Dùng deepfake xác thực tài khoản bị phạt đến 50 triệu theo NĐ 330

Theo Nghị định 330/2026/NĐ-CP, cá nhân dùng trí tuệ nhân tạo, deepfake hoặc biện pháp công nghệ cao để giả mạo khuôn mặt, giọng nói nhằm xác thực tài khoản số trái phép có thể bị phạt từ 30 đến 50 triệu đồng. Cùng mức phạt áp dụng cho việc dùng giấy tờ tùy thân của người khác, giấy tờ giả hoặc ảnh giấy tờ đã chỉnh sửa, cắt ghép để xác thực. Với người dùng bình thường, điều này có nghĩa: tài khoản ngân hàng, ví điện tử của ai thì người đó tự xác thực, không nhờ, không thuê, không cho mượn.

Nghị định 330/2026 quy định gì về xác thực tài khoản số

Bài phân tích trên Tạp chí Luật sư Việt Nam tóm tắt Điều 34 của nghị định với ba hành vi bị xử phạt ở phía cá nhân:

Nghị định cũng nêu tổ chức vi phạm cùng hành vi chịu mức phạt gấp đôi cá nhân, theo khoản 1 Điều 7.

Bên cung cấp tài khoản cũng có nghĩa vụ

Không chỉ người dùng, các tổ chức, cá nhân cung cấp và quản lý tài khoản số cũng bị ràng buộc. Theo bài viết, những thiếu sót sau có thể bị phạt từ 20 đến 30 triệu đồng:

• Không xác minh, định danh người dùng bằng giấy tờ hợp lệ với loại tài khoản bắt buộc, hoặc chấp nhận giấy tờ không hợp lệ.
• Không cảnh báo chủ tài khoản khi phát sinh giao dịch tiền, tài chính, chứng khoán hoặc tài sản có thể chuyển nhượng trên môi trường mạng.
• Không tạm dừng giao dịch, phong tỏa tài khoản số khi phát hiện sai sót, rò rỉ, nhầm lẫn hoặc khi cơ quan an ninh mạng yêu cầu; kèm theo nghĩa vụ khôi phục tình trạng ban đầu.

Ngoài ra, việc không lưu thông tin thiết bị, địa chỉ IP, thời gian đăng nhập trong tối thiểu 90 ngày, không lưu nhật ký xác thực hoặc không xây dựng cơ chế phát hiện bất thường cũng bị xử lý. Bài báo không nêu mức phạt cụ thể cho nhóm hành vi này.

Với người dùng, phần nghĩa vụ này có ý nghĩa thiết thực: khi tài khoản của bạn bị xâm nhập, nhà cung cấp phải có dữ liệu đăng nhập để truy vết và có trách nhiệm tạm dừng giao dịch khi phát hiện bất thường.

Những tình huống đời thường dễ vi phạm mà không biết

Nhờ người thân xác thực hộ

Bố mẹ lớn tuổi không quen thao tác, con cái cầm căn cước của bố mẹ rồi tự quay mặt mình để mở ví điện tử giúp. Hành động xuất phát từ ý tốt, nhưng về bản chất là dùng giấy tờ của người khác để xác thực tài khoản. Cách đúng là để chính bố mẹ đứng trước camera, con cái chỉ hướng dẫn thao tác.

Cho thuê, cho mượn căn cước để mở tài khoản

Những lời mời "cho thuê CCCD mở tài khoản, nhận ngay vài trăm nghìn" vẫn xuất hiện trên mạng. Ngoài rủi ro bị phạt, tài khoản đứng tên bạn có thể bị dùng để nhận tiền lừa đảo, và chính bạn sẽ phải giải trình.

Dịch vụ "xác thực sinh trắc hộ"

Một số hội nhóm rao nhận "vượt sinh trắc", "xác thực khuôn mặt không cần chính chủ". Những dịch vụ này thuộc đúng nhóm hành vi bị phạt nặng nhất. Người thuê dịch vụ cũng tự đặt dữ liệu cá nhân của mình vào tay kẻ không rõ danh tính.

Vì sao quy định này cần thiết lúc này

Ngành ngân hàng đã đối chiếu dữ liệu khách hàng với căn cước gắn chip hoặc ứng dụng VNeID trên quy mô rất lớn. Theo số liệu Ngân hàng Nhà nước công bố ngày 07/10/2026, đến ngày 02/10/2026 có 175,2 triệu hồ sơ cá nhân và 2,94 triệu hồ sơ tổ chức đã được đối chiếu. Ngân hàng cũng bổ sung xác thực ở các điểm rủi ro như đăng nhập thiết bị mới, mở tài khoản, thay đổi phương thức xác thực.

Khi khuôn mặt trở thành "chìa khóa" của tài khoản, việc làm giả khuôn mặt bằng deepfake là hướng tấn công hiển nhiên của tội phạm. Mức phạt riêng cho hành vi này lấp khoảng trống pháp lý mà trước đây rất khó xử lý.

Tự bảo vệ tài khoản trong bối cảnh deepfake

1. Không gửi video khuôn mặt, ảnh giấy tờ cho người lạ. Ngân hàng Nhà nước khuyến cáo rõ điều này. Một đoạn video quay mặt theo yêu cầu "nhìn trái, nhìn phải" có thể bị dùng để vượt xác thực.
2. Chỉ cập nhật sinh trắc trong ứng dụng chính thức hoặc tại quầy. Không làm theo link hay cuộc gọi tự xưng nhân viên hỗ trợ.
3. Bật thêm lớp bảo vệ cho email và mạng xã hội. Bài xác thực hai yếu tố bảo vệ tài khoản hướng dẫn cách bật.
4. Dùng mật khẩu riêng cho từng dịch vụ. Khi một dịch vụ bị lộ, các tài khoản khác vẫn an toàn. Tham khảo bài cách thiết lập và quản lý mật khẩu mạnh.
5. Theo dõi thông báo đăng nhập. Thông báo "đăng nhập trên thiết bị mới" mà bạn không thực hiện là lúc cần gọi ngân hàng ngay.

Khi phát hiện tài khoản bị kẻ khác xác thực trái phép

Nếu ứng dụng báo khuôn mặt đã được đăng ký trên thiết bị lạ, hoặc bạn nhận được tin nhắn mở tài khoản mà mình không yêu cầu, hãy liên hệ ngay tổng đài chính thức của ngân hàng hoặc ví điện tử để yêu cầu tạm khóa. Theo nghị định, nhà cung cấp có nghĩa vụ tạm dừng giao dịch khi phát hiện rò rỉ hoặc sai sót. Sau đó, lưu lại thông báo, tin nhắn liên quan và trình báo cơ quan công an. Thông tin đăng nhập mà nhà cung cấp phải lưu tối thiểu 90 ngày sẽ là căn cứ quan trọng cho quá trình xác minh.

Điều nên nhớ là quy định mới không làm khó người dùng chân chính. Nếu bạn tự mình xác thực, bằng giấy tờ của mình, trên ứng dụng chính thức, bạn hoàn toàn nằm ngoài phạm vi xử phạt; trái lại, bạn được hưởng lợi từ các nghĩa vụ mà nhà cung cấp phải thực hiện.