Ngân hàng dễ tổn thương khi phụ thuộc vào công nghệ phức tạp

Khách hàng đổ xô đến một chi nhánh của ngân hàng Barclays ở Anh để tìm cách rút tiền hồi đầu năm nay sau khi không thể truy cập vào ứng dụng di động của ngân hàng này. Ảnh: LNP

Khi ngân hàng Barclays gặp sự cố gián đoạn toàn hệ thống công nghệ thông tin (CNTT) trong 3 ngày hồi đầu năm nay do lỗi kỹ thuật, hàng triệu khách hàng tại Anh đã không thể truy cập được ngay cả những dịch vụ ngân hàng cơ bản nhất.

Sự gián đoạn này không chỉ làm tổn hại uy tín của Barclays mà còn khiến ngân hàng này đối mặt với khoản bồi thường lên tới 7,5 triệu bảng Anh. Những sự cố tương tự đang ngày càng trở nên phổ biến và đáng báo động trong ngành dịch vụ tài chính.

Dù đã đầu tư hàng tỉ đô la Mỹ vào các công cụ bảo mật hiện đại nhưng các ngân hàng vẫn rất dễ bị tổn thương. Nguyên nhân chính là do hệ sinh thái phần mềm và chuỗi cung ứng công nghệ hỗ trợ các ngân hàng này ngày càng phức tạp.

Tại Anh, Barclays đã gặp 33 lần sự cố hệ thống trong giai đoạn từ tháng 1-2023 đến tháng 2-2025, theo dữ liệu từ Ủy ban Tài chính thuộc Hạ viện Anh. Trong cùng thời gian đó, hai ngân hàng HSBC và Santander cũng bị gián đoạn 32 lần.

Thách thức không chỉ nằm ở các sự cố gián đoạn. Năm ngoái, ngân hàng Citigroup đã nhầm lẫn ghi có 81.000 tỉ đô la vào tài khoản của một khách hàng thay vì chỉ 280 đô la do một nhân viên nhập sai dữ liệu khi sử dụng hệ thống dự phòng có giao diện phức tạp.

“Ngân hàng hoạt động trong môi trường cực kỳ phức tạp với vô số ứng dụng, từ nền tảng giao dịch đến công cụ phát hiện gian lận. Các ứng dụng này chạy trên hạ tầng đám mây phân tán rộng lớn, lấy dữ liệu từ nhiều nguồn khác nhau và phụ thuộc vào nhiều nhà cung cấp bên thứ ba”, Alois Reitbauer, giám đốc chiến lược công nghệ của Dynatrace (Mỹ), nhà cung cấp giải pháp giám sát và bảo mật cho ứng dụng và hạ tầng công nghệ thông tin nói.

Ngay cả một sai sót nhỏ hay bất thường trong chuỗi cung ứng phần mềm của các ngân hành cũng có thể gây ra sự cố lớn, làm gián đoạn dịch vụ trên diện rộng.

Khi các tổ chức tài chính chạy đua hiện đại hóa, chuyển sang đám mây và áp dụng các công nghệ mới như trí tuệ nhân tạo (AI) và điện toán lượng tử, nhiều ngân hàng vẫn bị kìm hãm bởi “nợ kỹ thuật” (technical debt), thuật ngữ ám chỉ đến chi phí duy trì mã nguồn lỗi thời ngày càng tăng, được xem là nguyên nhân chính dẫn đến các sự cố gián đoạn.

Theo Justin Kuruvilla, nhà chiến lược an ninh mạng của Risk Ledger (Anh), các sự cố kỹ thuật gần đây gần đây của Barclays và Citigroup liên quan đến hệ thống CNTT cũ kỹ.

Alicja Cade, giám đốc văn phòng an ninh thông tin của Google Cloud, bộ phận điện toán đám mây của Google đồng tình nhận định này.

“Các tổ chức tài chính thường phải vật lộn với công nghệ lỗi thời và quy trình lạc hậu, dẫn đến sự dễ tổn thương trong vận hành và các lỗi đơn giản khi bị đặt dưới áp lực của yêu cầu mới”, Cade nói và nhấn mạnh rằng việc kiểm thử không đủ trong các bối cảnh mới và hệ thống liên kết quá tải càng làm trầm trọng thêm các rủi ro này.

Một khảo sát năm 2024 của 10x Banking với 200 chuyên gia CNTT cho thấy, 53% cho rằng các silo dữ liệu (hệ thống dữ liệu cô lập) và tắc nghẽn trong chuỗi ung ứng sản xuất là rào cản lớn để mở rộng hệ thống CNTT cũ.

Giải quyết “nợ kỹ thuật” cũng sẽ giúp các ngân hàng nâng cao an ninh hệ thống CNTT trước các mối đe dọa mạng ngày càng gia tăng từ tội phạm mạng, những kẻ muốn rút tiền hoặc đánh cắp dữ liệu để tống tiền.

Tuy nhiên, việc thực hiện các thay đổi quy mô lớn để nâng cấp hệ thống và kiểm thử có thể rất tốn kém và gây gián đoạn hoạt động.

Các ngân hàng không muốn tình trạng này đặc biệt trong bối cảnh người dùng tài chính ngày chú trọng trải nghiệm dịch vụ vụ nhanh chóng và tiện lợi như các ứng dụng mạng xã hội hay thanh toán điện tử, theo Joshua McKenty, CEO của Polyguard.ai, nhà cung cấp giải pháp chống gian lận tài chính dựa vào AI.

“Khách hàng mong đợi các ứng dụng di động tiện lợi và tức thì như Instagram hay PayPal nên các ngân hàng phải mở rộng quy mô phát triển ứng dụng và vận hành CNTT hỗ trợ. Áp lực phải cung cấp tính năng mới, nhanh hơn cùng với sự phức tạp ngày càng tăng của các dịch vụ tài chính đã khiến vấn đề an ninh mạng bị xao nhãng”, McKenty nói.

Để bắt kịp xu thế, các ngân hàng ngày càng giao phó hệ thống CNTT nhiều hơn cho các nhà cung cấp dịch vụ đám mây. Những người ủng hộ cho rằng, điều này giúp tăng cường an ninh, cho phép cập nhật tự động, giám sát toàn cầu theo thời gian thực và xử lý sự cố nhanh hơn. Tuy nhiên, cũng có ý kiến phản đối, cho rằng dữ liệu có thể bị phơi bày nhiều hơn khi tập trung ở một nơi.

Theo Jayant Dave, giám đốc an ninh thông tin khu vực châu Á Thái Bình Dương và Nhật Bản của Check Point Software Technologies, sự phổ biến kiến trúc lai của hệ thống CNTT bao gồm hệ thống tại chỗ, nền tảng đám mây và môi trường di động làm tăng thêm mức độ phức tạp.

Các tổ chức doanh nghiệp mất đi một phần kiểm soát và khả năng quan sát hạ tầng khi nhà cung cấp đám mây đảm nhận nhiều trách nhiệm hơn.

Alex Laurie, phó chủ tịch cao cấp của Ping Identity cho rằng, các tổ chức dịch vụ tài chính cần kiểm soát chuỗi cung ứng phần mềm.

Thực tế về rủi ro chuỗi cung ứng được minh họa rõ qua sự cố trong ngành CNTT năm ngoái, khi một bản cập nhật lỗi của công ty an ninh mạng CrowdStrike làm sập hàng triệu máy tính và máy chủ chạy hệ điều hành Microsoft Windows trên toàn cầu.

Một số chuyên gia an ninh mạng khuyến nghị các ngân hàng tự động hóa hệ thống nhiều hơn, đặc biệt với sự xuất hiện của AI. Jayant Dave khuyên các tổ chức tài chính tận dụng AI để thúc đẩy hiện đại hóa các bộ công nghệ và quy trình làm việc, giảm thiểu các thao tác thủ công và sai sót do con người.

Alois Reitbauer của Dynatrace cũng đồng tình, kêu gọi các ngân hàng chuyển từ cách tiếp cận phản ứng sang chủ động đối phó với sự cố CNTT hoặc an ninh mạng bằng cách sử dụng AI để dự đoán và ngăn ngừa sự cố trước khi xảy ra.

“Yếu tố then chốt là khả năng quan sát theo thời gian thực về sức khỏe hệ thống máy tính, trải nghiệm người dùng và bất thường trong các quy trình kinh doanh bình thường” ông nói.

Tuy nhiên, việc nhiều công ty tài chính vội vàng ứng dụng AI vào kinh doanh mà không thận trọng cũng tạo ra thách thức riêng.

AI thay đổi căn bản hồ sơ rủi ro của ngân hàng, tạo ra các lỗ hổng mới như thao túng mô hình (qua dữ liệu đầu vào, quy trình huấn luyện hoặc trong giai đoạn triển khai), đòi hỏi phải có phản ứng chiến lược, Alicja Cade của Google Cloud cảnh báo.

“Khi được tích hợp vào các ngành quan trọng như dịch vụ tài chính, các mô hình AI trở thành mục tiêu của các kẻ tấn công mạng. Do đó, mô hình AI không được bảo mật tốt hoặc có thành kiến có thể khiến các ngân hàng bị thiệt hại tài chính, phạt tiền và tổn hại uy tín”, bà nói thêm.

Theo Financial Times

Khánh Lan