Soft OTP là gì?

Soft OTP

Soft OTP (mã OTP qua ứng dụng, còn gọi là "soft token" hay "mobile OTP") là phương thức xác thực giao dịch ngân hàng điện tử bằng mã số dùng một lần được sinh ra trên ứng dụng ngân hàng cài trên điện thoại thông minh của khách hàng, thay vì được gửi qua tin nhắn SMS như hình thức SMS OTP truyền thống. Đây là một trong những yếu tố xác thực thuộc nhóm "Something you have" (nhân tố khách hàng sở hữu) trong mô hình xác thực đa yếu tố MFA, kết hợp với yếu tố "Something you know" (như mật khẩu, PIN) và/hoặc "Something you are" (sinh trắc họa) để tạo thành lớp bảo mật cho giao dịch.

Mã Soft OTP thường có hiệu lực từ 30 đến 60 giây, được tạo dựa trên thuật toán TOTP (Time-based One-Time Password) theo chuẩn RFC 6238, sử dụng khóa bí mật (secret key) được sinh ra khi khách hàng kích hoạt và lưu trữ an toàn trong vùng bảo mật của thiết bị (Secure Enclave trên iOS, Keystore/TEE trên Android). Khi khách hàng thực hiện giao dịch, hệ thống ngân hàng yêu cầu nhập mã hiển thị trên ứng dụng; mã này được đối chiếu với mã máy chủ sinh ra trong cùng khung thời gian để xác thực.

So sánh Soft OTP và SMS OTP

Soft OTP hiện được xem là lựa chọn thay thế ưu việt hơn SMS OTP trong bối cảnh các ngân hàng Việt Nam đẩy mạnh chuyển đổi số và tăng cường an toàn giao dịch theo định hướng của Ngân hàng Nhà nước.

Cơ chế hoạt động

Quy trình sử dụng Soft OTP thường diễn ra theo các bước:

1. Đăng ký kích hoạt: Khách hàng đăng nhập ứng dụng ngân hàng, vào mục bảo mật, chọn kích hoạt Soft OTP. Ứng dụng và máy chủ thống nhất sinh cặp khóa bí mật, lưu trên thiết bị và máy chủ xác thực.
2. Ràng buộc thiết bị: Soft OTP thường được gắn với một thiết bị cụ thể (device binding) thông qua Device ID hoặc chứng chỉ số trên phần cứng, nhằm ngăn chặn việc sao chép khóa sang thiết bị khác.
3. Sinh mã: Khi thực hiện giao dịch, ứng dụng tự động hiển thị mã 6 chữ số (hoặc 8 chữ số) thay đổi theo thời gian thực dựa trên thuật toán TOTP.
4. Xác thực: Khách hàng nhập mã vào giao diện giao dịch. Máy chủ xác thực đối chiếu mã nhập vào với mã sinh trong cùng khoảng thời gian (thường chấp nhận lệch ±1 kỳ để bù trừ độ trễ mạng).
5. Hết hiệu lực: Mã tự hủy sau thời gian quy định; nếu nhập sai quá số lần cho phép (thường 3–5 lần), giao dịch bị khóa và yêu cầu xác thực lại.

Ưu điểm và hạn chế

Ưu điểm nổi bật:

• Bảo mật cao hơn SMS OTP: Không thể bị đánh cắp qua tấn công SIM swap, khai thác lỗ hổng giao thức SS7, hay phishing SMS.
• Hoạt động ngoại tuyến: Sinh mã ngay trên thiết bị nên không phụ thuộc vào vùng phủ sóng di động hay chất lượng mạng, rất phù hợp khi khách hàng đi nước ngoài hoặc ở vùng sóng yếu.
• Tốc độ tức thì: Không phải chờ tin nhắn, cải thiện đáng kể trải nghiệm thanh toán, đặc biệt với các giao dịch nhỏ, tần suất cao.
• Chi phí thấp về dài hạn: Ngân hàng tiết kiệm chi phí gửi SMS (trước đây mỗi SMS OTP có thể tốn từ 200–400 đồng, nhân với hàng trăm triệu giao dịch mỗi năm).

Hạn chế cần lưu ý:

• Yêu cầu smartphone và ứng dụng: Khách hàng chỉ dùng điện thoại phổ thông, không cài ứng dụng ngân hàng sẽ không sử dụng được.
• Phụ thuộc vào trạng thái thiết bị: Nếu điện thoại hỏng, mất, hoặc phải reset factory, khách hàng cần đến quầy hoặc liên hệ tổng đài để tái kích hoạt.
• Vẫn có rủi ro malware: Trong trường hợp thiết bị bị cài phần mềm độc hại (nhất là trên Android đã root), mã có thể bị đọc trộm nếu ứng dụng ngân hàng không bảo vệ đúng cách.

Ứng dụng tại các ngân hàng Việt Nam

Phần lớn ngân hàng thương mại Việt Nam hiện nay đã tích hợp Soft OTP trên ứng dụng ngân hàng số, một số tên gọi phổ biến trên giao diện người dùng:

• Vietcombank: "Smart OTP" trên ứng dụng VCB Digibank.
• Techcombank: "Smart OTP" trên ứng dụng Techcombank Mobile.
• MB Bank: "Soft OTP" tích hợp trực tiếp trên app MBBank.
• VPBank: "Smart OTP" trên VPBank NEO.
• ACB, TPBank, HDBank, Sacombank, VietinBank iPay… đều có phiên bản tương đương.

Nhiều ngân hàng đã mặc định Soft OTP là phương thức xác thực chính cho các giao dịch chuyển tiền, thanh toán trên ứng dụng, đồng thời dùng sinh trắc họa (vân tay, Face ID) làm bước xác nhận cuối cùng — thay thế hoàn toàn SMS OTP trên kênh mobile. Với giao dịch trên web, Soft OTP vẫn được sử dụng kết hợp QR code quét từ ứng dụng để xác nhận.

Câu hỏi thường gặp

Hỏi: Soft OTP có an toàn tuyệt đối không, hay vẫn cần kết hợp thêm lớp bảo mật khác?

Soft OTP được đánh giá an toàn hơn SMS OTP đáng kể, nhưng không có cơ chế nào là tuyệt đối. Vì vậy các ngân hàng thường kết hợp Soft OTP với sinh trắc họa (xác thực khuôn mặt, vân tay) cho các giao dịch giá trị lớn, và có hệ thống giám sát giao dịch bất thường theo thời gian thực. Người dùng cũng cần bảo vệ thiết bị: bật khóa màn hình, không root/Jailbreak, không cài ứng dụng từ nguồn không chính thức.

Hỏi: Khi đổi điện thoại mới, Soft OTP cũ có dùng tiếp được không và cần làm gì để chuyển sang máy mới?

Soft OTP được gắn với một thiết bị cụ thể nên khi đổi máy, mã trên thiết bị cũ sẽ không hoạt động trên máy mới. Khách hàng cần đăng nhập ứng dụng ngân hàng trên điện thoại mới và thực hiện "kích hoạt lại Smart OTP/Soft OTP". Tùy ngân hàng, bước này có thể yêu cầu xác thực bằng OTP cũ trên máy cũ, hoặc đến quầy xác minh danh tính nếu không còn thiết bị cũ.

Hỏi: Soft OTP có dùng được khi đi nước ngoài, khi không có sóng di động hay wifi không?

Đây chính là lợi thế lớn nhất của Soft OTP so với SMS OTP. Vì mã được sinh trực tiếp trên thiết bị dựa trên thời gian và khóa bí mật đã lưu sẵn, ứng dụng hoàn toàn có thể tạo mã ngay cả khi điện thoại ở chế độ máy bay, không có SIM, không có sóng hay wifi. Điều kiện duy nhất là đồng hồ hệ thống của thiết bị phải đúng giờ thực tế.

Nội dung mang tính tham khảo về nghiệp vụ ngân hàng, không thay thế hướng dẫn chính thức từ ngân hàng phát hành ứng dụng hoặc tư vấn của chuyên gia công nghệ thông tin.