Không giao dịch, không nhận được mã OTP, tài khoản vẫn bị 'bốc hơi" 406 triệu đồng

Việc một người vừa bị "bốc hơi" 406 triệu đồng trong tài khoản, nhiều chuyên gia an ninh mạng cho rằng kẻ xấu đã khai thác điểm yếu của quy trình xác thực giao dịch bằng mã OTP (mật khẩu sử dụng một lần) được gửi qua tin nhắn điện thoại.

 Hầu hết ngân hàng ở Việt Nam đang dùng cách thức xác thực giao dịch qua tin nhắn SMS gửi đến số điện thoại khách hàng - Ảnh: ĐỨC THIỆN
Hầu hết ngân hàng ở Việt Nam đang dùng cách thức xác thực giao dịch qua tin nhắn SMS gửi đến số điện thoại khách hàng - Ảnh: ĐỨC THIỆN



Trong vụ việc này, nạn nhân cho biết không thực hiện giao dịch, không nhận được tin nhắn thông báo mã xác thực, biến động số dư như thông lệ.

Nhiều kịch bản mất tiền

Mặc dầu vậy, theo ngân hàng (NH) Vietcombank (VCB) đã ghi nhận 4 giao dịch chuyển khoản đều hợp lệ, có 8 tin nhắn được gửi đến số điện thoại của chủ tài khoản. Ngân hàng này cho biết tài khoản trên ứng dụng VCB Digibank của khách hàng đã được kích hoạt trên một thiết bị khác để chuyển tiền.

Công ty an ninh mạng Bkav đưa ra hai kịch bản. Thứ nhất, kẻ xấu đã lừa khách hàng nhập mã OTP vào một website giả mạo để chiếm mã OTP, tạo ra giao dịch chuyển tiền giả mạo.

Thứ hai, kẻ xấu lừa khách hàng cài đặt một phần mềm gián điệp trên điện thoại. Phần mềm này sẽ theo dõi tất cả thông tin, trong đó có tin nhắn SMS chứa mã OTP và các thông tin đăng nhập và tạo giao dịch chuyển tiền.

Ông Nguyễn Tử Quảng, CEO Công ty an ninh mạng Bkav, cho rằng hacker đã khai thác điểm yếu của công nghệ xác thực SMS OTP.

Tháng 6-2020, Bkav cũng đã đưa ra cảnh báo về một phần mềm gián điệp có tên VN84App chuyên đánh cắp dữ liệu người dùng Việt, đặc biệt tập trung đánh cắp các mã OTP.

Phân tích VN84App, các chuyên gia phát hiện máy chủ điều khiển có giao diện bằng tiếng Trung Quốc và tin nhắn được thu thập từ điện thoại là những giao dịch ngân hàng có số tiền lớn lên tới hàng tỉ đồng.

Với điểm yếu dễ khai thác của công nghệ xác thực qua tin nhắn SMS nêu trên, ông Quảng đưa ra đề xuất dùng chữ ký số thay thế.

Ông Ngô Tấn Vũ Khanh, giám đốc phát triển Hãng bảo mật Kaspersky tại Việt Nam, cũng nhận định lỗ hổng trong vụ việc trên ở công nghệ xác thực OTP. Tuy nhiên để ngăn chặn nguy cơ, ông Khanh cho rằng có nhiều giải pháp, như các NH phải có đội dò quét để loại bỏ các website Internet banking giả. Với nguy cơ nhiễm mã độc, người dùng nên cài phần mềm chống và diệt mã độc trên điện thoại.

Người dùng phải cẩn trọng

Trao đổi với Tuổi Trẻ, giám đốc trung tâm thẻ một NH cổ phần lớn cho biết theo quy định, với các giao dịch loại A từ 5 triệu đồng/ngày trở xuống chỉ cần tên đăng nhập, mật khẩu, mã PIN. Với giao dịch loại B, đến 100 triệu đồng/ngày phải xác thực bằng OTP hoặc thẻ ma trận.

Với các giao dịch từ loại C trên 100 triệu đồng phải xác thực bằng Soft OTP hoặc Token OTP loại cơ bản… Vị này cho biết hiện đã áp dụng Soft OTP (bước người dùng phải đăng nhập vào ứng dụng trên app của NH để duyệt giao dịch), tức là thêm một bước nữa để tăng bảo mật.

Tuy nhiên theo vị này, người dùng cũng phải cảnh giác với các chiêu như thông báo trúng thưởng, giả là công an để yêu cầu khai tên đăng nhập… sau đó lấy sạch tiền trong tài khoản. Các NH liên tục cảnh báo nhưng nhiều trường hợp vẫn dính bẫy.

Hiện một số NH cho khách chọn một trong hai hình thức: nhận tin nhắn trong app (miễn phí) hoặc tin nhắn viễn thông (có thu phí) để thông báo thay đổi số dư.

Sau vụ khách hàng bị mất 406 triệu đồng, nhiều cảnh báo cho rằng không nên bỏ dịch vụ thông báo biến động số dư qua tin nhắn bởi nếu chỉ nhận thông báo trong app, điện thoại phải được kết nối WiFi hoặc 3G, 4G liên tục, nếu không sẽ không nhận được tin nhắn kịp thời.

 


Ngân hàng khẳng định hệ thống vẫn an toàn

Trao đổi với Tuổi Trẻ chiều 6-10, đại diện VCB cho hay đã tiếp nhận thông tin khiếu nại của khách hàng T.V.L. (TP.HCM) bị mất 406 triệu đồng trong tài khoản và cho hay đã làm việc trực tiếp 2 lần với khách, hướng dẫn trình báo công an để xác minh và truy bắt tội phạm.

VCB cho biết thêm theo kết quả rà soát dữ liệu giao dịch của khách hàng và thông tin từ cung cấp dịch vụ gửi tin nhắn, ngân hàng này ghi nhận các giao dịch đã được thực hiện bởi đúng thông tin định danh của chủ tài khoản (tên tài khoản, mật khẩu và mã OTP).

Ngân hàng này cũng khẳng định hệ thống của mình vẫn an toàn, bảo mật. Chỉ khi tên truy cập, mật khẩu truy cập và mã OTP xác thực giao dịch được cung cấp đúng thì giao dịch mới được VCB xử lý.

L.THANH


Theo ĐỨC THIỆN - ÁNH HỒNG (TTO)

Các tin khác

Ký kết VEFTA: Mở rộng thị trường, đón dòng vốn chất lượng cao

Ký kết VEFTA: Mở rộng thị trường, đón dòng vốn chất lượng cao

(GLO)- Việt Nam và Hiệp hội Mậu dịch tự do châu Âu (EFTA) chính thức ký kết Hiệp định Thương mại tự do Việt Nam-EFTA (VEFTA) tại Hà Nội. Sự kiện kỳ vọng mở rộng cơ hội xuất nhập khẩu, thu hút đầu tư chất lượng cao, thúc đẩy đổi mới sáng tạo và nâng sức cạnh tranh của doanh nghiệp Việt Nam.

Klook rút kế hoạch IPO tại Mỹ do biến động thị trường

Klook rút kế hoạch IPO tại Mỹ do biến động thị trường

(GLO)- Ngày 16-10, nền tảng đặt dịch vụ du lịch trực tuyến Klook Technology (trụ sở tại Hong Kong) đã nộp hồ sơ rút kế hoạch phát hành cổ phiếu lần đầu ra công chúng (IPO) tại Mỹ, trong bối cảnh thị trường tài chính biến động và tâm lý nhà đầu tư thận trọng.

Gia Lai: Dư nợ tín dụng chính sách gần 18.250 tỷ đồng

Gia Lai: Dư nợ tín dụng chính sách gần 18.250 tỷ đồng

(GLO)- Với tổng dư nợ gần 18.250 tỷ đồng, tăng hơn 10% so với đầu năm, tín dụng chính sách tại Gia Lai tiếp tục tạo nguồn lực hỗ trợ người nghèo, tạo việc làm và phát triển sản xuất. Tỉnh đặt mục tiêu hoàn thành kế hoạch tăng trưởng tín dụng năm 2026, đồng thời kiểm soát chặt chất lượng vốn.

Lợi ích kép của hoàn thuế điện tử

Lợi ích kép của hoàn thuế điện tử

(GLO)- Việc Hải quan cửa khẩu Cảng Quy Nhơn và Thuế tỉnh Gia Lai triển khai công tác hoàn thuế trên môi trường điện tử không chỉ rút ngắn quy trình, đảm bảo tính minh bạch mà còn giúp doanh nghiệp nhanh chóng khơi thông nguồn vốn, phục vụ đắc lực cho hoạt động sản xuất, kinh doanh.

Lãi suất liên ngân hàng qua đêm bật tăng lên 4,8%/năm

Lãi suất liên ngân hàng qua đêm bật tăng lên 4,8%/năm

(GLO)- Lãi suất bình quân VND trên thị trường liên ngân hàng kỳ hạn qua đêm tăng lên 4,8%/năm trong phiên 12-10, sau khi giảm sâu trong tuần đầu tháng. Cùng thời điểm, Ngân hàng Nhà nước tiếp tục bơm thanh khoản qua kênh thị trường mở, với lượng bơm ròng gần 12.000 tỷ đồng trong phiên 13-10.

Euro xuống đáy 1,5 năm: Ai hưởng lợi, ai chịu thiệt?

Euro xuống đáy, ai hưởng lợi, ai chịu thiệt?

(GLO)- Ngày 14-10, tỷ giá euro tại các ngân hàng và thị trường tự do trong nước phổ biến quanh 28.500-29.900 đồng/euro. Tại Vietcombank, giá mua vào mỗi euro khoảng 28.500 đồng, giá bán ra hơn 29.700 đồng. Đây là vùng giá thấp nhất kể từ giữa tháng 5-2025.

Doanh nghiệp lớn ở Anh tăng ưu tiên tiết giảm chi phí

Doanh nghiệp lớn ở Anh tăng ưu tiên tiết giảm chi phí

(GLO)- Khảo sát của tập đoàn kiểm toán quốc tế Deloitte công bố ngày 14-10 cho thấy, 68% giám đốc tài chính (CFO) tại các doanh nghiệp (DN) lớn ở Anh tham gia khảo sát xem cắt giảm chi phí là ưu tiên quan trọng trong 12 tháng tới, tăng so với tỷ lệ 53% ở đợt khảo sát trước.

Siêu thị mini về nông thôn, tiệm tạp hóa cạnh tranh bằng cách nào?

Siêu thị mini về nông thôn, tiệm tạp hóa cạnh tranh bằng cách nào?

(GLO)- Siêu thị mini ngày càng mở rộng về nông thôn, tạo sức ép cạnh tranh với các tiệm tạp hóa truyền thống. Để giữ khách, các cửa hàng nhỏ cần phát huy lợi thế gần gũi, linh hoạt trong phục vụ, đồng thời đổi mới phương thức kinh doanh và ứng dụng công nghệ.