Vì sao thanh toán thẻ tín dụng trực tuyến nhiều nơi không yêu cầu OTP, và khi bị hack thì ngân hàng VPBank xử lý ra sao?

Chào bạn, băn khoăn của bạn rất xác đáng, đặc biệt trong bối cảnh các cơ quan quản lý như Ngân hàng Nhà nước đang siết chặt tiêu chuẩn an toàn bảo mật cho hạ tầng thanh toán số tại Việt Nam.

Về vấn đề bạn thắc mắc, dưới đây là phân tích chi tiết từ góc độ chuyên môn tài chính và vận hành thẻ:

1. Tại sao có nơi yêu cầu OTP (3D Secure), có nơi lại trừ tiền thẳng?

Cơ chế này phụ thuộc vào tiêu chuẩn bảo mật của Đơn vị chấp nhận thanh toán (Merchant) và thỏa thuận giữa họ với các Tổ chức phát hành thẻ quốc tế (như Visa, Mastercard):

• Cổng thanh toán bật 3D Secure (Verified by Visa / Mastercard Identity Check): Các trang thương mại nội địa (Shopee, Tiki, Lazada) kích hoạt tính năng này để bảo vệ cả người mua lẫn người bán. Mỗi giao dịch đều bắt buộc có mã OTP hoặc sinh trắc học gửi về số điện thoại/app ngân hàng.
• Cổng thanh toán không bật 3D Secure (Non-3DS): Nhiều dịch vụ quốc tế như Amazon, Netflix, Spotify hay Agoda ưu tiên tính liền mạch (frictionless experience) và cơ chế thanh toán định kỳ (recurring billing). Họ chấp nhận rủi ro gian lận thay vì làm phiền khách hàng bằng OTP mỗi tháng. Họ chỉ cần thông tin tĩnh trên thẻ (Số thẻ, Expiry Date, CVV/CVC) là có thể gửi lệnh ghi nợ tới ngân hàng phát hành.

2. Nếu bị lộ thông tin và phát sinh giao dịch gian lận, ai chịu trách nhiệm?

Trong hệ thống thẻ quốc tế, có một quy tắc gọi là Liability Shift (Chuyển dịch trách nhiệm):

• Nếu một giao dịch thực hiện không qua 3D Secure (không có OTP) mà chủ thẻ chứng minh được mình không thực hiện, trách nhiệm bồi hoàn gần như 100% thuộc về bên bán hoặc ngân hàng thanh toán (Acquiring Bank) của bên bán, chứ không thuộc về bạn.
• Ngược lại, nếu giao dịch đã được xác thực thành công bằng OTP gửi về số điện thoại chính chủ của bạn, ngân hàng sẽ coi như bạn đã phê duyệt giao dịch đó và việc khiếu nại bồi hoàn sẽ cực kỳ khó khăn.

3. Quy trình xử lý khi phát hiện thẻ VPBank bị trừ tiền trái phép

Nếu gặp sự cố, bạn cần hành động ngay lập tức:

1. Khóa thẻ khẩn cấp: Mở ngay ứng dụng VPBank NEO để khóa thẻ tín dụng hoặc gọi tổng đài yêu cầu khóa thẻ ngay tức khắc nhằm chặn các giao dịch tiếp theo.
2. Lập yêu cầu tra soát (Chargeback): Đến chi nhánh hoặc gửi yêu cầu khiếu nại trực tuyến trên app. Bạn sẽ cần điền mẫu đơn cam kết không thực hiện giao dịch (Fraud Affidavit).
3. Thời gian giải quyết: Thẻ quốc tế theo luật của Visa/Mastercard có thời gian tra soát thông thường từ 30 đến 45 ngày làm việc. Khi xác minh giao dịch không có mã OTP 3D Secure, VPBank sẽ đại diện cho bạn đòi lại tiền từ ngân hàng của cổng thanh toán quốc tế và hoàn trả hạn mức lại cho bạn.

Lời khuyên bảo mật: Hãy cạo/dán kín ngay 3 số CVV ở mặt sau thẻ vật lý, hạ hạn mức thanh toán online trên app xuống mức vừa đủ dùng và chỉ mở khóa hạn mức khi cần giao dịch lớn.