Ngân hàng “đua” với tin tặc

Hiện vụ khách hàng mất 500 triệu đồng trong tài khoản vẫn đang được cơ quan điều tra làm rõ. Theo Cục Cảnh sát Phòng chống tội phạm công nghệ cao (C50) - Bộ Công an, vụ việc có liên quan tới một nhóm đối tượng cả trong và ngoài nước.

Ngành ngân hàng (NH) cũng đã tiến hành rà soát tổng thể và thay đổi chính sách về cung cấp dịch vụ.

Đủ chiêu trộm tiền

Theo Cục Công nghệ tin học NH - NH Nhà nước, lợi dụng sự bất cẩn hoặc cả tin của khách hàng, tin tặc (hacker) đã áp dụng rất nhiều chiêu thức lừa đảo để lấy trộm thông tin cá nhân, sau đó thực hiện các giao dịch trộm tiền từ tài khoản của khách hàng.

Cụ thể, chiêu tấn công dạng Phishing: Tội phạm thiết lập một website giả mạo giống website của NH (XXXBank.com.vn, XXXbank.com.vm thay cho website thật XXXbamk.com.vn) hoặc nhà cung cấp dịch vụ thương mại điện tử. Sau đó, tội phạm gửi email đến khách hàng giả mạo thông báo của NH đề nghị khách hàng truy cập vào trang web giả mạo đổi mật khẩu, kiểm tra thông tin tài khoản rồi đánh cắp thông tin cá nhân từ tên, mật khẩu, số thẻ... Tấn công dạng Social engineering: Tội phạm gọi điện, gửi tin nhắn đến khách hàng lừa đảo khách hàng đã trúng thưởng chương trình khuyến mãi hoặc giả mạo người thân cần sự hỗ trợ về tài chính và đề nghị cung cấp các thông tin về tài khoản, số thẻ, mã xác thực giao dịch OTP. Chiêu thức tấn công bằng mã độc: tội phạm lừa đảo người dùng truy cập vào các website hoặc mở email có chứa mã độc hại. Mã độc sau khi xâm nhập máy tính, điện thoại sẽ âm thầm lấy cắp thông tin của khách hàng.

Nguy cơ mất tiền từ tài khoản cá nhân luôn rình rập người dùng Ảnh: Tấn Thạnh

Theo nhiều NH thương mại, các đối tượng lừa đảo còn giả danh là cán bộ công an, viện kiểm sát hoặc tạo tình huống người thân của khách hàng bị bắt cóc để lừa gạt; giả danh nhân viên NH tìm cách khai thác thông tin cá nhân của khách hàng...

Một số NH cho phép đổi số điện thoại nhận OTP ngay trong giao diện Internet Banking. Theo ông Võ Văn Khang, một chuyên gia bảo mật có nhiều năm kinh nghiệm trong lĩnh vực NH, điều này cho phép hacker sau khi có thông tin tài khoản sẽ đăng nhập và thay đổi số điện thoại nhận OTP mà không cần đến quầy giao dịch. Thêm một dạng tấn công khác là “Man in the Middle” (nôm na như một kẻ nghe trộm). Trong đó, giao thức SMS là dạng Clear Text Message không mã hóa, vì vậy hacker có thể chiếm đoạt thông tin nếu đặt được một chân vào đâu đó trong quá trình luân chuyển nội dung SMS từ NH đến nhà cung cấp nội dung internet (ICP). Hacker có thể tấn công vào server quản lý tin nhắn của ICP và có thể có được nội dung OTP. Ngoài ra, có thể dùng trạm phát sóng BTS giả mạo để bắt nội dung SMS. Lỗ hổng của mạng GSM cho phép hacker dễ dàng làm việc đó nếu họ đặt vị trí BTS giả mạo rất gần với ĐTDĐ của người sử dụng hoặc có thể cài đặt Malware (mã độc) vào ĐTDĐ của khách hàng để bắt và chuyển tiếp SMS có định danh tương ứng đến ĐTDĐ của hacker. “Thực tế, có rất nhiều ứng dụng hợp pháp lẫn các Malware có thể kiểm soát ứng dụng SMS trong ĐTDĐ, nó lọc các SMS đến từ các định danh hoặc số ĐT được định nghĩa trước và chuyển tiếp mà người dùng không biết. Đây là cách tấn công khá thông dụng được sử dụng tại châu Âu và cũng có xác suất cao cho trường hợp NH Vietcombank” - ông Khang nói.

Đổi chính sách dịch vụ

Thực tế các NH đều đầu tư lớn cho cơ sở hạ tầng, công nghệ khá cao và bảo mật nhưng trong bối cảnh tội phạm công nghệ ngày càng gia tăng nên việc bảo mật không thể tuyệt đối. Theo chuyên gia bảo mật Võ Đỗ Thắng, các NH phải liên tục chạy đua với hacker. Bên nào dừng lại trước thì sẽ thua. Thậm chí hiện tại, công nghệ bảo mật của NH cao hơn trình độ của hacker nhưng nếu không thường xuyên cập nhật, phát triển thì có khả năng hacker sớm muộn cũng vượt qua. Hơn nữa, hệ thống NH Việt Nam đầu tư không đồng bộ, toàn diện về bảo mật, nhiều đơn vị không kiểm thử hệ thống khi đưa vào sử dụng nên vẫn còn lỗ hổng. Bên cạnh đó, theo ông Thắng, NH nên thay đổi công nghệ password cố định sang công nghệ thẻ ma trận password. Khi đó, khách hàng sẽ có 2 thẻ: thẻ ATM và thẻ ma trận password. Khi giao dịch, hệ thống NH sẽ yêu cầu nhập mật mã trên thẻ ma trận password. Mỗi lần giao dịch thì password sẽ khác nhau, công nghệ này ở các nước châu Âu đã thực hiện. Người dùng sẽ được bảo vệ 2 lớp: SMS OTP và thẻ ma trận password.

Chuyên gia NH Huỳnh Trung Minh cho biết để hạn chế những vụ không giao dịch vẫn bị mất tiền, khách hàng nên đăng ký SMS Banking (dịch vụ thông báo biến động số dư tài khoản qua di động). Khi có giao dịch bất thường, lập tức liên lạc với NH để kịp thời ngăn chặn. “NH cũng cần đặt ra hạn mức rút/chuyển tiền, hạn mức thanh toán phù hợp với từng cá nhân trên cơ sở tư vấn phù hợp với nhu cầu của khách hàng. Nếu hạn mức lớn, khách hàng nên tới NH giao dịch hoặc nhờ NH hỗ trợ giao dịch tận nơi để hạn chế rủi ro khi giao dịch trực tuyến” - ông Minh đề nghị.

Theo Vietcombank, để loại trừ triệt để nạn lấy cắp thông tin, tài sản của khách hàng, NH này đã điều chỉnh hạn mức chuyển tiền trên ứng dụng NH điện tử (Internet Banking), áp dụng phương thức kích hoạt dịch vụ smart OTP thông qua việc đăng ký trực tiếp tại quầy giao dịch của NH (thay vì cho phép khách hàng đăng ký kích hoạt trên website như trước). NH này cũng tiếp tục gửi khuyến cáo cảnh báo khách hàng nâng cao cảnh giác bảo mật thông tin cá nhân và thông tin giao dịch NH. Khi có dấu hiệu giả mạo hoặc giao dịch bất thường, khách hàng nên ngay lập tức liên hệ với NH để được trợ giúp.