Câu trả lời ngắn: ngân hàng chịu trách nhiệm khi tiền mất do lỗi của ngân hàng (lỗi hệ thống, nhân viên làm sai, không áp dụng biện pháp xác thực bắt buộc, rò rỉ dữ liệu từ phía ngân hàng); khách hàng tự chịu khi tiền mất do lỗi của khách hàng (tự chuyển tiền cho kẻ lừa, đưa mã OTP, mật khẩu cho người khác, cài ứng dụng độc hại theo hướng dẫn của kẻ gian). Giữa hai đầu đó là vùng tranh chấp, nơi chứng cứ và thời gian bạn báo ngân hàng quyết định nhiều.
Ở Việt Nam, trách nhiệm được xác định theo pháp luật dân sự, quy định của Ngân hàng Nhà nước về an toàn giao dịch và điều khoản dịch vụ, chứ chưa có một cơ chế hoàn tiền chung cho nạn nhân lừa đảo như một số nước đã áp dụng. Bài này giải thích nguyên lý phân chia trách nhiệm, so sánh với vài mô hình quốc tế, và chỉ ra việc bạn cần làm để bảo vệ quyền lợi.
Đây là kiến thức chung, không thay ý kiến luật sư cho vụ việc cụ thể.
Phân loại tình huống mất tiền và hướng trách nhiệm
Bảng dưới là cách nhìn ở mức nguyên lý, dựa trên câu hỏi "ai có lỗi và ai có khả năng ngăn chặn". Kết quả thực tế của từng vụ phụ thuộc vào chứng cứ.
| Tình huống | Ví dụ | Hướng trách nhiệm chính |
|---|---|---|
| Lỗi hệ thống | Trừ tiền hai lần, giao dịch sai số tiền, lỗi cập nhật | Ngân hàng |
| Lỗi nhân viên | Nhân viên chi nhầm, làm thủ tục rút tiền cho người không phải chủ tài khoản | Ngân hàng |
| Rò rỉ dữ liệu phía ngân hàng | Thông tin khách hàng bị lộ từ hệ thống của ngân hàng và bị dùng để giao dịch | Ngân hàng, nếu chứng minh được nguồn rò rỉ |
| Giao dịch trái phép, khách không lộ thông tin | Thẻ bị sao chép, giao dịch ở nơi khách chưa từng đến | Thường nghiêng về ngân hàng, nhất là khi khách báo kịp thời |
| Khách lộ OTP, mật khẩu do bị lừa | Đọc mã OTP cho người giả danh nhân viên ngân hàng | Thường nghiêng về khách hàng; có thể tranh luận nếu ngân hàng thiếu biện pháp cảnh báo, xác thực |
| Khách tự chuyển tiền cho kẻ lừa | Chuyển tiền "đầu tư", "nộp phí nhận quà", chuyển cho người giả danh công an | Khách hàng; ngân hàng hỗ trợ tra soát, phối hợp phong toả nếu kịp |
| Thiết bị bị chiếm quyền do mã độc | Cài ứng dụng lạ theo hướng dẫn qua điện thoại, kẻ gian điều khiển máy | Thường nghiêng về khách hàng; vùng tranh chấp nếu biện pháp chống mã độc của ứng dụng không hoạt động như cam kết |
Nguyên tắc chung xuyên suốt: bên nào có lỗi, hoặc có nghĩa vụ và khả năng ngăn chặn mà không làm, thì chịu thiệt hại tương ứng. Bộ luật Dân sự cũng cho phép chia trách nhiệm khi cả hai bên cùng có lỗi.
Vai trò của xác thực: vì sao Quyết định 2345 quan trọng với tranh chấp
Từ 01/7/2024, Quyết định 2345/QĐ-NHNN yêu cầu các ngân hàng áp dụng xác thực sinh trắc học khuôn mặt, đối chiếu với dữ liệu căn cước gắn chip, cho giao dịch chuyển tiền trực tuyến vượt ngưỡng giá trị quy định và khi đăng nhập ứng dụng trên thiết bị mới. Mục đích là để người thực hiện giao dịch đúng là chủ tài khoản, chặn kịch bản kẻ gian lấy được mật khẩu và OTP rồi chuyển tiền đi từ máy khác.
Với tranh chấp, quy định này có hai mặt. Nếu một giao dịch lớn đi qua mà không có bước xác thực bắt buộc, câu hỏi "ngân hàng đã làm đủ chưa" có cơ sở rõ ràng để đặt ra. Ngược lại, nếu giao dịch có xác thực khuôn mặt hợp lệ của chính bạn, việc chứng minh "không phải mình thực hiện" trở nên rất khó, và các vụ việc thường quay về câu hỏi bạn đã bị dẫn dụ như thế nào.
Kẻ lừa đảo đã thích nghi: thay vì đánh cắp mã, chúng dẫn dụ nạn nhân tự xác thực, hoặc dùng mã độc chiếm quyền trợ năng để thao tác trên chính điện thoại của nạn nhân. Đây là lý do các ứng dụng ngân hàng ngày càng hay chặn khi phát hiện ứng dụng lạ có quyền trợ năng. Sự bất tiện đó là một phần trong việc ngân hàng thực hiện nghĩa vụ bảo vệ; khi bạn tắt cảnh báo để "dùng cho tiện", bạn chuyển rủi ro về phía mình.
Các nước chia trách nhiệm thế nào
Liên minh châu Âu. Theo Chỉ thị dịch vụ thanh toán thứ hai (PSD2), với giao dịch không được người trả tiền cho phép, ngân hàng phải hoàn lại nhanh chóng; người dùng chỉ chịu một mức tối đa nhỏ (50 euro) trừ khi có hành vi gian lận hoặc sơ suất nghiêm trọng. Đây là mô hình mặc định nghiêng về người dùng với giao dịch trái phép.
Vương quốc Anh. Từ ngày 07/10/2024, cơ chế bắt buộc hoàn tiền cho nạn nhân lừa đảo chuyển khoản có chủ ý (khi nạn nhân tự bấm chuyển do bị lừa) có hiệu lực với giao dịch qua hệ thống chuyển tiền nhanh, chi phí chia giữa ngân hàng chuyển và ngân hàng nhận, có mức trần và ngoại lệ khi khách hàng sơ suất nghiêm trọng. Đây là bước đi xa hơn châu Âu vì bao cả giao dịch nạn nhân tự thực hiện.
Singapore. Từ ngày 16/12/2024, Khung chia sẻ trách nhiệm do cơ quan tiền tệ và cơ quan viễn thông nước này xây dựng quy định thiệt hại từ một số loại lừa đảo giả mạo (phishing) được chia giữa nạn nhân, tổ chức tài chính và nhà mạng, theo việc bên nào không thực hiện nghĩa vụ chống lừa đảo của mình, ví dụ ngân hàng phải có thời gian chờ khi đăng nhập thiết bị mới, nhà mạng phải chặn tin nhắn mạo danh.
Bài học chung. Các mô hình này không bảo nạn nhân "không phải chịu gì", mà gắn trách nhiệm với nghĩa vụ phòng ngừa cụ thể của từng bên. Ở Việt Nam, cách tiếp cận vẫn dựa trên lỗi theo từng vụ; theo dõi văn bản mới của Ngân hàng Nhà nước để biết khi có thay đổi.
Khi phát hiện mất tiền: những việc làm trong giờ đầu tiên
Thời gian phản ứng ảnh hưởng cả khả năng thu hồi lẫn việc xác định trách nhiệm.
- Khoá ngay: khoá ngân hàng điện tử, khoá thẻ trong ứng dụng hoặc qua tổng đài in trên thẻ, trang chính thức của ngân hàng. Không gọi số do người lạ cung cấp.
- Gọi tổng đài ngân hàng yêu cầu tra soát và đề nghị ngân hàng phối hợp với ngân hàng nhận để tạm giữ tiền nếu còn. Lấy mã yêu cầu.
- Nếu nghi thiết bị bị nhiễm mã độc, tắt mạng, không dùng thiết bị đó cho giao dịch; nhờ người có chuyên môn kiểm tra.
- Trình báo công an nơi gần nhất, mang theo sao kê, ảnh màn hình, số tài khoản nhận, thông tin liên lạc của kẻ gian.
- Gửi khiếu nại bằng văn bản đến ngân hàng, mô tả chi tiết diễn biến, đính kèm biên nhận trình báo.
- Đổi mật khẩu các tài khoản quan trọng khác (thư điện tử, mạng xã hội, ví) từ một thiết bị sạch.
Đừng tin những dịch vụ quảng cáo "lấy lại tiền bị lừa" thu phí trước. Đây thường là lớp lừa đảo thứ hai nhắm vào chính nạn nhân.
Giảm phần rủi ro thuộc về mình
Vì phần lớn tranh chấp xoay quanh câu hỏi khách hàng có sơ suất hay không, những thói quen sau vừa giảm khả năng mất tiền vừa đặt bạn ở vị thế tốt hơn nếu có sự cố.
- Không đọc mã OTP, không chụp mã cho bất kỳ ai, kể cả người xưng là nhân viên ngân hàng, công an, nhà mạng. Ngân hàng không bao giờ hỏi mã OTP.
- Chỉ cài ứng dụng từ kho ứng dụng chính thức; không cài tệp do người lạ gửi, không cấp quyền trợ năng cho ứng dụng không rõ nguồn gốc.
- Đặt hạn mức chuyển tiền trực tuyến theo nhu cầu thật, tách tài khoản chi tiêu hằng ngày với tài khoản tiết kiệm.
- Bật thông báo mọi giao dịch, kể cả giao dịch nhỏ; đọc thông báo thay vì gạt đi.
- Cập nhật hệ điều hành, khoá màn hình bằng mã mạnh hoặc sinh trắc học; không để điện thoại mở khoá trong tay người lạ.
- Lưu số tổng đài chính thức và biết thao tác khoá khẩn trong ứng dụng trước khi cần dùng.
Không thói quen nào loại bỏ rủi ro hoàn toàn. Nhưng khi tranh chấp, việc bạn đã làm đủ những điều hợp lý là chứng cứ cho thấy bạn không sơ suất, đẩy câu hỏi trách nhiệm về phía các biện pháp của ngân hàng.
Chứng minh lỗi thuộc về ai: bạn cần gì, ngân hàng giữ gì
Trong tranh chấp, mỗi bên giữ những mảnh chứng cứ khác nhau. Bạn có: điện thoại (tin nhắn, cuộc gọi, ứng dụng đã cài), thời điểm bạn phát hiện và báo ngân hàng, lời khai về diễn biến. Ngân hàng có: nhật ký đăng nhập, thiết bị, địa chỉ mạng, các bước xác thực đã thực hiện, cảnh báo đã gửi, thời gian xử lý yêu cầu khoá.
Bạn có quyền yêu cầu ngân hàng giải thích bằng văn bản giao dịch đã được xác thực như thế nào. Câu trả lời cho biết điểm yếu nằm ở đâu: nếu giao dịch được thực hiện từ một thiết bị mới mà không có xác thực sinh trắc theo quy định, đó là điểm có lợi cho bạn; nếu thực hiện từ chính điện thoại của bạn với xác thực của bạn, điểm cần làm rõ là bạn đã bị dẫn dụ ra sao.
Thời điểm báo cũng quan trọng. Các giao dịch xảy ra sau khi bạn đã báo mất thẻ hoặc yêu cầu khoá mà ngân hàng chưa khoá kịp có cơ sở rất mạnh để quy trách nhiệm cho ngân hàng. Vì vậy hãy luôn có bằng chứng thời điểm bạn báo: mã yêu cầu, nhật ký cuộc gọi, thư điện tử.
Câu hỏi thường gặp
Bị lừa tự chuyển tiền đi thì ngân hàng có phải hoàn không?
Theo cách tiếp cận hiện nay ở Việt Nam, khi khách hàng tự thực hiện giao dịch do bị lừa, ngân hàng thường không có nghĩa vụ hoàn, nhưng có trách nhiệm hỗ trợ tra soát, phối hợp tạm giữ tiền ở tài khoản nhận nếu còn và phối hợp với cơ quan công an. Báo càng nhanh, khả năng thu hồi càng cao.
Không làm gì mà vẫn mất tiền thì ai chịu?
Nếu bạn không lộ thông tin, không thực hiện hay xác thực giao dịch, và không có lỗi trong bảo quản thiết bị, thì lập luận rằng ngân hàng phải chịu trách nhiệm rất mạnh. Yêu cầu ngân hàng giải trình bằng văn bản về cách giao dịch được xác thực.
Ngân hàng nhận tiền có trách nhiệm gì khi tài khoản của kẻ lừa mở tại đó?
Ngân hàng phải thực hiện nhận biết khách hàng và giám sát giao dịch đáng ngờ theo quy định phòng chống rửa tiền. Nếu tài khoản nhận được mở bằng giấy tờ giả hoặc là tài khoản thuê mướn mà ngân hàng không phát hiện, đây là vấn đề có thể nêu khi khiếu nại, dù cơ chế đòi bồi thường trực tiếp còn phức tạp.
Có nên đăng thông tin vụ việc lên mạng xã hội không?
Có thể giúp cảnh báo người khác, nhưng không đăng số tài khoản, ảnh giấy tờ, mã giao dịch của bạn. Kẻ gian theo dõi những bài này để tiếp cận nạn nhân lần hai với vai người hỗ trợ lấy lại tiền. Ưu tiên kênh chính thức trước.
Bảo hiểm có bồi thường khi bị lừa mất tiền tài khoản không?
Một số sản phẩm bảo hiểm gian lận thẻ, an ninh mạng cá nhân có thể chi trả trong phạm vi rất cụ thể, thường loại trừ trường hợp khách hàng tự chuyển tiền. Đọc kỹ quyền lợi và điều khoản loại trừ trước khi tin vào lời chào mời.
