Tại sao cảnh báo lại đến vào lúc này
Tội phạm mạng đã bắt đầu vũ khí hóa các công cụ AI tạo sinh và học máy để tạo ra các email lừa đảo tinh vi hơn, tự động hóa việc quét lỗ hổng và né tránh các hệ thống phát hiện truyền thống. Đánh giá của ECB, được chia sẻ với các ngân hàng trong những tuần gần đây, lưu ý rằng các cuộc tấn công này đang diễn ra nhanh hơn và với ít dấu hiệu nhận biết hơn. Một thông tin xác thực bị xâm phạm duy nhất có thể leo thang thành một vụ vi phạm xuyên biên giới trước khi đội ngũ an ninh của ngân hàng kịp phát hiện hành vi xâm nhập. Thông điệp của ngân hàng trung ương rất thẳng thắn: các phương pháp cũ sẽ không còn hiệu quả.
Thời điểm này không phải ngẫu nhiên. Các ngân hàng châu Âu đã phải vật lộn với các quy định vốn chặt chẽ hơn và nền kinh tế trì trệ. Việc thêm một cuộc chạy đua vũ trang an ninh mạng vào hỗn hợp này gây áp lực lên ngân sách, nhưng ECB đang làm rõ rằng đầu tư dưới mức cần thiết không còn là một lựa chọn. Các tài liệu nội bộ của ECB được GFdaily xem xét mô tả môi trường đe dọa hiện tại là “chưa từng có về tốc độ và phạm vi”, mặc dù ngân hàng từ chối nói rõ về các sự cố cụ thể đã kích hoạt cảnh báo.
ECB yêu cầu điều gì
Chỉ thị này không đặt ra một mục tiêu chi tiêu cụ thể — không phải tỷ lệ phần trăm doanh thu hay một số tiền euro cố định. Thay vào đó, nó yêu cầu mỗi ngân hàng thực hiện một đánh giá rủi ro mới tập trung vào các vectơ tấn công do AI hỗ trợ và trình bày một kế hoạch đầu tư nhiều năm. Các kế hoạch đó phải thể hiện các bước cụ thể: tuyển dụng nhân viên chuyên môn, nâng cấp phần mềm phát hiện mối đe dọa và thực hiện các mô phỏng nhóm đỏ bắt chước các cuộc xâm nhập do AI điều khiển. Các ngân hàng chậm trễ có thể sẽ bị kiểm tra tại chỗ thường xuyên hơn và trong những trường hợp nghiêm trọng, phải tăng dự trữ vốn liên quan đến rủi ro mạng.
ECB cũng muốn các tổ chức cho vay chia sẻ thông tin tình báo về mối đe dọa một cách tích cực hơn. “Không ngân hàng nào còn là một hòn đảo nữa,” chỉ thị nêu rõ. “Hợp tác về các mô hình tấn công và công cụ phòng thủ là điều cần thiết cho toàn bộ hệ thống.” Một số ngân hàng lớn trong khu vực đồng euro đã bắt đầu tổng hợp dữ liệu thông qua một nền tảng thí điểm do Cơ quan Ngân hàng châu Âu vận hành và ECB kỳ vọng nỗ lực đó sẽ mở rộng.
Bức tranh quy định rộng hơn
Sự thúc đẩy này từ Frankfurt phù hợp với xu hướng quy định rộng hơn. Đạo luật về Khả năng phục hồi hoạt động kỹ thuật số của EU (DORA), có hiệu lực từ tháng 1 năm 2025, đã yêu cầu các công ty tài chính kiểm tra khả năng phòng thủ mạng một cách thường xuyên và báo cáo các sự cố lớn trong vòng vài giờ. Lời kêu gọi mới nhất của ECB đi xa hơn bằng cách tập trung cụ thể vào khía cạnh AI. Đây là dấu hiệu cho thấy các cơ quan quản lý coi công nghệ này là một mối đe dọa riêng biệt, chứ không chỉ là một mục khác trong danh sách kiểm tra rủi ro.
Các ngân hàng nhỏ hơn, thường thiếu nguồn lực tài chính dồi dào so với các đối thủ lớn hơn, phải đối mặt với thách thức lớn nhất. ECB đã thừa nhận sự chênh lệch đó và đang xem xét liệu có nên cung cấp các dịch vụ an ninh mạng dùng chung hoặc phối hợp mua sắm các công cụ phòng thủ hay không. Chưa có kế hoạch cụ thể nào được công bố, nhưng hội đồng quản trị của ngân hàng
