Việc tấn công lấy quyền kiểm soát số điện thoại có thể dẫn đến việc dễ dàng tấn công các tài khoản, kể cả tài khoản ngân hàng
Liên quan đến việc một khách hàng gửi tiết kiệm online tại ngân hàng (NH) thương mại cổ phần trụ sở chính tại Hà Nội khiếu nại bị mất hơn 2,1 tỉ đồng trong tài khoản, các chuyên gia khuyến cáo thủ đoạn đánh cắp thông tin và lừa đảo của tội phạm công nghệ cao ngày càng tinh vi nên khách hàng tuyệt đối bảo mật thông tin.
Nâng cấp sim rồi chiếm đoạt thông tin
Thủ đoạn mà kẻ gian chiếm đoạt hơn 2,1 tỉ đồng trong tài khoản tiền gửi tiết kiệm online của khách hàng này là gọi điện cho khách hàng tự xưng nhân viên nhà mạng đề nghị hỗ trợ nâng cấp sim điện thoại rồi kích hoạt esim (sim điện tử) trên điện thoại. Tiếp đó, tổng đài tự động của NH này nhận được cuộc gọi từ số sim trước đó đăng ký dưới tên khách hàng yêu cầu cấp lại tên đăng nhập Internet Banking, được gửi về email mà khách hàng đã đăng ký trước đó với NH.
Kẻ gian tiếp tục đăng ký báo quên mật khẩu và yêu cầu cung cấp lại mật khẩu đăng nhập mới rồi chiếm đoạt thông tin tài khoản của khách hàng… Với chiêu lừa này, kẻ gian đã tất toán sổ tiết kiệm online của khách hàng mở tại NH nói trên. Vụ việc xảy ra từ tháng 1-2022, sau đó khách hàng đã khiếu nại tới NH và hiện đã chuyển hồ sơ sang cơ quan công an điều tra, xác minh làm rõ.
Các chuyên gia, ngân hàng đều khuyến cáo người dùng cảnh giác không để mất thông tin tài khoản, thông tin cá nhân. Ảnh: TẤN THẠNH
Theo các NH thương mại, thủ đoạn lừa đảo mạo danh nhân viên nhà mạng nâng cấp sim để chiếm quyền kiểm soát số điện thoại, từ đó đánh cắp thông tin của khách hàng và thực hiện các giao dịch lừa đảo không mới. Cả NH thương mại lẫn nhà mạng đều liên tục cảnh báo nhưng vẫn có nhiều khách hàng bị mất tiền oan.
TS Võ Văn Khang, Phó Chủ tịch Chi hội An toàn Thông tin phía Nam, cho rằng hiện nay số điện thoại hay sim điện thoại là tài sản lớn nhất, là vật bất ly thân của người dùng các dịch vụ trực tuyến. Việc tấn công lấy quyền kiểm soát số điện thoại có thể dẫn đến việc dễ dàng tấn công các tài khoản, kể cả tài khoản NH trực tuyến lẫn các tài khoản trên mạng xã hội. Bởi hình thức xác thực qua số điện thoại rất phổ biến, trong khoảng 30 giây kẻ gian có thể chiếm quyền sở hữu sim nếu người dùng mất cảnh giác. “Trước đó, kẻ gian đã có thể lấy được thông tin người dùng và mật khẩu, vấn đề còn lại là phải lấy mã OTP hoặc dùng tài khoản đó để tự xác nhận mình đã đổi tên tài khoản (trường hợp vừa xảy ra với khách hàng mất 2,1 tỉ đồng là đổi mật khẩu Internet Banking), khi gọi lên tổng đài NH bằng đúng số điện thoại đó để xác thực mã OTP gửi về. Nghĩa là trong cuộc tấn công này họ đã chiếm số điện thoại, sở hữu email và rõ thông tin về tài khoản đó” – TS Võ Văn Khang nói.
Dưới góc nhìn của chuyên gia tài chính, TS Huỳnh Trung Minh chỉ ra thực tế là hiện thông tin cá nhân của người dùng đang không được bảo mật đúng cách, như số điện thoại, ngày sinh, CCCD, thậm chí địa chỉ nhà, email… cũng thường xuyên để lộ trên mạng xã hội, qua nhiều kênh khác nhau. Do đó, khi kẻ gian kết hợp thông tin cá nhân và thông tin tài khoản NH thì nguy cơ người dùng bị mất tiền lớn hơn.
Theo TS Huỳnh Trung Minh, mỗi NH thương mại sẽ có những gói dịch vụ với độ bảo mật, xác thực khác nhau, từ xác thực qua tin nhắn SMS, qua Smart OTP, xác thực bằng giọng nói hay ghi âm cuộc gọi của khách hàng tới tổng đài tự động của NH… Việc đầu tư công nghệ và hệ thống cảnh báo các giao dịch đáng ngờ cũng giúp NH phát hiện những nghi ngờ. Như trường hợp khách hàng mất 2,1 tỉ đồng này, kẻ gian vừa yêu cầu đổi mật khẩu đăng nhập Internet Banking xong liền tất toán các khoản gửi tiết kiệm online. “Nếu một lần có thể giao dịch thành công nhưng lần 2, 3 bộ phận giám sát giao dịch đáng ngờ có thể nghi ngờ để yêu cầu xác nhận lại? Có điều, chủ tài khoản thật sự đã bị chiếm quyền sim điện thoại nên dù có xác nhận từ NH thì vẫn rất khó phát hiện. Do đó, mấu chốt vẫn là người dùng cảnh giác không để mất thông tin tài khoản, thông tin cá nhân” – ông Minh nói.
Người dùng cần tự bảo vệ
NH TMCP Đông Nam Á (SeABank) cho biết việc gửi tiết kiệm online có an toàn không phụ thuộc rất nhiều vào hành vi và thói quen của chủ tài khoản. Cụ thể, thông tin đăng nhập tài khoản có thể bị lộ vì sau khi sử dụng ứng dụng không thoát khỏi các giao dịch, để người khác nhìn thấy tên và mật khẩu đăng nhập tài khoản. Thiết bị đăng nhập của người dùng bị nhiễm virus. Kẻ gian sau khi có được các thông tin đăng nhập tài khoản sẽ truy cập vào tài khoản và lấy tiền trong đó. Nguyên nhân thứ hai khiến khách hàng bị mất tiền khi gửi tiết kiệm online do nhấn vào các đường link lạ giả mạo NH có chứa virus. “Các đối tượng lừa đảo sẽ gửi các đường link lạ có nhiễm virus để “câu dẫn” người dùng. Nếu khách hàng bấm vào đường link này, kẻ gian sẽ ngay lập tức tấn công và truy cập vào tài khoản NH để chiếm đoạt tài sản” – đại diện SeABank nói.
Theo một lãnh đạo NH số của ACB, tiền gửi online cũng như tất cả chức năng liên quan đến tiền và thông tin mật của khách hàng đều được bảo vệ ở cấp độ cao nhất. Giao dịch còn có thể phải đi qua nhiều chốt kiểm soát về các dấu hiệu bất thường, danh sách đen cũng như các quy định về phòng chống rửa tiền… trước khi được xử lý bởi NH. Hoạt động vận hành nội bộ của NH cũng được kiểm soát rất chặt chẽ bảo đảm không thể có sự can thiệp trái thẩm quyền của bất kỳ nhân viên nào vào tiền gửi của khách hàng. ACB chưa ghi nhận trường hợp nào bị mất tiền gửi online do lỗi hệ thống. “Thực tế có phát sinh một số đối tượng lừa đảo dẫn dụ khách hàng cung cấp thông tin mật như tên truy cập, mật khẩu, mã OTP… dẫn đến thiệt hại tài chính. ACB liên tục có những cảnh báo, cập nhật các thủ đoạn lừa đảo mới và hướng dẫn cụ thể cách nhận diện và phòng tránh, hỗ trợ khách hàng và làm việc với cơ quan chức năng để xử lý theo quy định pháp luật” – đại diện ACB nói.
Đại diện một NH cho hay việc sở hữu esim có thể giúp kẻ gian tiếp cận được các thông tin cá nhân khác như ngày tháng năm sinh, CCCD thông qua việc dùng sim nhắn tin tới đầu số của nhà mạng. Tất cả thông tin này đều có thể bị kẻ gian lợi dụng để thực hiện việc lừa đảo, chiếm đoạt tài sản của khách hàng. Do đó, các NH khuyến cáo khách hàng tuyệt đối không cho bất cứ ai, kể cả người thân biết được thông tin đăng nhập tài khoản của mình, không nên lưu trữ thông tin tài khoản ở những nơi dễ tìm, dễ nhìn thấy như trong sổ sách, giấy tờ, điện thoại. Đặc biệt, chủ tài khoản không nhấn vào các đường link lạ không rõ nguồn gốc được gửi tới messages (tin nhắn Facebook) của những người không quen biết…
Người lao động
