Báo động - Thủ đoạn đánh cắp tiền từ thẻ ATM ngày càng được 'nâng cấp'

Cục Điều tra liên bang Hoa Kỳ (FBI) vừa đưa ra cảnh báo về nguy cơ tin tặc sử dụng mã độc tấn công vào các máy rút tiền ATM trên toàn cầu và đánh cắp hàng triệu USD tiền mặt từ tài khoản của khách hàng. Thông tin này khiến người dân hoang mang, lo lắng. Các ngân hàng càng tăng cường các biện pháp đối phó. 

ATM đang là miếng mồi ngon

Theo FBI, hình thức tấn công lần này được gọi là “jackpotting”. Bọn tội phạm cài đặt các thiết bị phần cứng lên máy ATM để lấy cắp thông tin thẻ của khách hàng, sau đó sử dụng thông tin này để làm giả thẻ ATM, kết hợp với việc hack vào tiến trình xử lý thanh toán của ngân hàng để tạo thuận lợi cho việc rút tiền từ các máy ATM bằng các loại thẻ giả.

Tội phạm cũng sẽ vô hiệu hóa tính năng giới hạn rút tiền trên máy ATM để rút được số tiền nhiều hơn, khiến ATM nhả tiền ào ạt.

ATM đang là miếng mồi ngon của bọn tội phạm nhưng các ngân hàng còn loay hoay trong việc bảo mật thông tin cho khách hàng.

Chỉ một ngày sau khi FBI cảnh báo, Ngân hàng liên doanh Cosmos (Ấn Độ) thông tin: trong hai ngày, bọn tội phạm đã đánh cắp số tiền tương đương 310 tỷ đồng thông qua khoảng 14.800 giao dịch ATM trên 28 quốc gia và vùng lãnh thổ bao gồm Canada, Hồng Kông và một vài máy ATM ở Ấn Độ.

“Chúng tôi đang trấn an khách hàng giữ bình tĩnh và không hoảng sợ vì các khoản như tiền gửi tiết kiệm, tiền gửi có kỳ hạn, tài khoản định kỳ của tất cả các bên liên quan đều hoàn toàn an toàn” - đại diện Ngân hàng Cosmos nói.

Phương thức tấn công này đã từng đe dọa các ngân hàng tại Mỹ, châu Âu, châu Á. Cụ thể, vào đầu năm 2018, bọn tội phạm đã lấy cắp 2,4 triệu USD từ một ngân hàng thông qua hàng trăm máy ATM trên khắp nước Mỹ; lấy cắp 360.000 USD từ hệ thống ATM của Ngân hàng tiết kiệm Chính phủ Thái Lan. 

Ngày 21/8, trao đổi với chúng tôi, ông Nguyễn Hoàng Minh - Phó giám đốc Ngân hàng Nhà nước Việt Nam chi nhánh TP.HCM - cho biết, đến nay, tại Việt Nam chưa có vụ mất tiền từ thẻ ATM liên quan đến phương thức “jackpotting”.

Tuy nhiên, Ngân hàng Nhà nước Việt Nam cũng như chi nhánh TP.HCM đã từng ban hành nhiều chỉ thị, văn bản yêu cầu các tổ chức cung ứng dịch vụ thanh toán thẻ nghiêm túc rà soát việc cài đặt, nâng cấp phần mềm, phần cứng thiết bị chống sao chép, trộm cắp thông tin thẻ ATM; phối hợp với cơ quan công an, lực lượng an ninh, trật tự địa phương trong công tác bảo vệ và phòng, chống tội phạm liên quan tới ATM.

Theo các chuyên gia trong lĩnh vực thẻ, phương thức “jackpotting” chưa xuất hiện tại Việt Nam, nhưng nếu đã xuất hiện tại Thái Lan thì trước sau gì cũng đến Việt Nam.

Ngân hàng Nhà nước Việt Nam từng yêu cầu rà soát việc cài đặt, nâng cấp phần mềm, phần cứng thiết bị chống sao chép, trộm cắp thông tin thẻ ATM

Theo Hiệp hội An toàn thông tin số Việt Nam (VNISA), mặc dù chỉ số an toàn thông tin của Việt Nam được cải thiện qua các năm (năm 2012 là 26%, năm 2013 là 37,5%, năm 2015 là 46,5%) nhưng Việt Nam vẫn nằm trong danh sách các nước có tỷ lệ lây nhiễm phần mềm độc hại, mã độc ở mức cao.

Ngoài ra, sự phát triển của việc thanh toán không dùng tiền mặt cũng tiềm ẩn nguy cơ mất an toàn hệ thống cơ sở dữ liệu tiền trong tài khoản chủ thẻ, trong đó ATM được xác định là miếng mồi ngon để bọn tội phạm tấn công. 

Các giải pháp hiện nay chỉ “lo” được phần ngọn

Phó giám đốc một ngân hàng thương mại cổ phần tại TP.HCM cho biết, thời gian qua, tại Việt Nam, đã xảy ra một số vụ mất tiền liên quan đến sao chép thông tin thẻ, làm thẻ giả rồi rút tiền với phương thức gọi là skimming.

Đơn cử vào tháng Tư vừa qua, 12 chủ thẻ của Trung tâm Truyền hình Nhân Dân (TP.Hà Nội) mở tại Agribank bỗng dưng bị trừ tiền trong tài khoản dù không thực hiện giao dịch. Vào đầu tháng Ba, Công an TP.Cần Thơ đã bắt được nhóm 5 người, trong đó có 3 người nước ngoài, lắp đặt thiết bị đọc trộm thông tin chủ thẻ ở các máy ATM của Agribank chi nhánh Cần Thơ.

Tang vật thu giữ gồm 1 thiết bị đọc thông tin thẻ ATM, 3 thẻ ATM và hơn 17 triệu đồng. Những đối tượng này khai đã thực hiện hành vi này từ tháng 1-3/2018 tại các tỉnh Bến Tre, Vĩnh Long, TP.Cần Thơ, chiếm đoạt hơn 1,5 tỷ đồng. Cũng trong tháng Ba, Công an tỉnh Quảng Ninh điều tra 3 vụ trộm cắp dữ liệu thẻ ATM gây thiệt hại gần 800 triệu đồng. 

Việt Nam vẫn nằm trong danh sách các nước có tỷ lệ lây nhiễm phần mềm độc hại, mã độc ở mức cao. Ảnh: P.Huy

Jackpotting có thủ đoạn tinh vi hơn skimming ở chỗ, sau khi đánh cắp thông tin chủ tài khoản, bọn tội phạm có khả năng điều khiển máy ATM tự động “nhả tiền ào ạt” cho đến khi hết tiền trong tài khoản khiến ngân hàng không kịp khóa thẻ. “Một khi phương thức này đổ bộ vào Việt Nam, phần lớn các ngân hàng sẽ trở tay không kịp” - vị phó giám đốc ngân hàng trên khẳng định. 

Hiện nay, hầu hết các ngân hàng đều có nhiều giải pháp phòng ngừa, hạn chế trộm tiền qua ATM như lắp đặt miếng che bàn phím máy ATM; công khai rộng rãi số điện thoại nóng tại các buồng máy ATM, trên trang web ngân hàng để khách hàng kịp thời yêu cầu phong tỏa tài khoản khi phát hiện có sự cố phát sinh đối với tài khoản; cho người bảo vệ, kiểm soát máy thường xuyên; lắp camera theo dõi 24/24 giờ; dời vị trí đặt máy ATM mới và không đặt nơi quá vắng vẻ; hạn chế thời gian hoạt động về đêm tại các ATM có ít khách hàng giao dịch…

Ngày 21/8, vào website của các ngân hàng, chúng tôi thấy có mục khuyến cáo: để tránh bị lấy cắp thông tin tài khoản, trộm tiền qua ATM, người dùng thẻ cần thường xuyên thay đổi mật khẩu thẻ; nên đăng ký dịch vụ nhận tin nhắn thông báo biến động số dư; nên dùng tay che bàn phím khi thực hiện thao tác rút tiền qua ATM; quan sát kỹ khe đọc thẻ và bàn phím của máy ATM, không thực hiện thao tác giao dịch khi phát hiện có thiết bị lạ; kiểm tra đã lấy thẻ/tiền khi kết thúc việc rút tiền và chờ thông báo kết quả giao dịch hoàn tất trên màn hình ATM mới rời đi.

Nhưng theo tiến sĩ Đinh Thế Hiển - chuyên gia tài chính, đầu tư - các giải pháp trên chỉ hạn chế được phần nào hoạt động của tội phạm sử dụng thẻ ATM giả. Bằng chứng là các vụ rút trộm tiền vẫn xảy ra với những thủ đoạn tinh vi hơn.

Vào năm 2014, Cục Cảnh sát phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an kiến nghị các ngân hàng kiểm tra, lắp đặt phần mềm và thiết bị anti-skimming (theo dõi, ngăn chặn thiết bị công nghệ sao chép dữ liệu của kẻ gian) tại cây ATM, nhưng hầu như chỉ những ngân hàng nào từng bị mất trộm tiền qua ATM mới ráo riết lắp đặt. Một số máy ATM đã cài đặt nhưng phần mềm và thiết bị không hoạt động được.

ATM được xác định là miếng mồi ngon để bọn tội phạm tấn công.

Các dự án đầu tư vào bảo mật của ngân hàng vẫn đang tập trung vào mua sắm thiết bị, chưa đầu tư vào nhân sự và công tác đào tạo; việc đầu tư còn manh mún, chưa có chiến lược dài hạn, nhân sự quản lý về công nghệ thông tin còn thiếu kiến thức về bảo mật.

Một ngân hàng bỏ 20 USD vào hệ thống chưa chắc đã an toàn hơn một ngân hàng đầu tư 10 USD nếu đầu tư dàn trải, không có trọng tâm. Trong khi đó, “các hacker bao giờ cũng đi trước về mặt công nghệ, luôn tìm thấy lỗ hổng trong công nghệ thông tin của các ngân hàng” - tiến sĩ Đinh Thế Hiển nói. 

Cùng quan điểm trên, tiến sĩ Chu Nguyên Bình - Phó giám đốc Ngân hàng thương mại cổ phần Bắc Á - cho biết thêm, những giải pháp sâu xa để bảo mật cho khách hàng lại không được cơ quan chức năng chú trọng.

Chẳng hạn, thông tin của khách hàng tiềm năng ở Việt Nam, ví dụ trong lĩnh vực tài chính ngân hàng hoặc khách hàng VIP có thu nhập cao đang được chào bán công khai trên các “chợ” mạng. Mua thông tin khách hàng bây giờ dễ hơn mua rau. Nếu dẹp được các “chợ” này, sẽ góp phần ngăn ngừa bọn tội phạm thu thập thông tin khách hàng.

Đơn cử, tại trang web datakhachhang.net, có đủ loại danh sách khách hàng như: phụ huynh học sinh, bất động sản, khách hàng thu nhập cao, khách hàng gửi tiết kiệm, khách hàng sở hữu xe hơi, giám đốc mới theo từng năm, khách hàng các câu lạc bộ thẩm mỹ, khách hàng doanh nghiệp, khách hàng là bác sĩ, giáo viên… Chỉ cần gọi là có ngay danh sách hàng ngàn cái tên, với giá mua chỉ 1 triệu đồng.

Ngoài ra, còn có tình trạng một số đơn vị chấp nhận thẻ cấu kết với bọn tội phạm để bán thông tin khách hàng hoặc tội phạm cấu kết với điểm chấp nhận thẻ để thực hiện giao dịch khống.

Hiện nay, dịch vụ quẹt thẻ tín dụng thông qua hình thức mua hàng “khống” đang mọc lên như nấm, bọn tội phạm có thể thông qua các điểm này để ăn cắp thông tin và rút tiền của khách.

Theo tiến sĩ Đinh Thế Hiển, các ngân hàng biết tình trạng này nhưng không quyết liệt dẹp bỏ vì đang hưởng lợi từ việc thu phí quẹt thẻ. Đây là một dịch vụ biến tướng nguy hiểm, tiềm ẩn nhiều rủi ro về lâu dài cho chủ thẻ. 

Thanh Hoa