Quase 1,9 milhões de contas vietnamitas usam palavras-passe fracas enquanto os bancos reforçam a defesa contra a fraude

Palavras-passe simples enfrentam uma ameaça financeira mais rápida

Quase 1,9 milhões de contas pertencentes a utilizadores vietnamitas continuam a recorrer a palavras-passe fáceis, como "123456", segundo dados apresentados no Fórum de Segurança Financeira Digital do Vietname, na Cidade de Ho Chi Minh, a 6 de novembro de 2026. O alerta surge numa altura em que os bancos alargam os sistemas destinados a detetar transferências suspeitas e a ajudar a recuperar dinheiro roubado.

O coronel Nguyen Ba Son, diretor-adjunto do Departamento de Cibersegurança e Prevenção de Crimes de Alta Tecnologia do Ministério da Segurança Pública, conhecido como A05, afirmou que as autoridades registaram quase 1000 casos de fraude em linha envolvendo bens roubados nos primeiros seis meses de 2026. As perdas ascenderam a biliões de dong vietnamitas.

As instituições financeiras enfrentam pressão em várias frentes: os criminosos recorrem à inteligência artificial para preparar ataques mais rapidamente, os clientes continuam vulneráveis à usurpação de identidade e algumas organizações ainda não dispõem de controlos básicos de segurança. Entretanto, os pagamentos digitais tornaram-se um serviço quotidiano para grande parte da população.

Os dados apresentados por Hoang Minh Tien, diretor-adjunto do Departamento de Tecnologias da Informação do Banco Estatal do Vietname, revelam a dimensão do fenómeno. O Vietname processou mais de 21 mil milhões de transações sem numerário nos primeiros oito meses de 2026, num valor superior a 260 quatriliões de VND. Os canais digitais representam mais de 95% das transações em muitas instituições de crédito.

O fórum reuniu a Associação Nacional de Cibersegurança, o Vietnam Investment Media Group, o Banco Estatal e a Associação de Bancos do Vietname. As discussões relacionaram uma vulnerabilidade conhecida, as palavras-passe fáceis de adivinhar, com um desafio mais amplo: proteger os clientes antes, durante e depois de um pagamento fraudulento.

Menos ataques, mais organizações a reportar prejuízos

O relatório de investigação e inquérito de 2025 da Associação Nacional de Cibersegurança estimou que o Vietname foi alvo de cerca de 552 000 ciberataques nesse ano, menos 19,38% do que em 2024. O Departamento de Tecnologia da associação realizou o inquérito em dezembro de 2025, com respostas de mais de 5300 organizações.

O resumo do inquérito do Governo regista um aumento da proporção de organismos e empresas que reportaram prejuízos: 52,30% em 2025, contra 46,15% em 2024. Trata-se de um aumento de 6,15 pontos percentuais, apesar da descida do número estimado de ataques.

A associação afirmou que os atacantes se tornaram mais seletivos, preparando-se cuidadosamente e explorando os alvos em maior profundidade. Para uma organização, o perigo concreto depende, por isso, tanto dos danos causados por uma intrusão como do número de tentativas que enfrenta.

No fórum, dados atribuídos à Associação Nacional de Cibersegurança e à Viettel Cyber Security apontaram o setor financeiro e bancário como alvo de cerca de 41% dos ataques. Son identificou também o setor como um alvo prioritário de grupos internacionais de piratas informáticos e de cibercriminosos.

Porque é que os dados roubados podem causar danos duradouros

A associação identificou cinco formas comuns de ataque em 2025: negação de serviço, inserção de ligações publicitárias a jogos de azar, ciberespionagem direcionada, roubo de dados e ransomware. Um ataque de negação de serviço sobrecarrega um serviço com tráfego; o ransomware bloqueia informação através de encriptação e exige um pagamento para restabelecer o acesso.

Os atacantes podem combinar estes métodos. A associação descreveu ataques perturbadores que desviam a atenção das equipas de segurança enquanto os intrusos entram discretamente noutras partes de uma rede, instalam software malicioso e aí permanecem.

Vu Ngoc Son, responsável pelo Departamento de Tecnologia da associação, descreveu uma sequência em que os criminosos começam por roubar informação valiosa para a vender, trocar ou explorar de outras formas. Depois encriptam os dados da vítima para exigir um resgate, quando já esgotaram as oportunidades de roubar mais.

Assim, a informação dos clientes pode continuar exposta mesmo depois de um banco ou empresa restabelecer os seus sistemas. As cópias de segurança ajudam uma organização a recuperar ficheiros, mas impedir o roubo exige controlos sobre quem pode aceder à informação e sistemas que detetem acessos invulgares.

A avaliação da associação relativa a 2025 colocou a intrusão e o roubo de dados entre os incidentes com consequências mais graves. A previsão para 2026 identificou a segurança dos dados e os ataques automatizados com IA como preocupações centrais, um alerta que ecoou na discussão do fórum sobre os riscos para a banca.

A IA está a acelerar tanto a banca como o crime

Son afirmou que os criminosos estavam a utilizar IA para reduzir o tempo necessário para procurar vulnerabilidades e preparar ataques. Trabalhos em grandes sistemas de informação financeira que anteriormente podiam demorar meses podem agora ser concluídos muito mais depressa, afirmou, sem indicar um prazo concreto.

O doutor Dao Minh Tu, vice-presidente e secretário-geral da Associação de Bancos do Vietname e antigo vice-governador permanente do Banco Estatal, descreveu um setor bancário que está a ir além das aplicações utilizadas pelos próprios clientes. Os bancos estão a desenvolver serviços que comunicam com os clientes e os ajudam automaticamente.

Tu afirmou que cerca de 80% das empresas vietnamitas tinham adotado a IA, enquanto mais de 70% das instituições de crédito a utilizavam em tarefas como a avaliação de crédito, a identificação eletrónica, a deteção de fraude e os controlos contra o branqueamento de capitais. A avaliação de crédito ajuda os mutuantes a determinar a capacidade de um mutuário para reembolsar um empréstimo; a identificação eletrónica verifica remotamente a identidade de um cliente.

Dam The Thai, diretor-geral adjunto do HDBank, afirmou que o banco estava a testar IA para detetar fraudes durante as transações, além de uma avaliação de crédito automatizada e de uma aprovação que demora dois a três minutos.

O grau de preparação continua a ser desigual. Dados do Índice de Preparação para a IA da Cisco, citados no fórum, classificaram apenas 13% das empresas vietnamitas como totalmente preparadas para a IA. Cerca de 63% colocaram no topo das suas prioridades o reforço da capacidade de expansão e adaptação das respetivas infraestruturas tecnológicas. Introduzir uma ferramenta de IA e dispor dos dados, equipamentos e controlos necessários para a utilizar em segurança são etapas diferentes da adoção.

Palavras-passe fracas e usurpação de identidade convincente

Quase 1,9 milhões de contas que utilizam palavras-passe simples ilustram uma vulnerabilidade ao nível dos clientes. Uma sequência previsível, como "123456", facilita o trabalho dos criminosos quando tentam obter acesso.

Os resultados do inquérito apresentados no fórum revelaram também que apenas 36% dos inquiridos manifestaram preocupação com os deepfakes, a percentagem mais baixa entre os riscos abrangidos. Os deepfakes são imagens, vídeos ou vozes criados ou alterados com IA para fazer parecer que alguém diz ou faz algo que não disse ou fez.

Tu alertou para o facto de os criminosos poderem combinar identidades falsas com esquemas fraudulentos cuidadosamente preparados para convencer as pessoas a transferirem dinheiro por iniciativa própria. Um esquema deste tipo pode chegar a um cliente através de um rosto ou de uma voz aparentemente familiar, em vez de através de uma tentativa evidente de invadir uma aplicação bancária.

Thai defendeu que o conhecimento e a confiança dos clientes são essenciais, a par da tecnologia bancária. Apelou aos bancos, às empresas de telecomunicações, às carteiras eletrónicas, às plataformas digitais e aos reguladores para que contribuam para criar uma confiança partilhada nos serviços digitais.

Os dados do fórum não especificaram o número total de contas analisadas nem o método utilizado para identificar palavras-passe fracas. Por conseguinte, o valor de quase 1,9 milhões não é acompanhado por uma percentagem que indique a sua proporção no total de contas vietnamitas.

Roubo de cartões num restaurante revelou outra falha

Son descreveu um caso descoberto em 2025, envolvendo um suspeito que se fazia passar por funcionário de restaurantes de gama alta. Quando os clientes entregavam os cartões bancários para pagar, o suspeito retirava secretamente os chips dos cartões.

O suspeito fixava os chips a outros cartões em branco e utilizava os cartões resultantes para comprar vários modelos recentes de iPhone, roubando mais de 200 milhões de VND, ou cerca de 7700 dólares.

Posteriormente, a polícia coordenou-se com o Banco Estatal para notificar os bancos comerciais e solicitar a revisão e o ajustamento dos serviços que envolviam cartões físicos equipados com chips.

O caso mostra que o desafio de segurança vai além das palavras-passe e das aplicações bancárias. O cartão de um cliente também passa pelas mãos de pessoas e por procedimentos de pagamento em lojas e restaurantes. Os criminosos podem explorar esse processo enquanto os bancos se concentram na proteção das suas redes digitais.

Os alertas já estão a travar pagamentos suspeitos

O sistema de monitorização do Banco Estatal está ligado a quase 100 instituições financeiras e identificou mais de 668 000 contas com sinais de infração, segundo dados apresentados por Tien. Os bancos emitiram milhões de alertas e coordenaram a recuperação ou suspensão temporária de fundos no valor de biliões de dong.

O SIMO, sistema de informação que apoia a gestão do risco nos pagamentos, a monitorização e a prevenção de fraudes, enviou 5,8 milhões de alertas a clientes entre 2025 e outubro de 2026. Seguiram-se quase 1,9 milhões de situações em que os clientes interromperam ou cancelaram transações suspeitas, envolvendo quase 7,2 biliões de VND.

Estes valores correspondem a cerca de uma transação interrompida ou cancelada por cada três alertas. Os totais contabilizam alertas e respostas de clientes, pelo que um cliente que tenha recebido vários avisos pode surgir mais do que uma vez.

As quase 1,9 milhões de transações interrompidas ou canceladas registadas pelo SIMO dizem respeito a alertas de pagamento. O número, de dimensão semelhante, relativo às palavras-passe fracas diz respeito à segurança das contas. Em conjunto, mostram dois pontos em que a proteção é essencial: o acesso a uma conta e a decisão de enviar dinheiro.

Para os clientes, um alerta cria uma oportunidade para parar antes de o dinheiro sair da conta. Para os bancos e a polícia, a informação partilhada pode ajudar a identificar o destino dos fundos suspeitos e a dar uma resposta mais rápida.

Rastrear dinheiro roubado entre bancos

O Ministério da Segurança Pública e o Banco Estatal estão a trabalhar em mecanismos para seguir o dinheiro associado a fraudes através de contas bancárias. Son afirmou que as duas entidades realizaram uma reunião de trabalho três dias antes do fórum de 6 de novembro para discutir um sistema-piloto de rastreio e reconciliação desses fluxos.

Os pormenores apresentados sobre o programa bancário indicam que o projeto-piloto de rastreio e interceção urgente teve início nos principais bancos comerciais em junho de 2026, estando prevista a sua expansão a todo o sistema no primeiro trimestre de 2027. O relato de Son centrou-se nas conversações adicionais realizadas no início de novembro.

A rapidez é importante porque os criminosos podem movimentar fundos roubados através de várias contas e intermediários em poucos minutos. Uma resposta limitada ao primeiro banco recetor pode rapidamente perder o rasto do dinheiro à medida que este segue para outros destinos.

As principais datas e períodos são:

• Dezembro de 2025: A Associação Nacional de Cibersegurança inquiriu mais de 5300 organizações para a sua avaliação anual.
• Janeiro a junho de 2026: As autoridades registaram quase 1000 casos de fraude em linha envolvendo bens roubados.
• Junho de 2026: Data indicada para o início do projeto-piloto do programa bancário de rastreio e interceção urgente de transferências entre bancos.
• 3 de novembro de 2026: A polícia e o Banco Estatal discutiram o sistema de rastreio e reconciliação proposto, segundo o relato de Son sobre a reunião realizada três dias antes do fórum.
• Primeiro trimestre de 2027: Expansão prevista da solução de rastreio a todo o sistema bancário.

Tu apelou à criação de uma plataforma unificada de dados financeiros para que as instituições possam partilhar informação de acordo com regras de segurança e privacidade. Thai propôs também a partilha de alertas de fraude em tempo real entre bancos, operadores de telecomunicações, carteiras eletrónicas e plataformas licenciadas de negociação de ativos digitais.

O investimento em segurança não elimina as falhas básicas

Os bancos comerciais dedicam cerca de 17,2% do investimento na transformação digital à segurança da informação e à cibersegurança, afirmou Tien. Apelou também à realização de avaliações de risco, testes de segurança e simulacros de incidentes, bem como à supervisão dos fornecedores de tecnologia.

O inquérito mais abrangente da associação a organismos e empresas revelou progressos na preparação. Cerca de 75,93% proporcionaram formação de sensibilização para a cibersegurança, 51,45% realizaram simulacros de segurança, 51,65% implementaram ou estavam a operar centros de operações de segurança e 76,35% dispunham de sistemas de cópias de segurança. Um centro de operações de segurança reúne a monitorização e a resposta a incidentes.

Persistiam falhas básicas nas organizações inquiridas. Cerca de 47,72% não dispunham de pessoal especializado em cibersegurança, 27,80% não tinham normas internas de cibersegurança e 51,87% não dispunham de software de proteção contra programas maliciosos gerido centralmente.

Outros 8,71% não utilizavam qualquer software antivírus, enquanto 9,38% não tinham controlos, como firewalls, para regular o acesso à Internet. Estes dados referem-se ao inquérito mais alargado às organizações, que abrange organismos e empresas e não apenas bancos comerciais.

A falha prática reside na distância entre preparar as pessoas e manter a proteção em toda a organização. A formação pode ajudar os funcionários a reconhecer perigos, mas uma defesa eficaz também exige pessoal que monitorize os sistemas, uma implementação coerente do software e procedimentos ensaiados para responder quando um ataque é bem-sucedido.

Regras para os dados e preparação para a computação quântica

Tu propôs uma proteção mais rigorosa da informação bancária, dos dados pessoais e dos dados biométricos ao abrigo da Lei dos Dados e da Lei da Proteção de Dados Pessoais do Vietname. Os dados biométricos incluem identificadores físicos, como o rosto ou a impressão digital, utilizados para confirmar a identidade.

Defendeu que os dados importantes sejam armazenados e tratados em centros de dados seguros no Vietname. As suas propostas incluíram também a definição clara de responsabilidades no controlo dos sistemas de IA e a aprovação humana de transações de grande valor ou particularmente sensíveis.

Tu alertou para o facto de dados pouco normalizados e de um controlo insuficiente dos modelos de IA poderem afetar tanto as decisões automatizadas como a privacidade dos clientes. Um sistema bancário que toma decisões rapidamente continua a precisar de informação fiável e de um processo claro para analisar ações sensíveis.

A computação quântica representa uma preocupação a mais longo prazo. Tu alertou que o seu poder de processamento poderá ameaçar alguns dos métodos convencionais de encriptação que protegem os pagamentos, as assinaturas digitais e os dados bancários. As assinaturas digitais ajudam a estabelecer quem autorizou uma instrução eletrónica e se esta foi alterada.

Tu instou os bancos a avaliarem a sua dependência dos métodos de encriptação atuais e a planearem uma transição para a criptografia pós-quântica, ou seja, métodos concebidos para resistir a ataques com computadores quânticos. A sua mensagem mais abrangente relacionou estes preparativos técnicos com a confiança pública: como cerca de 89% dos adultos vietnamitas têm contas de pagamento, proteger a banca digital tornou-se parte da proteção de um serviço financeiro quotidiano.

Principais pontos

• Quase 1,9 milhões de contas vietnamitas continuam a utilizar palavras-passe simples, segundo dados apresentados no fórum de segurança financeira de 6 de novembro de 2026.
• O Vietname foi alvo de cerca de 552 000 ciberataques em 2025. Os ataques diminuíram 19,38%, enquanto a proporção de organizações inquiridas que reportaram prejuízos aumentou para 52,30%.
• As autoridades registaram quase 1000 casos de fraude em linha no primeiro semestre de 2026, com perdas de biliões de dong.
• O SIMO emitiu 5,8 milhões de alertas até outubro de 2026, a que se seguiram quase 1,9 milhões de situações em que os clientes interromperam ou cancelaram transações suspeitas, no valor de quase 7,2 biliões de VND.
• Prevê-se que um projeto-piloto de rastreio e interceção urgente de fundos suspeitos de fraude seja alargado a todo o sistema bancário no primeiro trimestre de 2027.
• Entre as propostas apresentadas no fórum contam-se uma proteção mais forte dos dados, a partilha de alertas de fraude, o controlo humano das decisões sensíveis tomadas por IA e a preparação para os riscos da computação quântica.