ngay lần đầu và tránh bị lợi dụng:

• Chỉ làm trong ứng dụng chính thức tải từ kho ứng dụng, hoặc tại quầy. Không làm eKYC qua đường link nhận được qua tin nhắn, mạng xã hội.
• Không bao giờ quay mặt theo yêu cầu của người lạ trong cuộc gọi video, kể cả người xưng là công an, nhân viên ngân hàng. Đó có thể là cách lấy video để mở tài khoản đứng tên bạn.
• Bật NFC và áp thẻ vào đúng vị trí ăng-ten (thường ở giữa hoặc phần trên lưng máy), giữ yên vài giây, tháo ốp lưng dày.
• Chụp nơi đủ sáng, nền tương phản, không đeo kính râm, khẩu trang, mũ.
• Không cho mượn, cho thuê, bán tài khoản đã eKYC. Người đứng tên chịu rủi ro pháp lý khi tài khoản bị dùng cho lừa đảo.

Câu hỏi thường gặp

eKYC là viết tắt của từ gì?

eKYC là viết tắt của electronic Know Your Customer, nghĩa là nhận biết khách hàng điện tử. Tiếng Việt thường gọi là định danh điện tử hoặc xác thực khách hàng điện tử.

Thẻ căn cước không có chip có làm eKYC mở tài khoản ngân hàng được không?

Thông tư 17/2024/TT-NHNN yêu cầu đối chiếu sinh trắc học với dữ liệu chip thẻ căn cước hoặc qua tài khoản định danh điện tử. Nếu thẻ không có chip, bạn cần có tài khoản định danh điện tử phù hợp hoặc đến quầy giao dịch. Mỗi ngân hàng hướng dẫn cụ thể trên ứng dụng của mình.

eKYC có an toàn không?

eKYC đúng chuẩn, có đọc chip, kiểm tra người thật và chống chèn luồng, an toàn hơn nhiều so với chỉ so ảnh chụp thẻ. Rủi ro lớn nhất thường nằm ở người dùng bị lừa tự cung cấp video khuôn mặt, hoặc ở doanh nghiệp lưu dữ liệu sinh trắc học không an toàn.

Có bắt buộc phải làm eKYC không?

Không. eKYC là một kênh, bạn vẫn có thể đến quầy để mở tài khoản, đăng ký dịch vụ. Nhưng nếu chọn mở tài khoản thanh toán trực tuyến, ngân hàng phải thực hiện đầy đủ bước đối chiếu sinh trắc học theo Thông tư 17/2024/TT-NHNN. Với tài khoản cá nhân, giao dịch trực tuyến cũng chỉ được thực hiện sau khi sinh trắc học đã được đối chiếu.

Vì sao eKYC của tôi bị thất bại nhiều lần?

Lý do phổ biến: ảnh thẻ loá hoặc mờ, điện thoại không có NFC hoặc áp thẻ sai vị trí, ánh sáng kém, khuôn mặt bị che, hoặc ảnh trong chip chụp đã lâu. Nếu vẫn thất bại, hãy đến quầy để được hỗ trợ thay vì nhờ người khác làm hộ.

Doanh nghiệp có được lưu ảnh khuôn mặt khách hàng sau eKYC không?

Với ngân hàng, Thông tư 17/2024/TT-NHNN còn yêu cầu lưu bằng chứng sinh trắc học của quá trình mở tài khoản. Tuy nhiên dữ liệu sinh trắc học là dữ liệu nhạy cảm, nên việc lưu phải có căn cứ hợp pháp, đúng mục đích, có thời hạn và áp dụng biện pháp bảo vệ theo Điều 31 Luật 91/2025/QH15.

eKYC khác xác thực sinh trắc học khi chuyển tiền thế nào?

eKYC diễn ra khi bạn bắt đầu dùng dịch vụ, để xác định bạn là ai. Xác thực sinh trắc học khi chuyển tiền, theo Quyết định 2345/QĐ-NHNN, diễn ra ở các giao dịch vượt ngưỡng hoặc khi dùng thiết bị mới, để chắc người thao tác vẫn là bạn.