Doanh nghiệp chuyển khoản vượt ngưỡng phải xác thực khuôn mặt

Ban biên tập Darkfox Threat Intel · 10/11/2026

Từ ngày 1/7/2026, theo Thông tư 77/2025/TT-NHNN, các ngân hàng áp dụng xác thực nâng cao cho giao dịch trực tuyến giá trị lớn của khách hàng doanh nghiệp: lệnh vượt ngưỡng phải do người đại diện theo pháp luật trực tiếp phê duyệt bằng xác thực khuôn mặt. Mức "từ 50 triệu đồng/giao dịch hoặc trên 100 triệu đồng/ngày" thường được nhắc tới thực ra là ngưỡng một số ngân hàng áp cho doanh nghiệp mới thành lập hoặc mới giao dịch dưới 12 tháng, không phải con số chung cho mọi doanh nghiệp. Hộ kinh doanh và doanh nghiệp siêu nhỏ có thể gặp ngưỡng thấp hơn, từ 10 triệu đồng mỗi lần ở một số ngân hàng.

Gần bốn tháng sau ngày hiệu lực, nhiều kế toán và chủ hộ kinh doanh vẫn hỏi vì sao lệnh chuyển tiền "bị treo" chờ giám đốc quét mặt. Cuối năm, khi dồn dập thanh toán nhà cung cấp, trả lương, thưởng Tết, quy trình này cần được tính trước.

Thông tư 77/2025 nói gì

Theo Báo Pháp luật Việt Nam (chuyên trang Doanh nhân) ngày 25/6/2026, Thông tư 77/2025/TT-NHNN do Ngân hàng Nhà nước ban hành ngày 31/12/2025, sửa đổi Thông tư 50/2024/TT-NHNN về an toàn, bảo mật dịch vụ ngân hàng trực tuyến. Tổ chức tín dụng phải áp dụng xác thực nâng cao cho giao dịch trực tuyến giá trị lớn hoặc vượt ngưỡng, đặc biệt với khách hàng doanh nghiệp. Ứng dụng ngân hàng cũng phải tăng kiểm tra kỹ thuật như phát hiện thiết bị bị can thiệp trái phép và chặn ứng dụng giả mạo.

Ngưỡng cụ thể tại một số ngân hàng

Ngân hàng / nhóm khách	Ngưỡng phải xác thực khuôn mặt
ABBank, TPBank: doanh nghiệp mới thành lập hoặc quan hệ dưới 12 tháng	Từ 50 triệu đồng/giao dịch hoặc trên 100 triệu đồng/ngày
ABBank: mô hình "Người nhập và duyệt" (kế toán đơn giản)	Từ 10 triệu đồng/lần hoặc 20 triệu đồng/ngày
TPBank: hộ kinh doanh, doanh nghiệp siêu nhỏ, chuyển tiền hoặc nạp ví	Trên 10 triệu đồng/lần hoặc 20 triệu đồng/ngày
TPBank: thanh toán hóa đơn	Từ 100 triệu đồng/lần hoặc trên 100 triệu đồng/ngày; chuyển tiền quốc tế cũng thuộc diện xác thực

Nguồn: Báo Pháp luật Việt Nam, 25/6/2026. Agribank, BIDV, VPBank, Eximbank, OCB được nêu là đang nâng cấp nhưng bài không công bố ngưỡng cụ thể.

Giao dịch dưới ngưỡng vẫn chạy theo quy trình cũ, không cần quét mặt. TPBank kết hợp xác thực khuôn mặt với OTP.

Ai bấm duyệt, ai quét mặt

Với lệnh vượt ngưỡng, người đại diện theo pháp luật phải trực tiếp phê duyệt và xác thực khuôn mặt. Ở ABBank, các giao dịch vượt ngưỡng chỉ do người đại diện khởi tạo, và người dùng ở mô hình "Người nhập và duyệt" chỉ được duyệt lệnh do chính mình tạo. Nói cách khác, kế toán không thể tự hoàn tất một khoản lớn dù có đủ mật khẩu.

Đây chính là mục đích. Trong các vụ lừa đảo nhắm vào doanh nghiệp, kẻ gian thường giả giọng hoặc giả hình giám đốc qua video để ép kế toán chuyển gấp. Báo Thanh Niên ngày 6/11/2026 dẫn lời đại diện Cục Cảnh sát hình sự cho biết việc dùng AI, deepfake, giả giọng nói là một trong năm thủ đoạn nổi bật hiện nay (xem bài Thanh Niên). Khi lệnh lớn bắt buộc khuôn mặt thật của người đại diện, một cuộc gọi video giả không đủ để rút tiền.

Sắp xếp quy trình nội bộ cho mùa thanh toán cuối năm

Lập lịch duyệt cố định. Gom các lệnh lớn vào một hoặc hai khung giờ trong ngày để giám đốc duyệt một lượt, tránh ách tắc.
Lên kế hoạch khi giám đốc đi công tác. Người đại diện cần mang theo thiết bị đã đăng ký và đảm bảo có mạng. Nếu đi nước ngoài dịp cuối năm, duyệt trước các khoản đến hạn.
Chia lệnh không phải giải pháp. Cố tách một khoản lớn thành nhiều khoản nhỏ để né ngưỡng có thể bị hệ thống ngân hàng đánh dấu bất thường, và đi ngược mục đích kiểm soát.
Xác minh số tài khoản nhà cung cấp qua điện thoại với người quen bên đối tác trước khi tạo lệnh, đặc biệt khi nhận email báo "đổi tài khoản nhận tiền".
Ghi nhật ký: ai tạo lệnh, ai duyệt, thời điểm, để đối chiếu khi khóa sổ cuối năm.

Kịch bản giả giám đốc vẫn có thể nhắm vào bước "tạo lệnh"

Xác thực khuôn mặt chặn được việc kẻ gian tự rút tiền, nhưng không chặn được việc chính giám đốc duyệt một lệnh mà kế toán đã tạo theo thông tin giả. Một email "từ nhà cung cấp" báo đổi số tài khoản, kế toán tạo lệnh tới tài khoản mới, giám đốc bận rộn quét mặt duyệt mà không đọc kỹ tên người nhận. Tiền vẫn đi. Vì vậy, màn hình duyệt cần được đọc như một tờ séc: tên đơn vị nhận, ngân hàng nhận, số tiền, nội dung. Quy ước nội bộ đơn giản: mọi lệnh tới tài khoản nhận mới phải kèm ghi chú ai đã xác minh qua điện thoại và lúc nào. Giám đốc chỉ duyệt khi thấy ghi chú đó.

Hộ kinh doanh: ngưỡng thấp, cần thói quen mới

Với ngưỡng 10 triệu đồng mỗi lần ở một số ngân hàng, chủ hộ kinh doanh sẽ quét mặt thường xuyên hơn. Đổi lại, nếu điện thoại bán hàng hay máy tính quầy bị cài mã độc, kẻ gian khó rút tiền lớn mà không có khuôn mặt chủ hộ. Vài lưu ý:

Không để nhân viên dùng điện thoại đã đăng ký sinh trắc của chủ để "bấm hộ".
Tách tài khoản nhận tiền bán hàng và tài khoản chi trả, đặt hạn mức riêng.
Cập nhật ứng dụng ngân hàng thường xuyên, vì bản mới có thêm kiểm tra thiết bị bị can thiệp.

Bài thiết lập xác thực sinh trắc học khi chuyển tiền hướng dẫn các bước cài đặt chung, áp dụng được cho tài khoản cá nhân của chủ hộ.

Khi ứng dụng báo thiết bị không an toàn

Thông tư 77 yêu cầu ứng dụng phát hiện thiết bị bị can thiệp. Nếu ứng dụng ngân hàng doanh nghiệp từ chối chạy, báo máy đã root, jailbreak hoặc có ứng dụng nghi vấn, đừng tìm cách vượt qua. Kiểm tra lại các ứng dụng đã cài, đặc biệt ứng dụng có quyền Trợ năng, và liên hệ ngân hàng. Xem thêm cách bảo vệ tài khoản internet banking để rà soát máy tính dùng cho ngân hàng doanh nghiệp.

Câu hỏi thường gặp

Kế toán có thể xác thực khuôn mặt thay giám đốc không?

Với lệnh vượt ngưỡng, quy định yêu cầu người đại diện theo pháp luật trực tiếp phê duyệt và xác thực khuôn mặt. Kế toán vẫn tạo và duyệt các lệnh dưới ngưỡng theo phân quyền của ngân hàng.

Ngưỡng 50 triệu áp dụng cho mọi doanh nghiệp?

Không. Theo báo chí, mức 50 triệu/giao dịch hoặc 100 triệu/ngày là ngưỡng ABBank, TPBank áp cho doanh nghiệp mới hoặc quan hệ dưới 12 tháng. Mỗi ngân hàng công bố ngưỡng riêng.

Giám đốc đi nước ngoài thì duyệt lệnh thế nào?

Người đại diện vẫn có thể xác thực trên thiết bị đã đăng ký nếu có kết nối mạng. Nên duyệt trước các khoản đến hạn và hỏi ngân hàng về phương án khi không thể xác thực.

Hộ kinh doanh có phải xác thực khuôn mặt không?

Có, ở một số ngân hàng ngưỡng cho hộ kinh doanh và doanh nghiệp siêu nhỏ khá thấp, ví dụ trên 10 triệu đồng/lần tại TPBank. Hãy kiểm tra thông báo của ngân hàng bạn đang dùng.