Những kinh nghiệm từ vụ thẻ tín dụng ở Booking.com

Vụ việc gây xôn xao trên mạng xã hội sau khi có một khách hàng người Việt báo động rằng toàn bộ thông tin thẻ tín dụng anh đăng ký trên trang Agoda.com đều có trên một tờ giấy do nhân viên khách sạn in ra.

Không chỉ có số thẻ và ngày hết hạn mà đặc biệt nguy hiểm là trên tờ giấy in này còn thể hiện cả cái mã cực kỳ nhạy cảm là CVC (Card Verification Code, mã xác thực thẻ) gồm 3 con số được in ở mặt sau của thẻ tín dụng (credit card) và thẻ ghi nợ (debit card). Khi thanh toán online, không có 3 con số CVC này thay cho chữ ký thì quy trình thanh toán không thể thực hiện được.

Trong trường hợp này, việc Agoda chuyển thương vụ đặt hàng qua Booking.com không có gì đáng ngạc nhiên và không phải là dạng "bán" khách hàng cho đơn vị khác. Bởi Booking.com thành lập năm 1996 ở Đức và Agoda ra đời năm 1998 ở Singapore đều thuộc công ty mẹ The Priceline Group có trụ sở ở bang Connecticut (Mỹ). Vấn đề chỉ ở chỗ sau đó, Booking.com đã chuyển mọi thông tin thẻ tín dụng của khách hàng vốn đặt ở Agoda cho khách sạn có phòng cho thuê.

Toàn bộ thông tin thẻ tín dụng của khách hàng được khách sạn in ra - Ảnh: Hiền Vũ

Booking.com đã có phản hồi gửi một cơ quan truyền thông của Việt Nam, trong đó thừa nhận việc gửi toàn bộ thông tin thẻ tín dụng của khách đặt phòng đến các khách sạn, nhưng khẳng định rằng việc này được tiến hành một cách an toàn thông qua mô hình được bảo vệ bằng mật khẩu, sử dụng xác thực 2 yếu tố (two-factor authentication).

Và điều quan trọng là Booking.com cũng thừa nhận rằng họ không thể bảo đảm về việc các khách sạn đối tác tuân thủ tiêu chuẩn bảo mật thông tin khách hàng, cho dù có cam kết ràng buộc với Booking.com.

Do khách hàng chọn tùy chọn thanh toán trực tiếp với khách sạn nên Agoda hay Booking.com phải chuyển toàn bộ thông tin thẻ tín dụng của khách đặt phòng cho khách sạn để khách sạn có thể bảo đảm các hoạt động của mình cũng như việc thanh toán chi phí với khách hàng (kể cả việc thu phí khi khách hàng hủy đặt phòng).

Điều này có thể hiểu là từ lúc đó, Booking.com chỉ hưởng hoa hồng theo thỏa thuận với khách sạn, còn mọi giao dịch là giữa khách sạn với khách hàng.

Tuy nhiên, ở đây không rõ là Agoda hay Booking.com có thông báo trước cho khách đặt phòng về việc chuyển thông tin thẻ tín dụng này để họ quyết định hay không. Bởi lẽ, khách đặt phòng có tin tưởng Agoda hay Booking.com thì mới giao dịch và cung cấp thông tin thẻ tín dụng; và họ cũng chỉ biết có Agoda hay Booing.com.

Không phải chỉ là lý thuyết mà đúng là thực tế, khi biết được các thông tin về thẻ tín dụng bao gồm cả mã CVC, bất cứ ai khác cũng đều có thể dùng thẻ tín dụng đó mà mua sắm online với bất cứ dịch vụ nào. Hậu quả đối với chủ thẻ thật là tai hại.

Tất nhiên, một số tổ chức thẻ như Visa hay ngân hàng phát hành thẻ có chính sách có thể hoàn lại tiền cho chủ thẻ nếu như chủ thẻ khiếu nại kịp thời và nơi phát hành thẻ xác minh đó là giao dịch mạo danh, bất hợp pháp.

Thật ra, từ xưa tới nay và trên toàn thế giới, việc thanh toán bằng thẻ ngân hàng trên các dịch vụ online luôn ẩn chứa nhiều nguy hiểm. Đó là lý do mà các chuyên gia khuyến cáo chỉ giao dịch với các dịch vụ có uy tín và đã được tin cậy.

Bên cạnh đó, người chủ thẻ nên đăng ký với ngân hàng phát hành thẻ để sử dụng chế độ xác thực 2 yếu tố, xác thực bằng mã OTP (One Time Password, mật khẩu một lần). Có nghĩa là, trước khi tiến hành thanh toán bằng thẻ tín dụng, chủ thẻ phải làm thêm một thao tác là nhập mật mã chỉ dùng được một lần với thời hạn cực ngắn mà ngân hàng vừa gửi tới qua tin nhắn SMS, email hay bằng token key.

Để giảm thiểu nguy cơ bị mất nhiều tiền, người ta có thể sử dụng thẻ ghi nợ - một dạng thẻ ngân hàng gần tương tự như thẻ tín dụng như chi tiêu bằng chính số tiền mà chủ thẻ có trong tài khoản. Còn nếu dùng thẻ tín dụng, tốt nhất là mở một thẻ khác với hạn mức thấp để giao dịch online.  

Việc đăng ký sử dụng dịch vụ Internet Banking, chịu khoản phí hàng tháng để ngân hàng gửi tin nhắn SMS ngay sau mỗi lần có giao dịch bằng thẻ tuy không thể ngăn chặn được giao dịch bất hợp pháp, nhưng có thể giúp cho chủ thẻ biết ngay được thẻ mình vừa bị giao dịch bất hợp pháp và có thể báo ngay cho ngân hàng.

Ngay cả khi phát sinh giao dịch mà chủ thẻ đang ở nước ngoài, chủ thẻ vẫn có thể nhận được tin nhắn SMS thông báo thông qua dịch vụ chuyển vùng quốc tế (roaming) của nhà mạng di động.   

Trở lại trường hợp đặt phòng khách sạn qua các dịch vụ như Agoda, Booking.com,… bạn không nên chọn tùy chọn "đặt phòng trước, thanh toán sau" hay "thanh toán trực tiếp với khách sạn". Cứ thanh toán trước với Agoda hay Booking.com rồi để họ tự làm việc tiếp theo với khách sạn.

Việc này có thể gây chút phiền hà nếu như bạn đổi ý muốn hủy đặt phòng do phải chịu tốn một thời gian để các dịch vụ hoàn lại tiền đã thanh toán qua thẻ. Nhưng thông tin thẻ tín dụng của bạn về nguyên tắc sẽ không bị chuyển cho khách sạn nữa.

Không phải chỉ có vụ đặt phòng khách sạn online, bất cứ dịch vụ thanh toán trực tuyến nào cũng đều ẩn chứa nhiều bất trắc.

Trong trường hợp muốn thanh toán sau với khách sạn, bạn cần phải biết chắc và tin tưởng được khách sạn mà mình chọn đặt phòng (trong trường hợp này chủ yếu là các khách sạn lớn, có danh tiếng). Theo quy trình, các dịch vụ đặt phòng sẽ liệt kê danh sách các khách sạn đang có phòng đáp ứng các yêu cầu của bạn để bạn lựa chọn chứ họ không tự ý đặt bất cứ khách sạn nào cũng được.

Tuy nhiên, xin lưu ý là khi tới khách sạn, bạn thường phải nộp một khoản tiền ký quỹ (deposit) để đề phòng các sự cố làm hư hỏng đồ đạc của khách sạn hay sử dụng những món trong tủ lạnh trong phòng (minibar).

Thường thì khách sạn yêu cầu bạn đưa thẻ tín dụng để họ cà treo một số tiền nào đó (mà sau này sẽ hoàn lại vào tài khoản thẻ của bạn). Và lúc này, nhân viên tiếp tân ở khách sạn biết được thông tin thẻ tín dụng của bạn. Vì thế, để an toàn và tiện lợi, bạn nên chuẩn bị sẵn tiền để có thể ký quỹ bằng tiền mặt và nhận lại ngay khi rời khách sạn (check-out).

Nói chung, không phải chỉ có vụ đặt phòng khách sạn online, bất cứ dịch vụ thanh toán trực tuyến nào cũng đều ẩn chứa nhiều bất trắc. Một khi không thể không sử dụng, bạn phải chủ động tự bảo vệ lấy mình. Cẩn tắc luôn vô áy náy. Cảnh giác ắt tránh được mất mát.

Phạm Hồng Phước