BaoMatVN - Nền Tảng Bảo Mật Tài Khoản Cá Nhân

Tóm tắt

Việt Nam đứng đầu Đông Nam Á với hơn 8,4 triệu vụ tấn công web trong năm 2025, trong đó mã độc mới đã vượt mặt cả xác thực hai lớp (2FA) truyền thống. Đồng thời, hàng triệu tài khoản ngân hàng và mạng xã hội của người dùng Việt Nam bị rò rỉ qua các vụ tấn công data breach (vụ Grab được ghi nhận trên ZNews là một ví dụ). Thiệt hại trung bình từ 200–500 triệu VNĐ mỗi vụ lừa đảo trực tuyến. Alpha Chain Ltd. đề xuất BaoMatVN — một nền tảng bảo mật cá nhân tiếng Việt tích hợp dashboard theo dõi tài khoản, trình quản lý 2FA nâng cao kháng SIM swap, giám sát dark web, kiểm tra phishing real-time, và chấm điểm bảo mật cá nhân — tất cả trong một ứng dụng tiếng Việt được thiết kế cho người dùng không có chuyên môn an ninh mạng.

Định nghĩa vấn đề

Phát biểu vấn đề

Người dùng internet Việt Nam đối mặt với một hệ sinh thái mối đe dọa phức tạp và gia tăng nhanh chóng. Mã độc tấn công web đứng đầu Đông Nam Á (8,4 triệu vụ/năm theo ICTNews), lừa đảo trực tuyến xảy ra với tần suất ~23.000 vụ/ngày, và mã độc mới đã vượt mặt cả xác thực hai lớp qua tin nhắn SMS. Trong khi đó, phần lớn người dùng Việt Nam không có công cụ bảo mật cá nhân hóa tiếng Việt: các giải pháp quốc tế như Norton, Kaspersky, hay Google Authenticator không được tối ưu cho các vector tấn công đặc thù của Việt Nam (Zalo, MoMo, VNPay, VietinBank).

Định lượng thiệt hại

• ~23.000 vụ lừa đảo trực tuyến/ngày, với thiệt hại trung bình 200–500 triệu VNĐ/vụ cho cá nhân và doanh nghiệp nhỏ (ước tính)
• Mã độc vượt 2FA SMS — tin nhắn xác thực hai lớp qua SMS có thể bị chặn hoặc chuyển hướng qua lỗ hổng SS7 (ước tính)
• 70 triệu người dùng internet tại Việt Nam, trong đó chỉ <5% sử dụng bất kỳ công cụ bảo mật cá nhân nào (ước tính)
• Không có giải pháp Việt Nam nào cung cấp full-stack security (2FA + dark web monitoring + phishing check + security score) trong một ứng dụng tiếng Việt (ước tính)

Phạm vi

Trong phạm vi:

• Trình quản lý 2FA: tạo và lưu trữ TOTP codes, hỗ trợ kháng SIM swap qua TOTP hardware key.
• Kiểm tra phishing real-time: extension trình duyệt và kiểm tra URL khi người dùng nhập liên kết.
• Giám sát dark web: theo dõi email/SĐT xem có xuất hiện trong các vụ rò rỉ dữ liệu.
• Dashboard bảo mật: hiển thị tất cả tài khoản đã đăng ký, trạng thái bảo mật, lịch sử đăng nhập bất thường.
• Chấm điểm bảo mật: tính điểm tổng hợp từ 0-100 dựa trên các yếu tố bảo mật.
• Security alert: thông báo push khi phát hiện mối đe dọa.

Ngoài phạm vi:

• Diệt virus/malware trên thiết bị.
• VPN dịch vụ (tích hợp partner VPN nhưng không tự vận hành).
• Bảo mật doanh nghiệp.

Mô hình vấn đề

Mô hình tính điểm bảo mật cá nhân:

$S_{mathrm{sec}} = \sum_{i=1}^{n} w_i \cdot f_i$

Các biến:

• $S_{mathrm{sec}}$ — điểm bảo mật tổng hợp (0-100)
• $f_i \in \{0, 1\}$ — yếu tố bảo mật thứ $i$ có được bật không
• $w_i$ — trọng số của yếu tố thứ $i$ (tổng $\sum w_i = 100$)

Trọng số các yếu tố:

Yếu tố	Trọng số $w_i$
2FA được bật trên tài khoản chính (ngân hàng, email, MXH)	30
Email không xuất hiện trong dark web leak	20
Mật khẩu độc nhất cho mỗi tài khoản	20
Không có đăng nhập bất thường trong 90 ngày	15
Phishing extension đã cài đặt và active	15

Mục tiêu: $\max S_{mathrm{sec}} \quad \text{s.t.} \quad f_i \in \{0, 1\}, \forall i$

Tối đa hóa điểm bảo mật $S_{mathrm{sec}}$ với ràng buộc mỗi yếu tố bảo mật chỉ có trạng thái bật hoặc tắt.

Giải pháp đề xuất

Alpha Chain Ltd. đề xuất BaoMatVN — một ứng dụng bảo mật cá nhân tiếng Việt tích hợp toàn diện, hoạt động theo nguyên tắc: người dùng thấy rõ tình trạng bảo mật của mình, được cảnh báo kịp thời khi có mối đe dọa, và được hướng dẫn hành động cụ thể để cải thiện.

Core features:

1. Trình quản lý 2FA nâng cao: BaoMatVN đóng vai trò trình tạo TOTP (Time-based One-Time Password) chuẩn RFC 6238, tương thích với mọi dịch vụ hỗ trợ Google Authenticator. Khác với Google Authenticator thuần túy, BaoMatVN bổ sung: backup mã hồi phục được mã hóa cloud, cảnh báo khi mã sắp hết hạn (5 giây cuối), và tích hợp kháng SIM swap qua YubiKey/hardware key support.

2. Kiểm tra phishing real-time: Extension trình duyệt (Chrome, Cốc Cốc, Edge) kiểm tra mọi URL mà người dùng nhấp hoặc nhập. So sánh với database phishing cập nhật hàng giờ từ các nguồn: PhishTank, Google Safe Browsing, và database nội bộ theo dõi các website lừa đảo nhắm vào người Việt (giả mạo VietinBank, MoMo, VNPay).

3. Giám sát dark web: Người dùng đăng ký email và số điện thoại để theo dõi. Hệ thống quét dark web mỗi 24 giờ; nếu phát hiện thông tin xuất hiện trong vụ rò rỉ, gửi cảnh báo ngay với chi tiết: vụ rò rỉ nào, dữ liệu nào bị lộ (email, mật khẩu, SĐT, CCCD), và hành động khuyến nghị.

4. Dashboard bảo mật tổng hợp: Màn hình chính hiển thị: điểm bảo mật (0-100) với biểu đồ xu hướng theo tuần/tháng, số tài khoản đã đăng ký + trạng thái 2FA, số cảnh báo pending, thông báo đăng nhập bất thường gần đây.

5. Kiểm tra đăng nhập bất thường: Integration với API Have I Been Pwned và Chia sẻ thông tin ngân hàng Việt Nam (VBSP) để phát hiện đăng nhập từ thiết bị/location lạ. Gửi cảnh báo push kèm hành động: xác nhận đó là bạn hay báo cáo.

6. Chuỗi hướng dẫn bảo mật: Series bài viết ngắn bằng tiếng Việt giải thích các mối đe dọa phổ biến (lừa đảo Zalo, giả mạo VietinBank SMS, SIM swap attack) và cách phòng tránh.

Các quyết định thiết kế chính

• Quyết định 1 — Không lưu mật khẩu dạng plaintext — chỉ lưu TOTP secrets: BaoMatVN không hoạt động như trình quản lý mật khẩu đầy đủ. App chỉ lưu trữ TOTP secrets (đã mã hóa AES-256) để tạo mã 2FA. Điều này giảm thiểu rủi ro: nếu app bị tấn công, kẻ tấn công không có danh sách mật khẩu mà chỉ có mã TOTP tạm thời (hết hạn sau 30 giây).

• Quyết định 2 — Database phishing tập trung vào vector tấn công Việt Nam: Ngoài PhishTank và Safe Browsing chung, BaoMatVN xây dựng database nội bộ theo dõi các website giả mạo cụ thể: MoMo fake, VietinBank fake, VNPay fake, Zalo login fake — là các vector tấn công phổ biến nhất nhắm vào người dùng Việt Nam mà các công cụ quốc tế phản ánh chậm.

• Quyết định 3 — Free tier đủ dùng cho cá nhân thông thường: Phiên bản miễn phí bao gồm: 2FA manager (tối đa 5 tài khoản), kiểm tra phishing (extension), và chấm điểm bảo mật cơ bản. Phiên bản Premium (49.000 VNĐ/tháng) mở khóa: dark web monitoring (không giới hạn email/SĐT), báo cáo đăng nhập bất thường chi tiết, VPN partner, và không giới hạn số tài khoản 2FA.

Tiêu chí thành công

Tiêu chí	Mục tiêu	Phương pháp đo lường
Điểm bảo mật trung bình của người dùng sau 30 ngày	≥65/100	Trung bình cộng $S_{mathrm{sec}}$ của tất cả user sau 30 ngày sử dụng
Thời gian phát hiện phishing URL	≤2 giây	Đo từ nhấp URL đến khi cảnh báo hiển thị
Tỷ lệ cảnh báo dark web được action	≥30%	Số cảnh báo mà user đổi mật khẩu / tổng cảnh báo
Số người dùng đăng ký trong tháng đầu	≥10.000	Số lượt cài đặt + đăng ký

Luồng hệ thống

Thuật toán cốt lõi

Mô tả thuật toán

Thuật toán SecurityScoreEngine tính điểm bảo mật tổng hợp:

Bước 1 — Thu thập dữ liệu:

• Truy vấn dark web scanner với email và SĐT đã đăng ký → có leak: $f_{mathrm{leak}} = 1$, không: $f_{mathrm{leak}} = 0$.
• Đếm số tài khoản đã thêm có 2FA bật → tỷ lệ $r_{mathrm{2FA}}$.
• Kiểm tra password uniqueness → $f_{mathrm{unique}} = 1$ nếu 100% unique.
• Kiểm tra lịch sử đăng nhập → có bất thường trong 90 ngày: $f_{mathrm{abnormal}} = 1$.

Bước 2 — Tính điểm: $S_{mathrm{sec}} = 30 \cdot \mathbb{1}(r_{mathrm{2FA}} \geq 0.8) + 20 \cdot \mathbb{1}(f_{mathrm{leak}} = 0) + 20 \cdot \mathbb{1}(f_{mathrm{unique}} = 1) + 15 \cdot \mathbb{1}(f_{mathrm{abnormal}} = 0) + 15 \cdot \mathbb{1}(\text{extension\_installed})$

Bước 3 — Xác định yếu tố yếu nhất: Sắp xếp các yếu tố theo $w_i$ giảm dần, trình bày yếu tố có trọng số lớn nhất chưa đạt đầu tiên trong dashboard.

Công thức TOTP

Mã TOTP được tạo theo chuẩn RFC 6238:

$\text{TOTP} = \text{HOTP}(K, \lfloor \frac{T}{30} \rfloor)$

Trong đó $K$ là secret key đã thêm vào app (lưu encrypted), $T$ là timestamp Unix hiện tại, hàm HOTP sử dụng HMAC-SHA1. Mã 6 chữ số, hết hạn sau 30 giây, hỗ trợ độ lệch $\pm 1$ bước (tổng cộng 90 giây window).

Độ phức tạp

Chỉ số	Giá trị
Độ phức tạp thời gian	$O(1)$ — tính TOTP, $O(n)$ — quét dark web với $n$ email
Độ phức tạp không gian	$O(m)$ — lưu $m$ tài khoản đã thêm

Kiến trúc hệ thống

+------------------------------------------------------------+
|                    Lớp Người Dùng (UI)                    |
|  +------------------+  +------------------+  +-------------+ |
|  | Dashboard bảo mật    |  | Màn hình cài đặt 2FA  |  | Extension popup | |
|  | Điểm + xu hướng     |  | Thêm tài khoản, quét |  | Kiểm tra URL   | |
|  | Cảnh báo pending     |  | QR code TOTP         |  | Cảnh báo ngay   | |
|  +------------------+  +------------------+  +-------------+  |
+------------------------------------------------------------+
                              |
                              v
+------------------------------------------------------------+
|                    Lớp Dịch Vụ Nghiệp Vụ                   |
|  +------------------+  +----------------+  +----------------+  |
|  | TOTPGenerator      |  | SecurityScore  |  | DarkWebScanner |  |
|  | Tạo mã 2FA        |  | Engine         |  | Quét dark web  |  |
|  | RFC 6238          |  | Tính điểm 0-100|  | với email/SĐT  |  |
|  +------------------+  +----------------+  +----------------+  |
|  +------------------+  +----------------+  +----------------+  |
|  |PhishingDetector   |  |AlertManager    |  |LeakDB Updater |  |
|  |Kiểm tra URL vs   |  |Quản lý cảnh    |  |Cập nhật DB    |  |
|  |database phishing  |  |báoo push/SMS   |  |tấn công nội bộ|  |
|  +------------------+  +----------------+  +----------------+  |
+------------------------------------------------------------+
                              |
                              v
+------------------------------------------------------------+
|                    Lớp Tích Hợp Ngoài                       |
|  +------------------+  +----------------+  +---------------+  |
|  | Have I Been Pwned|  | PhishTank API  |  | Safe Browsing  |   |
|  | API kiểm tra leak |  | Cập nhật URL   |  | Google API    |   |
|  | email/SĐT        |  | phishing       |  | Kiểm tra URL  |   |
|  +------------------+  +----------------+  +---------------+  |
|  +------------------+  +----------------+  +---------------+  |
|  | VPN Partner API   |  | Notification   |  | Hardware Key  |   |
|  | Tích hợp VPN     |  | FCM / APNs    |  | YubiKey OTP  |   |
|  | (ExpressVPN...)  |  |               |  | Support       |   |
|  +------------------+  +----------------+  +---------------+  |
+------------------------------------------------------------+
                              |
                              v
+------------------------------------------------------------+
|                    Lớp Dữ Liệu                              |
|  +---------------------------+  +-------------------------+  |
|  | Encrypted DB (SQLCipher)    |  | PostgreSQL               |  |
|  | TOTP secrets (AES-256)    |  | User accounts, alerts,  |  |
|  | Local on device            |  | phishing DB, leak records|  |
|  +---------------------------+  +-------------------------+  |
+------------------------------------------------------------+

Trường hợp sử dụng

Trường hợp sử dụng 1: Người dùng nhận cảnh báo email bị rò rỉ

Các tác viên: Người dùng BaoMatVN, hệ thống dark web scanner.

Tiên điều kiện: Người dùng đã đăng ký 2 email và 1 số điện thoại để theo dõi trên BaoMatVN.

Kích hoạt: Dark web scanner phát hiện email "user@gmail.com" xuất hiện trong vụ rò rỉ dữ liệu từ một diễn đàn dark web.

Các bước:

1. Dark Web Scanner gửi alert → Notification Service → Push notification đến điện thoại user.
2. User mở BaoMatVN, xem dashboard: điểm bảo mật giảm từ 78 → 53 (do leak phát hiện).
3. User nhấn vào cảnh báo, xem chi tiết: vụ rò rỉ "Database #20240315", dữ liệu bị lộ: email + mật khẩu (hashed), ngày xảy ra: 15/3/2024.
4. App hiển thị hành động khuyến nghị: "Đổi mật khẩu Gmail ngay lập tức. Bật 2FA cho Gmail nếu chưa bật."
5. User nhấn "Bật 2FA" → app mở hướng dẫn từng bước bật 2FA trên Gmail.
6. User hoàn thành: điểm bảo mật tăng trở lại 73.

Sau điều kiện: Mật khẩu đã đổi, 2FA đã bật trên Gmail. Cảnh báo được đánh dấu là "Đã xử lý."

Kết quả mong đợi: User nhận cảnh báo trong vòng 24 giờ từ khi leak được phát hiện, thực hiện hành động trong vòng 72 giờ.

Trường hợp sử dụng 2: Extension chặn trang giả mạo VietinBank

Các tác viên: Người dùng BaoMatVN, extension trình duyệt.

Tiên điều kiện: User đã cài extension BaoMatVN trên Chrome, extension đã active.

Kích hoạt: User nhấn một link trong email được cho là từ VietinBank, nhưng link thực sự là "vietinbank-login.fake-domain.com".

Các bước:

1. Extension kiểm tra URL qua database nội bộ (chứa fake domain "vietinbank-login.fake-domain.com") → phát hiện: MATCH với pattern phishing VietinBank.
2. Extension chặn trang, hiển thị overlay cảnh báo: "TRANG GIẢ MẠO - Đây không phải website chính thức của VietinBank. Link này nhắm vào đánh cắp thông tin đăng nhập ngân hàng của bạn."
3. Overlay hiển thị thông tin chi tiết: domain gốc (fake-domain.com), domain chính thức (vietinbank.com.vn), hướng dẫn truy cập đúng.
4. User đóng overlay, quay lại email, nhận ra đó là email lừa đảo.

Sau điều kiện: User không nhập thông tin vào trang giả mạo. Incident được ghi nhận để cập nhật database phishing.

Kết quả mong đợi: Trang giả mạo bị chặn trước khi user nhập bất kỳ thông tin nào. Phản hồi trong ≤2 giây từ khi nhấp link.

Mô hình kinh doanh

Mô hình doanh thu

$R = \sum_{i=1}^{n} (p_i \times q_i) + R_{mathrm{affiliate}} - C_{mathrm{fixed}} - C_{mathrm{var}}(q)$

Các thành phần:

• $p_1 = 49.000$ VNĐ/tháng — gói Premium: dark web monitoring không giới hạn, báo cáo đăng nhập chi tiết, VPN partner, không giới hạn 2FA
• $p_2 = 99.000$ VNĐ/tháng — gói Family: 5 người dùng, shared vault, family security dashboard
• $R_{mathrm{affiliate}}$ — hoa hồng affiliate từ partner VPN (20-30% doanh thu partner)
• $q_i$ — số lượng subscriber gói $i$

Cấu trúc chi phí

Loại chi phí	Mô tả	Số tiền (ước tính)
Hạ tầng cloud (AWS/GCP)	Server, database, CDN	10.000.000 đ/tháng
PhishTank API	Truy vấn database phishing	5.000.000 đ/tháng
Have I Been Pwned API	Quét dark web	8.000.000 đ/tháng
Push notification (FCM/APNs)	Gửi cảnh báo	2.000.000 đ/tháng
Team vận hành (1 kỹ sư + 1 CSKH)	Bảo trì, hỗ trợ	40.000.000 đ/tháng
Marketing	Chiến dịch ASO + quảng cáo Google	15.000.000 đ/tháng

Phân tích điểm hòa vốn

Với $p_{mathrm{avg}} = 49.000$ VNĐ/tháng, $C_{mathrm{fixed}} = 80.000.000$ đ/tháng, $c_{mathrm{unit}} = 2.000$ đ/tháng:

$N_{mathrm{hoa\_von}} = \frac{80.000.000}{49.000 - 2.000} \approx 1.702$

Số subscriber cần thiết mỗi tháng là khoảng 1.702.

Kế hoạch MVP

Giai đoạn 1: 2FA Manager & Dashboard (Tuần 1–4, 2026-04-17 → 2026-05-14)

• Thiết lập hạ tầng cloud, database, đăng ký developer account
• Module TOTP Generator (RFC 6238) với backup mã hồi phục
• Dashboard bảo mật: điểm + chi tiết từng yếu tố
• Module SecurityScoreEngine
• Đăng ký App Store / Google Play

Tiêu chí kết thúc: App chạy trên simulator, TOTP tương thích với Google Authenticator (test với 10 dịch vụ khác nhau).

Giai đoạn 2: Phishing & Dark Web (Tuần 5–8, 2026-05-15 → 2026-06-11)

• Extension trình duyệt (Chrome, Cốc Cốc) với database phishing nội bộ
• Module Dark Web Scanner (tích hợp Have I Been Pwned)
• Push notification system
• Beta test với 100 user

Tiêu chí kết thúc: Phishing extension phản hồi ≤2 giây, dark web scan hoàn thành trong ≤5 phút cho 3 email.

Giai đoạn 3: Mở rộng & Launch (Tuần 9–12, 2026-06-12 → 2026-07-09)

• Database phishing nội bộ: 100+ pattern phishing nhắm vào người Việt
• Integration VPN partner
• Module báo cáo đăng nhập bất thường
• Public launch
• Kênh hỗ trợ (email, chat)

Tiêu chí kết thúc: Đạt 10.000 lượt cài đặt trong tháng đầu tiên, 500 subscriber trả phí.

Các yêu cầu

Yêu cầu 1: BaoMatVN phải tạo mã TOTP theo chuẩn RFC 6238, tương thích 100% với mọi dịch vụ hỗ trợ Google Authenticator. Mã phải đồng bộ với thời gian thiết bị (NTP sync mỗi 24 giờ), hỗ trợ độ lệch $\pm 1$ bước (tổng 90 giây). Khi user quét QR code setup 2FA từ bất kỳ dịch vụ nào, mã TOTP phải hoạt động ngay lần đầu.

Yêu cầu 2: BaoMatVN phải phát hiện và chặn trang phishing nhắm vào người Việt Nam (bao gồm giả mạo MoMo, VietinBank, Vietcombank, VNPay, Zalo) với độ nhạy (recall) ≥90% và độ đặc hiệu (specificity) ≥95%, được đo trên tập test gồm 500 trang phishing thực và 5.000 trang hợp lệ.

Yêu cầu 3: BaoMatVN phải gửi cảnh báo dark web trong vòng 24 giờ kể từ khi phát hiện thông tin user (email/SĐT) xuất hiện trong vụ rò rỉ mới, với nội dung cảnh báo bao gồm: vụ rò rỉ nào, dữ liệu nào bị lộ, và hành động khuyến nghị cụ thể theo thứ tự ưu tiên.

Yêu cầu 4: BaoMatVN phải tính điểm bảo mật $S_{mathrm{sec}}$ với trọng số cố định: 2FA (30 điểm), dark web leak (20 điểm), password uniqueness (20 điểm), đăng nhập bất thường (15 điểm), extension installed (15 điểm). Điểm phải được cập nhật trong vòng 5 phút sau khi user thực hiện thay đổi bảo mật (thêm 2FA, đổi mật khẩu).

Claims

Claim 1: ACIL cho phép người dùng internet Việt Nam (70 triệu người, <5% sử dụng công cụ bảo mật cá nhân) nâng điểm bảo mật $S_{mathrm{sec}}$ trung bình từ <30/100 lên ≥65/100 sau 30 ngày sử dụng, thông qua hệ thống 5 yếu tố có trọng số cố định (2FA 30 điểm, dark web 20 điểm, password uniqueness 20 điểm, đăng nhập bất thường 15 điểm, extension 15 điểm).

Claim 2: ACIL phát hiện và chặn trang phishing nhắm vào người Việt Nam (MoMo fake, VietinBank fake, VNPay fake, Zalo login fake) với recall ≥90% và specificity ≥95%, được đo trên tập test 500 trang phishing thực và 5.000 trang hợp lệ, với thời gian phản hồi ≤2 giây từ khi nhấp URL.

Claim 3: BaoMatVN đạt break-even với ~1.702 subscriber trả phí 49K/tháng, với chi phí vận hành ước tính 80 triệu VNĐ/tháng — khả thi trước thiệt hại trung bình 200–500 triệu VNĐ/vụ lừa đảo trực tuyến, giúp người dùng chủ động đổi mật khẩu trước khi bị tấn công.

---

Quyền sở hữu & Bản quyền

© 2026 Alpha Chain Ltd. Tất cả quyền được bảo lưu.

Tài liệu này là tài sản độc quyền của Alpha Chain Ltd. Việc sao chép, phân phối lại, hoặc tạo sản phẩm phái sinh đều yêu cầu sự đồng ý bằng văn bản từ Alpha Chain Ltd.

---

Lịch sử thay đổi

Phiên bản	Ngày	Tác giả	Thay đổi
1.0	2026-04-17	Alpha Chain Ltd.	Tạo ban đầu
2.0	2026-04-20	Alpha Chain Ltd.	Bổ sung section Claims