Gian lận vs AML & mô hình FRAML

Trong hầu hết ngân hàng, hai từ "chống gian lận" (fraud) và "chống rửa tiền" (AML) nằm ở hai phòng ban khác nhau, dùng hai hệ thống khác nhau, báo cáo lên hai lãnh đạo khác nhau, và nhiều khi... không nói chuyện với nhau. Điều đó có lý do lịch sử: đây vốn là hai bài toán khác nhau về bản chất. Nhưng những năm gần đây, ngành ngân hàng nhận ra rằng bọn tội phạm không hề phân biệt hai ranh giới đó — một vụ lừa đảo và một vụ rửa tiền thường là cùng một dòng tiền, chỉ ở hai đầu khác nhau. Từ đó ra đời FRAML (Fraud + AML): tiếp cận hợp nhất hai lĩnh vực.

Bài này giải thích: fraud và AML khác nhau chỗ nào, vì sao chúng hội tụ, các mối đe doạ nằm ở giao điểm (scam/APP fraud, tài khoản mule), khác biệt vận hành, và một nền tảng FRAML hợp nhất trông như thế nào. Đây là bài mang tính khái niệm — không có sandbox chạy thật, các đoạn text chỉ để minh hoạ tư duy.

Bài này nối tiếp Giám sát giao dịch AML và Dữ liệu & công nghệ trong AML; nếu cần bức tranh tổng thể, xem Tổng quan AML.

1. Fraud và AML — hai bài toán khác nhau về bản chất

Để hiểu vì sao chúng lại tách rời rồi mới hội tụ, phải nắm rõ điểm khác biệt gốc.

Fraud (gian lận) — có nạn nhân, tiền vốn "sạch"

Gian lận là hành vi kẻ gian chiếm đoạt tiền của một ai đó. Có một nạn nhân trực tiếp — có thể là khách hàng (bị lừa chuyển tiền, bị chiếm tài khoản) hoặc chính ngân hàng (bị lừa cấp tín dụng, bị chargeback). Điểm mấu chốt: số tiền ban đầu là tiền hợp pháp, "sạch" — nó thuộc về nạn nhân một cách chính đáng cho tới khi bị lấy đi. Mục tiêu chống gian lận là ngăn thất thoát tiền trước khi nó xảy ra, và bảo vệ khách hàng.

Ví dụ: chiếm đoạt tài khoản (account takeover), gian lận thẻ (xem Gian lận & bảo mật thẻ), lừa đảo chuyển khoản, gian lận hồ sơ vay.

AML (chống rửa tiền) — không có nạn nhân trực tiếp, tiền vốn "bẩn"

Rửa tiền thì ngược lại. Số tiền ngay từ đầu đã là tiền bẩn — là lợi nhuận của tội phạm (buôn ma tuý, tham nhũng, buôn người, trốn thuế...). Không có "nạn nhân" ngồi trong ngân hàng gọi điện báo mất tiền; nạn nhân là xã hội. Mục tiêu của rửa tiền không phải lấy tiền của ai, mà là che giấu nguồn gốc đồng tiền để nó trông như hợp pháp và có thể sử dụng công khai. Do đó AML thiên về phát hiện và báo cáo cho cơ quan quản lý (báo cáo giao dịch đáng ngờ — STR/SAR), chứ không phải "chặn trước khi mất tiền" — vì ngân hàng không mất đồng nào cả.

Bảng so sánh

Chính vì mục tiêu, quy định, thước đo và nhịp độ xử lý khác nhau, hai phòng ban này hình thành riêng biệt trong lịch sử — tạo thành các silo (ốc đảo dữ liệu và quy trình tách biệt).

2. Vì sao chúng hội tụ — FRAML

Ranh giới trên đúng về mặt định nghĩa, nhưng thực tế vận hành cho thấy hai lĩnh vực chồng lấn rất nhiều. FRAML là sự thừa nhận điều đó.

1. Tiền gian lận cần được rửa. Đây là mắt xích quan trọng nhất. Kẻ lừa đảo lấy được tiền của nạn nhân (một sự kiện fraud), nhưng ngay sau đó chúng phải di chuyển và che giấu số tiền đó qua nhiều tài khoản để rút ra an toàn (một sự kiện AML). Cùng một dòng tiền, đi qua hai thế giới. Nếu đội fraud và đội AML không nói chuyện, mỗi bên chỉ nhìn thấy nửa bức tranh.

2. Chồng lấn dữ liệu và tín hiệu. Cả hai đều nhìn vào cùng khách hàng, cùng tài khoản, cùng giao dịch, cùng thiết bị và hành vi. Một địa chỉ IP bất thường, một thiết bị lạ, một mẫu chuyển tiền "vào nhanh ra nhanh" — đều là tín hiệu có giá trị cho cả hai. Duy trì hai kho dữ liệu tách biệt là lãng phí và tạo điểm mù.

3. Cùng cần giám sát giao dịch và hành vi. Về mặt kỹ thuật, cả fraud và AML đều xây dựng trên nền giám sát giao dịch và phân tích hành vi. Việc có hai engine song song thường gây trùng lặp công sức và mâu thuẫn kết luận.

4. Giảm silo, chia sẻ mô hình, giảm chi phí và dương tính giả. Khi gộp dữ liệu và mô hình, ngân hàng thấy được bức tranh đầy đủ hơn, từ đó giảm dương tính giả (false positive) — vốn là gánh nặng lớn nhất của cả hai lĩnh vực. Các khảo sát ngành ghi nhận kỳ vọng tiết kiệm chi phí đáng kể khi hội tụ, do dùng chung hạ tầng, dữ liệu và công cụ thay vì duy trì hai bộ máy.

5. Xu hướng ngành và cơ quan quản lý. Đây là xu hướng rõ rệt. Nhiều cơ quan (ví dụ FinCEN tại Mỹ) nhấn mạnh tầm quan trọng của việc giao tiếp và phối hợp giữa bộ phận chống gian lận và bộ phận AML trong một tổ chức, phản ánh nhận thức rằng chiến lược hợp nhất hiệu quả hơn trong việc chống tội phạm tài chính nói chung.

Lưu ý: FRAML không có nghĩa là xoá bỏ sự khác biệt. Hai bên vẫn có nghĩa vụ pháp lý và thước đo riêng. FRAML là hợp nhất nền tảng và phối hợp, không phải hợp nhất trách nhiệm pháp lý.

3. Các mối đe doạ nằm ở giao điểm

Có vài loại tội phạm mà ranh giới fraud/AML tan biến hoàn toàn — chúng vừa là gian lận vừa là rửa tiền. Đây chính là nơi FRAML phát huy giá trị nhất.

3.1. Scam / APP fraud (Authorised Push Payment)

APP fraud (gian lận thanh toán được uỷ quyền) là loại lừa đảo trong đó chính chủ tài khoản tự tay chuyển tiền đi vì bị lừa. Không có ai hack tài khoản, không có mật khẩu bị đánh cắp — nạn nhân tự nguyện ấn nút chuyển. Các kịch bản phổ biến:

• Đầu tư giả: hứa hẹn lợi nhuận cao, sàn giao dịch giả (crypto, forex).
• Mạo danh (impersonation): giả danh ngân hàng, công an, cơ quan thuế yêu cầu "chuyển tiền để bảo vệ tài khoản".
• Lừa đảo tình cảm (romance scam): xây dựng quan hệ tình cảm rồi vòi tiền.
• Hoá đơn giả / mạo danh nhà cung cấp trong doanh nghiệp.

Điểm khiến APP fraud cực khó chặn: giao dịch do chính chủ thực hiện, xác thực đúng, đúng thiết bị — mọi kiểm tra gian lận truyền thống đều "pass". Kết hợp với thanh toán tức thời (instant payment), tiền rời tài khoản trong vài giây, gần như không có cửa sổ hoàn tác. Xem thêm góc độ thanh toán tại Gian lận & sàng lọc trong thanh toán.

Quy mô rất lớn và đang được quản lý chặt. Tại Anh, tổn thất APP scam năm 2024 vào khoảng £450 triệu — đã giảm nhẹ so với năm trước nhưng vẫn khổng lồ. Từ 7/10/2024, cơ quan quản lý hệ thống thanh toán Anh (PSR) áp dụng quy tắc hoàn tiền bắt buộc: ngân hàng phải bồi hoàn cho nạn nhân APP tối đa £85.000, trong vòng 5 ngày làm việc, và chia đôi chi phí giữa ngân hàng gửi và ngân hàng nhận. Chính cơ chế "chia đôi" này là cú hích lớn cho FRAML: giờ đây ngân hàng nhận cũng chịu thiệt hại tài chính nếu để mule mở tài khoản trên hệ thống của mình — biến bài toán AML (tài khoản mule) thành bài toán có "tổn thất fraud" rõ ràng.

3.2. Mule accounts — tài khoản trung gian

Tài khoản mule (money mule) là tài khoản được dùng để nhận rồi chuyển tiếp tiền bẩn hoặc tiền gian lận, nhằm tạo khoảng cách giữa tội phạm và số tiền. Đây chính là mắt nối giữa fraud (tiền vừa bị lừa) và AML (tiền cần được rửa). Tiền scam từ nạn nhân đổ vào tài khoản mule đầu tiên, rồi phân tán qua một mạng lưới mule để "rửa" dần.

Ngành thường phân ba loại mule:

• Complicit mule (đồng phạm chủ động): cố ý mở tài khoản để phục vụ rửa tiền, biết rõ là bất hợp pháp.
• Recruited mule (bị tuyển mộ): chủ tài khoản có sẵn, bị dụ dỗ hoặc ép tham gia, hiểu một phần tính bất hợp pháp.
• Unwitting mule (vô tình): nạn nhân tin vào câu chuyện bịa (ví dụ "công việc chuyển tiền hộ nhận hoa hồng") mà không biết mình đang phạm tội.

Tuyển mộ money mule thường qua mạng xã hội, tin tuyển dụng giả ("việc nhẹ lương cao, chỉ cần nhận và chuyển tiền hưởng hoa hồng"), hoặc thông qua chiêu trò tình cảm. Đối tượng dễ bị nhắm tới là người trẻ và người khó khăn tài chính.

Dấu hiệu phát hiện mule:

• Mở tài khoản nhanh và gần như không hoạt động, rồi bỗng có một ngày nhận khoản tiền lớn.
• Vào nhanh — ra nhanh (rapid in-out): tiền vào rồi được rút/chuyển đi gần như ngay lập tức, giữ số dư gần 0.
• Đăng nhập kiểm tra tài khoản liên tục trước ngày nhận tiền (chủ mule "canh" tiền về).
• Mạng lưới (network): nhiều tài khoản mule liên kết, cùng nhận tiền từ một nguồn hoặc chuyển vòng cho nhau — chỉ lộ ra khi phân tích graph (đồ thị quan hệ). Kỹ thuật này được nói kỹ trong Dữ liệu & công nghệ AML.

Lưu ý: mule recruited và unwitting có hành vi tinh vi, ít lộ hơn complicit mule, nên cần các mô hình phát hiện riêng — dựa vào thay đổi bất thường trong lịch sử giao dịch và tín dụng của tài khoản vốn "bình thường".

3.3. Account takeover & social engineering

Khác với APP fraud (chính chủ tự chuyển), account takeover (ATO) là kẻ gian chiếm quyền kiểm soát tài khoản (qua lộ mật khẩu, SIM swap, malware) rồi tự thực hiện giao dịch. Social engineering (thao túng tâm lý) là chất keo chung: dù là APP, ATO hay tuyển mule, kẻ xấu đều thao túng con người. Dòng tiền sau đó vẫn phải qua mule để rửa — nên ATO cũng rơi vào vùng FRAML.

4. Khác biệt vận hành — vì sao hợp nhất không đơn giản

Dù hội tụ về dữ liệu, hai lĩnh vực vẫn khác nhau ở nhịp độ xử lý, và FRAML phải dung hoà điều này:

• Fraud thường là thời gian thực. Mục tiêu là chặn giao dịch trước khi tiền rời đi. Ngân sách xử lý tính bằng mili-giây (nhất là với instant payment). Sai lầm ở đây = mất tiền thật.
• AML thiên về hậu kiểm. Giám sát chạy theo lô (batch), phân tích mẫu hình nhiều ngày/tuần, rồi sinh cảnh báo và báo cáo. Đầu ra là hồ sơ điều tra và STR, không phải chặn tức thời.

FRAML dung hoà bằng cách: giữ lớp quyết định thời gian thực cho các tín hiệu fraud cấp bách (chặn/giữ giao dịch), đồng thời nuôi dữ liệu đó vào lớp phân tích hậu kiểm phục vụ AML và điều tra sâu. Một cảnh báo fraud thời gian thực về tài khoản mule có thể trở thành đầu vào cho một hồ sơ AML; ngược lại, mẫu hình rửa tiền phát hiện qua giám sát có thể tinh chỉnh luật chặn fraud thời gian thực.

5. Nền tảng hợp nhất — FRAML trông như thế nào

Một triển khai FRAML điển hình gộp bốn lớp:

1. Dữ liệu dùng chung: hồ sơ khách hàng (từ KYC), lịch sử giao dịch, dữ liệu thiết bị/hành vi (device fingerprint, hành vi gõ phím, vị trí), dữ liệu mạng lưới quan hệ — tất cả trong một kho thống nhất, không còn hai bản sao.
2. Mô hình / engine chung: một tập luật và mô hình ML chạy trên cùng nguồn dữ liệu, phục vụ cả tính điểm fraud lẫn tính điểm rửa tiền, có thể chia sẻ đặc trưng (feature) giữa hai bài toán.
3. Case management chung: điều tra viên fraud và AML nhìn thấy cùng một hồ sơ khách hàng, cùng lịch sử cảnh báo, có thể liên kết một vụ scam với một hồ sơ rửa tiền và ngược lại.
4. Báo cáo & governance: vẫn tách theo yêu cầu pháp lý (fraud loss report vs STR/SAR) nhưng lấy từ nền dữ liệu chung.

(minh hoạ) Luồng tín hiệu trong nền tảng FRAML hợp nhất

  Giao dịch đến
       |
       v
  [Lớp quyết định thời gian thực]  <-- tín hiệu fraud (thiết bị, hành vi, tốc độ)
       |  cho đi / giữ / chặn (ms)
       v
  [Kho dữ liệu hợp nhất: KH + giao dịch + thiết bị + graph]
       |
       +--> [Engine chấm điểm chung: fraud score + AML score]
       |
       +--> [Phân tích graph: phát hiện mạng mule]
       |
       v
  [Case management chung]
       |          \
       v           v
  Fraud case     AML case --> STR/SAR gửi cơ quan quản lý

Lợi ích: bức tranh 360 độ về khách hàng, giảm dương tính giả (một cảnh báo được xác nhận ở lĩnh vực này giúp loại nhiễu ở lĩnh vực kia), điều tra nhanh và sâu hơn, tiết kiệm chi phí hạ tầng và nhân lực.

Thách thức: (1) Quy định khác nhau — dữ liệu thu thập cho mục đích AML có thể bị giới hạn khi dùng cho mục đích fraud và ngược lại. (2) Quyền riêng tư / bảo vệ dữ liệu — gộp mọi dữ liệu khách hàng vào một chỗ làm tăng nghĩa vụ tuân thủ GDPR/luật dữ liệu và rủi ro nếu rò rỉ. (3) Văn hoá tổ chức — hợp nhất hai đội vốn có KPI, ngôn ngữ và cấp báo cáo khác nhau là bài toán con người, không chỉ công nghệ. (4) Nghĩa vụ pháp lý vẫn tách biệt — không thể "trộn" trách nhiệm báo cáo.

6. Use case thực tế — mạng mule nhận tiền scam rồi rửa

Kịch bản (mô phỏng, tổng hợp từ các mẫu hình điển hình):

Giai đoạn fraud. Bà H, 58 tuổi, nhận cuộc gọi giả danh "công an điều tra tài khoản của bà liên quan rửa tiền". Bị đe doạ, bà chuyển 500 triệu VND qua instant payment vào một tài khoản "để xác minh". Đây là APP fraud — bà tự tay chuyển, xác thực đúng, đúng thiết bị. Hệ thống fraud của ngân hàng gửi thấy: giao dịch hợp lệ về mặt xác thực, nhưng bất thường về hành vi (số tiền lớn bất thường, người nhận mới, thực hiện ngay sau cuộc gọi dài). Lớp quyết định thời gian thực giữ giao dịch 30 giây để xác nhận — nhưng bà H, đang bị thao túng, khẳng định mình muốn chuyển. Tiền đi.

Giai đoạn rửa (AML). Tài khoản nhận là một mule complicit mở 3 tuần trước, gần như không hoạt động cho tới ngày này. Ngay khi 500 triệu về, trong vòng vài phút nó được xé nhỏ chuyển sang 6 tài khoản khác, mỗi tài khoản lại chuyển tiếp — mẫu hình vào nhanh ra nhanh kinh điển.

FRAML phát hiện. Trong mô hình silo cũ: đội fraud chỉ thấy một giao dịch của bà H "đã được chính chủ xác nhận" → đóng hồ sơ. Đội AML thấy vài tài khoản in-out nhanh nhưng thiếu ngữ cảnh "đây là tiền scam" → cảnh báo yếu, dễ bị coi là false positive.

Trong nền tảng FRAML hợp nhất: cảnh báo fraud của bà H và các tài khoản in-out được nối vào cùng một hồ sơ. Phân tích graph lộ ra mạng lưới: tài khoản nhận đầu tiên và 6 tài khoản tầng hai đều mở gần thời điểm, cùng device fingerprint ở khâu đăng ký, cùng nhận tiền từ nhiều nạn nhân khác. Đội hợp nhất:

1. Đóng băng mạng lưới tài khoản mule (giảm thất thoát cho các nạn nhân khác đang trong quá trình chuyển).
2. Nhận diện đây là điểm hội tụ fraud + AML, ưu tiên điều tra cao.
3. Lập STR/SAR với ngữ cảnh đầy đủ (scam nguồn + mạng rửa tiền) — báo cáo chất lượng cao hơn hẳn.
4. Kích hoạt cơ chế hoàn tiền / truy hồi cho bà H và các nạn nhân, đồng thời rút bài học tinh chỉnh mô hình phát hiện mule.

Điểm mấu chốt: chỉ khi nối được tín hiệu fraud (scam của bà H) với tín hiệu AML (mạng mule), bức tranh mới hoàn chỉnh. Đó chính là lý do tồn tại của FRAML.

Ghi nhớ

• Fraud vs AML khác nhau về bản chất: fraud có nạn nhân trực tiếp và tiền vốn sạch bị chiếm đoạt; AML không có nạn nhân trực tiếp và tiền vốn bẩn cần che giấu. Mục tiêu, quy định, đội ngũ, thước đo truyền thống khác nhau.
• FRAML = hội tụ hai lĩnh vực vì chúng chồng lấn: tiền gian lận luôn cần được rửa, cùng dữ liệu/tín hiệu/khách hàng, cùng nền giám sát giao dịch. Lợi ích: giảm silo, chia sẻ dữ liệu & mô hình, giảm chi phí và giảm dương tính giả.
• Ba mối đe doạ ở giao điểm: APP fraud/scam (chính chủ tự chuyển, cực khó chặn, nối instant payment); tài khoản mule (mắt nối fraud↔AML, phát hiện qua mở nhanh + in-out + graph); và account takeover/social engineering.
• Khác biệt vận hành: fraud thiên thời gian thực (chặn trước khi mất tiền), AML thiên hậu kiểm và báo cáo — FRAML dung hoà bằng lớp quyết định real-time nuôi vào lớp phân tích hậu kiểm.
• Nền tảng hợp nhất gộp dữ liệu + engine ML + case management, nhưng vẫn tách báo cáo pháp lý; thách thức chính là quy định khác nhau, quyền riêng tư và văn hoá tổ chức.
• Bọn tội phạm không phân biệt fraud và AML — ngân hàng cũng không nên.

Đọc tiếp: Giám sát giao dịch AML · Dữ liệu & công nghệ AML · Gian lận & bảo mật thẻ · Gian lận & sàng lọc trong thanh toán · Thanh toán tức thời & QR · Tổng quan AML