Choáng váng vì bị rút 500 triệu đồng khi đang ngủ

Nạn nhân của vụ việc gây chấn động hệ thống ngân hàng (NH) này là chị Hoàng Thị Na Hương (ngụ tại Q.Cầu Giấy, Hà Nội). Chị Hương cho biết mở tài khoản tại NH TMCP Ngoại thương (Vietcombank), chi nhánh Trần Quang Khải. Vào lúc 23 giờ 18 ngày 4.8, tài khoản của chị bị người khác chuyển 100 triệu đồng qua Internet banking. Tiếp đó vào lúc 0 giờ 56 ngày 5.8, hai giao dịch nữa cũng được báo với tổng số tiền 100 triệu đồng. Đến 5 giờ 17 ngày 5.8, lại phát sinh thêm 3 giao dịch khác, mỗi giao dịch có số tiền 100 triệu đồng. Tổng cộng thẻ của chị đã bị kẻ gian thực chuyển mất 500 triệu đồng sang một tài khoản khác.

“Tôi nhận được tin nhắn báo số dư tài khoản và email vào buổi sáng, tuy nhiên không có tin nhắn mã OTP như thường lệ. Vào thời điểm diễn ra việc chuyển tiền này, tôi đang ngủ ở nhà và thẻ ATM vẫn ở trong túi xách. Tôi đã gọi điện cho Vietcombank để thông báo và khóa tài khoản vào lúc 7 giờ 50 ngày 5.8.2016”, chị Hương phản ánh.

Khi liên lạc với tổng đài 24/7 của Vietcombank, theo chị Hương các tổng đài viên đều hỏi có click vào đường link nào không. “Câu trả lời là không và từ khi sử dụng dịch vụ của Vietcombank tôi chưa bao giờ nhận được khuyến cáo nào. Hiện Phòng giao dịch Ngọc Khánh có yêu cầu tôi làm đơn tra soát để chuyển lại số tiền 300 triệu đồng trong sáng 8.8.2016”, chị Hương nói.

Chiều 11.8, lãnh đạo Vietcombank đã trực tiếp làm việc với khách hàng. Từ những thông tin do khách hàng cung cấp, Vietcombank cho biết có cơ sở để xác định khách hàng đã truy cập vào một trang web giả mạo (có địa chỉ http://creatingacreator.com/kob/1/index.htm) vào ngày 28.7.2016 qua máy điện thoại cá nhân. Từ việc truy cập này, thông tin và mật khẩu của khách hàng đã bị đánh cắp. Các đối tượng lừa đảo đã chuyển tiền từ tài khoản khách hàng tới nhiều tài khoản trung gian tại 3 ngân hàng khác nhau tại VN. Sau đó, đối tượng lừa đảo đã rút 200 triệu đồng qua ATM ở Malaysia. Vietcombank đã xử lý các biện pháp khẩn cấp, kịp thời khoanh giữ lại được 300 triệu đồng. Đây là các giao dịch chuyển khoản sang NH khác, chưa kịp chuyển ra khỏi hệ thống Vietcombank.

Chị Hương cho rằng kể cả khi bị ăn cắp mật khẩu thì vẫn còn công cụ bảo mật OTP (mật khẩu sử dụng một lần). Mã xác thực OTP được chị Hương đăng ký thông qua tin nhắn SMS về điện thoại cho mỗi lần giao dịch. “Cứ cho là tôi bị ăn cắp tên đăng nhập, mật khẩu nhưng mã xác thực OTP khi bị kẻ gian chuyển tiền không hề báo về điện thoại. Tôi thực sự thấy rất hoang mang về mức độ bảo mật và đề nghị Vietcombank phải có trả lời cụ thể bằng văn bản”, chị Hương nói.

Nhận định tình trạng trên, một chuyên gia trong lĩnh vực thẻ cho biết, có nhiều nguyên nhân dẫn đến việc bị mất tiền trong thẻ tín dụng. Ví dụ như khách hàng bị lộ thông tin cá nhân và bị kẻ xấu làm thẻ giả để rút tiền; khi quẹt thẻ ở các máy POS bị nhiễm mã độc hay rút tiền tại các trạm ATM bị gắn camera quay lén. Hay khách hàng thường không theo dõi thanh toán mà gửi thẻ cho người phục vụ đi cà thẻ một lúc lâu và quay lại cùng hóa đơn, khi đó có thể thẻ đã bị chụp hình 2 mặt và người trộm thông tin sẽ dùng đặt hàng trực tuyến để mua hàng khắp thế giới. Hơn nữa, việc giao dịch thanh toán online qua các trang web mang tính rủi ro khá cao.

Ông Võ Đỗ Thắng, Giám đốc Trung tâm đào tạo quản trị và an ninh mạng ATHENA, cho rằng hệ thống bảo mật Internet banking của Vietcombank nhiều khả năng đang có lỗ hổng. Cụ thể, tại trường hợp của chị Hương, theo ông Thắng khách hàng bị ăn cắp mật khẩu, tên đăng nhập nhưng vẫn còn một lớp bảo vệ nữa là xác thực OTP. “Mã xác thực OTP như khách hàng nói đăng ký qua tin nhắn điện thoại nhưng lại không nhận được. Điều đó có khả năng hệ thống này đã bị can thiệp”, ông Thắng nói.

Nhìn rộng hơn, vị giám đốc của Trung tâm ATHENA này đánh giá hiện nay hệ thống NH điện tử của rất nhiều nhà băng sử dụng thiết bị của nhiều hãng khác nhau, không loại trừ thiết bị của Trung Quốc từ con chíp, corebanking (hệ thống NH lõi). Khi mua về cứ thế sử dụng, không kiểm tra, bảo dưỡng thường xuyên dẫn tới phát sinh nhiều lỗ hổng bảo mật.

Một chuyên gia khác cũng khẳng định, cách trả lời của Vietcombank như vậy chưa thực sự thuyết phục khi mật khẩu OTP do NH cấp qua hệ thống thông báo email, thiết bị bảo mật token hoặc tin nhắn điện thoại. “Trong trường hợp chị Hương không thấy báo mã xác thực về điện thoại thì điều đó thật khó hiểu. Rất có thể hệ thống bảo mật của Vietcombank đang có vấn đề”, chuyên gia này nhận định.

Mất tiền qua tài khoản thẻ NH đang thực sự trở thành nỗi ám ảnh của các khách hàng. Mới đây, chị H.Nhung ngụ tại Hà Nội lên một diễn đàn cho biết bị mất 2 triệu trong tài khoản thẻ Visa-Debit (thẻ ghi nợ quốc tế) dù không dùng gì. Theo lời chị Nhung, khi đang bế con nhỏ ở nhà, chị nhận được tin nhắn báo qua điện thoại di động là “số dư tài khoản 049... thay đổi -2.046.363 VND... VISA-DEBIT GATEWAY...”. Lúc tin nhắn tới, chị đang giữ thẻ trong tay và thời gian gần đó cũng không mua bán gì qua mạng. Sau khi kiểm tra, phía NH cho biết số tiền trên dùng để thanh toán cho phần mềm chơi game mà chị lần đầu nghe tên, chứ đừng nói sử dụng. Tháng 7.2016, một cặp vợ chồng ở Hà Nội cũng cho biết người chồng sử dụng thẻ của DongA Bank để nhận lương (số dư 74 triệu đồng), trong khi người vợ nhận lương qua thẻ của HDBank (số dư hơn 120 triệu đồng). Do không đăng ký dịch vụ thông báo qua tin nhắn, đến kỳ nhận lương hằng tháng vợ chồng anh mới đem thẻ đến trụ ATM kiểm tra sau đó đem về cất vào tủ khóa lại. Trong kỳ trả lương tháng 7, vợ chồng anh ra ATM kiểm tra mới tá hỏa phát hiện cả hai thẻ đều có số dư bằng 0. Sau khi khiếu nại, phía NH nhận định thông tin thẻ của khách hàng đã bị đánh cắp nhưng đến nay NH chưa thể nhận diện chính xác người thực hiện giao dịch. Hiện NH đã báo cáo sự việc cho cơ quan công an để giải quyết.