iPhone Lock có dùng được App Ngân hàng từ 1/3/2026 theo Thông tư 77 không?

Sự phát triển vũ bão của nền kinh tế số tại Việt Nam đã đưa các dịch vụ tài chính trực tuyến trở thành một phần không thể thiếu trong đời sống kinh tế - xã hội. Tuy nhiên, đi kèm với sự tiện lợi là những rủi ro an ninh mạng ngày càng gia tăng, đặc biệt là các hành vi lừa đảo chiếm đoạt tài sản thông qua việc khai thác lỗ hổng trên thiết bị đầu cuối của người dùng. Để thiết lập một hành lang an toàn vững chắc, Ngân hàng Nhà nước Việt Nam đã ban hành Thông tư số 77/2025/TT-NHNN vào ngày 31/12/2025, sửa đổi và bổ sung cho Thông tư 50/2024/TT-NHNN, quy định về an toàn, bảo mật cho việc cung cấp dịch vụ trực tuyến trong ngành ngân hàng. Văn bản này chính thức có hiệu lực từ ngày 1/3/2026, tạo ra một tiêu chuẩn kỹ thuật mới buộc các tổ chức tín dụng phải thắt chặt kiểm soát thiết bị di động của khách hàng. Trong số đó, các dòng máy iPhone Lock — thiết bị vốn phổ biến tại thị trường Việt Nam nhờ ưu thế về giá — đang đối mặt với những thách thức lớn về khả năng duy trì các dịch vụ ngân hàng di động (Mobile Banking) do những can thiệp sâu vào hệ thống để vượt rào cản mạng.

1. Phân tích Thông tư 77/2025/TT-NHNN và các quy định mới về thiết bị thanh toán

Thông tư 77/2025/TT-NHNN không chỉ là một văn bản sửa đổi thông thường mà là một cuộc cách mạng trong tư duy bảo mật ngân hàng, chuyển từ trạng thái "cảnh báo" sang "ngăn chặn chủ động". Quy định này thiết lập một cơ chế phòng vệ từ xa, bắt buộc các ứng dụng ngân hàng phải có khả năng tự đánh giá môi trường thực thi trước khi cho phép giao dịch diễn ra.

1.1. Tiêu chuẩn an toàn bảo mật thiết bị đầu cuối

Theo nội dung chi tiết của Thông tư, ứng dụng Mobile Banking phải tự động thoát hoặc ngừng hoạt động nếu phát hiện thiết bị của khách hàng không đảm bảo tính toàn vẹn bảo mật. Các tổ chức tín dụng được yêu cầu triển khai các giải pháp kỹ thuật để phát hiện ba nhóm dấu hiệu rủi ro trọng yếu trên thiết bị đầu cuối. Thứ nhất là các thiết bị đã bị can thiệp vào hệ điều hành nhằm phá vỡ các rào cản bảo mật gốc của nhà sản xuất, bao gồm hành vi bẻ khóa (jailbreak đối với iOS) hoặc chiếm quyền quản trị hệ thống (root đối với Android). Thứ hai là các môi trường thực thi không an toàn như trình gỡ lỗi (debugger), môi trường giả lập (emulator), máy ảo hoặc các chế độ cho phép máy tính điều khiển trực tiếp thiết bị như Android Debug Bridge (ADB). Thứ ba là các hành vi can thiệp vào chính ứng dụng ngân hàng như chèn mã lạ (hooking) để theo dõi API, ghi log dữ liệu hoặc đóng gói lại ứng dụng (repacking) để tạo ra các phiên bản giả mạo nhằm đánh cắp thông tin người dùng.

Quy định này áp dụng đồng loạt cho toàn bộ hệ thống các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán và cả các tổ chức cung ứng dịch vụ Tiền di động (Mobile Money). Việc chuẩn hóa này đảm bảo rằng người dùng không thể né tránh các yêu cầu bảo mật bằng cách chuyển đổi giữa các ngân hàng khác nhau.

1.2. Yêu cầu về xác thực chính chủ và kiểm soát phiên bản

Một điểm mới quan trọng trong Thông tư 77 là việc thắt chặt quy trình xác thực khi người dùng thực hiện các thay đổi thông tin định danh hoặc kích hoạt ứng dụng trên thiết bị mới. Các tổ chức cung ứng dịch vụ phải áp dụng hình thức xác nhận khớp sinh trắc học giữa khuôn mặt khách hàng và dữ liệu được lưu trữ trong chip của Căn cước công dân (CCCD). Điều này nhằm loại bỏ hoàn toàn tình trạng sử dụng tài khoản ngân hàng không chính chủ hoặc tài khoản "rác" để thực hiện các hành vi bất hợp pháp.

Đồng thời, các ngân hàng phải thiết lập lộ trình đánh giá an toàn định kỳ tối thiểu 3 tháng một lần đối với tất cả các phiên bản ứng dụng Mobile Banking đang lưu hành. Khi phát hiện các lỗ hổng bảo mật nghiêm trọng hoặc các hình thức tấn công mới, ngân hàng buộc phải yêu cầu người dùng cập nhật lên phiên bản mới nhất và triển khai các biện pháp kỹ thuật để ngăn chặn việc hạ cấp (downgrading) ứng dụng xuống các phiên bản thấp hơn vốn đã bị coi là không còn an toàn.

2. Rủi ro bảo mật từ iPhone Lock trong hệ sinh thái tài chính

iPhone Lock là những thiết bị được Apple sản xuất dành riêng cho các nhà mạng đối tác tại thị trường nước ngoài (như Mỹ, Nhật Bản, Hàn Quốc) và bị khóa mã mạng để người dùng chỉ có thể sử dụng dịch vụ của nhà mạng đó. Để có thể sử dụng tại Việt Nam với các nhà mạng nội địa, thiết bị này phải trải qua các hình thức can thiệp khác nhau, điều này vô tình khiến chúng nằm trong "tầm ngắm" của các quy định bảo mật mới.

2.1. Can thiệp phần mềm và Jailbreak

Trong lịch sử, để khắc phục các lỗi phát sinh trên iPhone Lock như không thể kiểm tra tài khoản nạp tiền (*101#), lỗi danh bạ, lỗi tin nhắn hoặc iMessage, người dùng thường phải thực hiện thủ thuật Jailbreak. Jailbreak là quá trình gỡ bỏ các hạn chế phần mềm của Apple nhằm giành quyền kiểm soát cao nhất đối với hệ thống và cài đặt ứng dụng từ các nguồn bên ngoài App Store.

Tuy nhiên, từ góc độ ngân hàng, một chiếc iPhone đã bị Jailbreak là một thiết bị "mở cửa cho tin tặc". Việc phá vỡ cơ chế Sandbox — lớp rào chắn cô lập dữ liệu giữa các ứng dụng — cho phép các phần mềm độc hại xâm nhập vào vùng nhớ của ứng dụng ngân hàng để đọc trộm mật khẩu, sao chép mã OTP và thậm chí là giả lập xác thực khuôn mặt hoặc vân tay. Do đó, theo Thông tư 77, bất kỳ chiếc iPhone Lock nào đang ở trạng thái Jailbreak sẽ bị các ứng dụng ngân hàng từ chối kết nối ngay lập tức kể từ ngày 1/3/2026.

2.2. Rủi ro từ SIM ghép và mã ICCID

Phương thức phổ biến nhất hiện nay để sử dụng iPhone Lock tại Việt Nam là dùng SIM ghép — một vi mạch nhỏ được gắn cùng thẻ SIM để giả mạo thông tin nhà mạng gốc. Một số loại SIM ghép thế hệ mới sử dụng mã ICCID (Integrated Circuit Card Identifier) để kích hoạt trạng thái "quốc tế ảo" cho máy Lock.

Mặc dù việc sử dụng SIM ghép theo phương thức ICCID đôi khi không yêu cầu Jailbreak hệ thống, nhưng nó vẫn tiềm ẩn những rủi ro kỹ thuật nhất định. Việc duy trì kết nối mạng thông qua một vi mạch trung gian có thể gây ra sự không ổn định trong việc truyền nhận dữ liệu mã hóa. Quan trọng hơn, các ứng dụng ngân hàng hiện nay đang tích hợp các bộ công cụ kiểm tra tính toàn vẹn của thiết bị (Device Integrity). Nếu thuật toán của ngân hàng nhận diện việc giả mạo thông tin thẻ SIM hoặc sự hiện diện của phần cứng lạ là một dấu hiệu của việc can thiệp trái phép, ứng dụng vẫn có thể ngừng hoạt động để bảo vệ người dùng.

3. Điều kiện kỹ thuật và tính năng "Thiết bị tin cậy" trên máy Lock

Để thực hiện giao dịch ngân hàng trực tuyến theo tiêu chuẩn mới, thiết bị không chỉ cần "sạch" về phần mềm mà còn phải đáp ứng đầy đủ các tiêu chuẩn về phần cứng, đặc biệt là công nghệ NFC và khả năng thiết lập môi trường tin cậy.

3.1. Tính ổn định của NFC trong quét CCCD gắn chip

Công nghệ NFC (Near Field Communication) là chìa khóa để thực hiện xác thực sinh trắc học tại nhà thông qua việc đọc chip trên thẻ CCCD. Đối với iPhone, chip NFC được tích hợp từ dòng iPhone 6, nhưng khả năng đọc thẻ nền (background tag reading) và quét dữ liệu từ chip CCCD chỉ thực sự hoạt động hiệu quả từ dòng iPhone X trở về sau.

Trên thực tế, nhiều người dùng iPhone Lock phản ánh tình trạng khó khăn khi quét NFC CCCD. Nguyên nhân có thể đến từ việc máy Lock thường là hàng đã qua sửa chữa, thay thế vỏ hoặc can thiệp vào module sóng, dẫn đến việc module NFC bị hỏng hoặc hoạt động kém ổn định. Ngoài ra, việc sử dụng các loại ốp lưng dày hoặc có chứa kim loại (thường thấy trên các dòng máy xách tay để bảo vệ máy) cũng làm cản trở tín hiệu NFC. Nếu thiết bị không thể quét được CCCD để hoàn thành đối soát sinh trắc học với Cơ sở dữ liệu quốc gia về dân cư, người dùng sẽ không thể thực hiện các giao dịch giá trị cao hoặc kích hoạt ứng dụng trên thiết bị đó.

3.2. Cơ chế hoạt động của "Thiết bị tin cậy"

Tính năng "Thiết bị tin cậy" là một cơ chế định danh duy nhất giữa tài khoản ngân hàng và phần cứng của một chiếc điện thoại cụ thể. Khi một thiết bị được đăng ký là "tin cậy", ngân hàng sẽ lưu trữ các thông số phần cứng (như số hiệu IMEI, chip bảo mật) để đảm bảo rằng chỉ chính chiếc máy đó mới có thể thực hiện giao dịch.

Với iPhone Lock, việc thay đổi mã ICCID hoặc thường xuyên đổi SIM ghép có thể làm thay đổi các tham số nhận dạng thiết bị trong hệ thống của ngân hàng. Điều này khiến ứng dụng ngân hàng nghi ngờ có sự xâm nhập trái phép và buộc người dùng phải xác thực lại từ đầu hoặc khóa tài khoản tạm thời. Hơn nữa, nếu thiết bị đang ở trạng thái bị bẻ khóa, nó sẽ không bao giờ được coi là một "môi trường tin cậy" để lưu trữ các thông tin nhạy cảm như khóa mật mã hay dữ liệu sinh trắc học.

4. Hệ quả pháp lý và thực tế đối với thiết bị không đủ tiêu chuẩn

Việc sử dụng một thiết bị không đáp ứng Thông tư 77 sau ngày 1/3/2026 sẽ dẫn đến những hạn chế nghiêm trọng trong giao dịch tài chính cá nhân.

4.1. Từ chối giao dịch và giới hạn hạn mức

Hệ quả trực tiếp nhất là người dùng sẽ bị từ chối thực hiện các giao dịch trực tuyến nếu thiết bị bị nhận diện là không an toàn. Theo các quy định về phân loại giao dịch (Loại A, B, C, D), những giao dịch có giá trị trên 10 triệu VNĐ/lần hoặc tổng giá trị trên 20 triệu VNĐ/ngày bắt buộc phải qua bước xác thực sinh trắc học khớp với dữ liệu chip CCCD. Nếu thiết bị không hỗ trợ NFC ổn định hoặc bị chặn ứng dụng do đã bẻ khóa, người dùng sẽ bị "kẹt" ở hạn mức thấp, gây gián đoạn lớn cho các nhu cầu kinh doanh hoặc thanh toán cá nhân.

4.2. Khóa tài khoản và trách nhiệm của ngân hàng

Trong các trường hợp phát hiện dấu hiệu can thiệp trái phép nghiêm trọng (như có mã độc Hooking hoặc đang chạy trong máy ảo), ngân hàng có quyền khóa quyền truy cập Mobile Banking của khách hàng trên thiết bị đó để ngăn chặn rủi ro thất thoát tài sản. Đây là một biện pháp bảo vệ bắt buộc, và khách hàng sẽ phải ra trực tiếp quầy giao dịch để làm việc nếu muốn khôi phục lại dịch vụ, gây mất thời gian và công sức.

Bên cạnh đó, Thông tư 77 cũng quy định trách nhiệm thanh tra, giám sát của Ngân hàng Nhà nước chi nhánh khu vực đối với các tổ chức tín dụng. Nếu một ngân hàng cho phép thực hiện giao dịch trên các thiết bị không an toàn, ngân hàng đó sẽ phải đối mặt với các án phạt hành chính nặng nề theo Nghị định số 88/2019/NĐ-CP và các văn bản sửa đổi bổ sung.

5. Lời khuyên của Luật sư và chuyên gia công nghệ cho người dùng iPhone Lock

Trước sự siết chặt của pháp lý, người dùng iPhone Lock cần có một lộ trình chuẩn bị kỹ lưỡng để không bị cô lập trong nền kinh tế số.

5.1. Lộ trình chuyển đổi sang thiết bị đạt chuẩn (VN/A)

Lời khuyên hàng đầu của các chuyên gia là người dùng nên chủ động chuyển đổi sang sử dụng các dòng máy iPhone quốc tế, đặc biệt là hàng chính hãng mã VN/A. Máy chính hãng không chỉ đảm bảo tính toàn vẹn của hệ điều hành (không bị Jailbreak) mà còn có module NFC được tối ưu hóa tốt nhất cho các ứng dụng định danh điện tử (VNeID) và ngân hàng tại Việt Nam. Đây là sự đầu tư xứng đáng để bảo vệ an toàn tài chính lâu dài.

Nếu chưa có điều kiện đổi máy ngay, người dùng cần thực hiện các biện pháp "làm sạch" thiết bị hiện tại :

• Khôi phục cài đặt gốc: Sử dụng máy tính có cài iTunes hoặc Finder để Restore lại firmware gốc từ Apple nhằm xóa bỏ hoàn toàn dấu vết của Jailbreak.
• Tắt chế độ nhà phát triển: Kiểm tra trong phần Cài đặt và tắt tính năng Debugging hoặc Developer Mode để tránh bị ứng dụng ngân hàng nhận diện là môi trường không an toàn.
• Cập nhật iOS mới nhất: Đảm bảo thiết bị luôn chạy phiên bản hệ điều hành cao nhất mà Apple cho phép để nhận được các bản vá bảo mật.

5.2. Các biện pháp dự phòng hợp pháp

Trong trường hợp iPhone Lock không thể đáp ứng được các tiêu chuẩn kỹ thuật của ứng dụng Mobile Banking, người dùng có thể xem xét các phương án dự phòng :

• Internet Banking qua trình duyệt: Sử dụng phiên bản web của ngân hàng trên máy tính để thực hiện giao dịch. Tuy nhiên, phương thức này vẫn sẽ gặp khó khăn với các giao dịch yêu cầu xác thực sinh trắc học khuôn mặt.
• Thiết bị phụ chính hãng: Sử dụng một chiếc điện thoại Android đời mới hoặc iPhone đời cũ (nhưng là hàng quốc tế "sạch") chỉ dành riêng cho việc giao dịch ngân hàng.

Thông tư 77/2025/TT-NHNN là một bước đi tất yếu để bảo vệ lòng tin của người dân vào hệ thống ngân hàng số. Việc loại bỏ các thiết bị không an toàn — bao gồm các dòng iPhone Lock đã bị bẻ khóa — ra khỏi hệ thống giao dịch là một biện pháp "đau đớn nhưng cần thiết" để làm sạch môi trường tài chính trực tuyến.

Đối với người dùng iPhone Lock, ngày 1/3/2026 không phải là ngày "chấm hết" nếu thiết bị của bạn được đưa về trạng thái nguyên bản và sử dụng các phương thức ghép SIM hợp lệ không can thiệp hệ thống. Tuy nhiên, ranh giới giữa một chiếc máy Lock "sạch" và một chiếc máy bị chặn là rất mong manh và phụ thuộc hoàn toàn vào các thuật toán bảo mật ngày càng thông minh của các ngân hàng. Trong kỷ nguyên mà sinh trắc học và định danh điện tử trở thành rào cản cuối cùng chống lại tội phạm công nghệ cao, việc sở hữu một thiết bị đầu cuối an toàn, chính thống không còn là một lựa chọn xa xỉ, mà là một yêu cầu cấp thiết để bảo vệ chính túi tiền của mỗi cá nhân.

Hệ sinh thái tài chính Việt Nam đang chuyển mình mạnh mẽ hướng tới các tiêu chuẩn quốc tế như ISO 30107 và OWASP. Việc tuân thủ nghiêm ngặt các quy định này không chỉ giúp giảm thiểu rủi ro cho người dùng mà còn tạo điều kiện để các ngân hàng ra mắt thêm nhiều dịch vụ sáng tạo, tiện lợi hơn trong tương lai. Lời khuyên cuối cùng dành cho người dùng là hãy luôn cảnh giác, ưu tiên tính an toàn lên trên hết và không ngừng cập nhật kiến thức để tự bảo vệ mình trong không gian mạng đầy biến động.