Vì sao chủ tài khoản mắc bẫy những trang web giả mạo?

• Lột mặt những trang web giả mạo trúng thưởng để lừa đảo
• Truy tìm chủ tài khoản liên quan vụ "món quà" 2,1 triệu USD tiền mặt
• Triển khai công nghệ xác nhận chủ tài khoản bằng dấu vân tay

Hiểu rõ những thủ đoạn của loại tội phạm này sẽ giúp cho người sử dụng bảo vệ an toàn tài khoản của chính mình.

Các thủ đoạn tinh vi

Theo Cảnh sát phòng chống tội phạm về công nghệ cao, xuất phát từ đặc điểm của thẻ ngân hàng, chỉ cần có một số thông tin như thông tin thẻ, thông tin cá nhân chủ thẻ... tội phạm công nghệ cao thường sử dụng phần mềm và thiết bị chuyên dụng để lấy cắp thông tin thẻ ngân hàng, sau đó sử dụng những thông tin này để rút trộm tiền, chiếm đoạt của chủ thẻ.

Qua các vụ việc đã được khám phá, có thể thấy thủ đoạn trộm cắp thông tin thẻ tín dụng phổ biến ở các dạng sau: Skimming - là thủ đoạn trộm cắp thông tin cá nhân và thông tin thẻ trên hóa đơn cà thẻ. Sử dụng các thiết bị, phương tiện để lấy trộm thông tin thẻ, mã số pin từ máy ATM, phục vụ việc làm giả thẻ để rút tiền.

Điển hình như tháng 5-2015, Cơ quan công an đã bắt giữ 2 đối tượng quốc tịch Bulgaria vào Việt Nam, dùng thiết bị điện tử dạng miếng dán có chức năng ghi hình ảnh bàn phím của trụ máy ATM và thiết bị gắn mạch điện tử lắp vào cổng ra vào thẻ nhằm sao chép những thông tin trộm cắp được khi chủ thẻ đưa thẻ vào. Toàn bộ thông tin dữ liệu sẽ được sao chép vào phôi thẻ trắng rồi dùng mật khẩu ghi được từ bàn phím để đến các cây ATM rút tiền trong tài khoản thật...

Website giả mạo ngân hàng sử dụng logo, giao diện giống thật khiến không ít nạn nhân mắc bẫy.

Ngoài ra, các hacker có thể thu thập thông tin qua việc sử dụng các phần mềm gián điệp cài sẵn trên máy tính hoặc điện thoại thông minh nhưng người dùng không biết để thu nhận các thao tác trên bàn phím hoặc các thông tin dữ liệu khai thác trong máy tính, điện thoại.

Năm 2013, Cảnh sát công nghệ cao Hà Nội đã điều tra, bắt giữ hacker Cao Xuân Dương (23 tuổi, ở Nam Định) lập một trang web giả dạng cung cấp phần mềm chơi game trực tuyến để cài phần mềm gián điệp dạng virus keylogger có chức năng xem trộm webcam, bàn phím, màn hình máy tính và kiểm soát máy tính bị nhiễm virus.

Bằng thủ đoạn này, Dương đã trộm cắp thông tin tài khoản của những người sử dụng máy tính có giao dịch bằng tài khoản ngân hàng, mạo danh ngân hàng gửi email cho chủ tài khoản dưới dạng thông báo trúng thưởng để yêu cầu họ nhập mã xác thực OTP, từ đó thực hiện  giao dịch rút trộm tiền trong tài khoản chiếm đoạt hàng chục triệu đồng của các nạn nhân.

Đặc biệt, thời gian gần đây, nổi lên thủ đoạn tội phạm giả mạo các trang web của ngân hàng để lừa đảo, chiếm đoạt tiền trong tài khoản của khách hàng (phishing). Mới đây nhất, từ đầu tháng 8-2016, một số ngân hàng liên tiếp gửi tới khách hàng cảnh báo, khuyến cáo với nội dung tuyệt đối không cung cấp tên đăng nhập/mật khẩu truy cập ngân hàng điện tử, mã xác thực giao dịch OTP, số thẻ ngân hàng, thông tin cá nhân, địa chỉ email cho bất kỳ ai và bất kỳ hình thức nào như qua điện thoại, email, mạng xã hội, web, link lạ...

Khuyến cáo này xuất hiện cùng lúc với thông tin vụ việc một khách hàng “bỗng dưng” bị tội phạm rút 500 triệu đồng trong tài khoản trong một đêm đã khiến nhiều khách hàng sử dụng dịch vụ ngân hàng trực tuyến  lo lắng trước nguy cơ tội phạm sử dụng công nghệ cao tấn công, chiếm đoạt tiền trong tài khoản. 

Vì sao chủ tài khoản mắc bẫy?

Theo một chuyên gia về công nghệ thông tin, phishing là thủ đoạn rất phổ biến để lừa lấy thông tin thẻ ngân hàng của tội phạm. Để trộm cắp thông tin cá nhân và thẻ tín dụng, thủ phạm thường tấn công (hack) vào các trang bán hàng trực tuyến để lấy trộm thông tin về email (thường khách hàng có sử dụng thẻ tín dụng để mua hàng), hoặc mua danh sách email của các đối tượng chuyên hack và thu thập email trên các diễn đàn của hacker, sau đó gửi thư lừa đảo (phishing email) để lấy thông tin thẻ tín dụng.

Thủ đoạn phishing gồm 3 bước: Bước 1 - Tạo ra 1 thư phishing có nội dung thật hợp lý về an toàn của thẻ tín dụng để lừa chủ sử dụng email. Bước 2 - tạo ra một website có giao diện giống như ngân hàng thật. Bước 3 - gửi cho nạn nhân phishing email, yêu cầu khách hàng cập nhật lại username, mật khẩu, thông tin thẻ tín dụng, thông tin cá nhân và gửi lại cho ngân hàng nhưng thực chất là gửi vào email của hacker mà không hề hay biết.

Như vậy, nếu số lượng địa chỉ mà đối tượng gửi email lừa đảo càng lớn thì tỉ lệ thành công sẽ càng cao. Do đó đối tượng thường thu thập hàng trăm nghìn địa chỉ cùng lúc rồi spam tin nhắn lừa đảo.

Một nạn nhân chia sẻ thủ đoạn giả mạo website ngân hàng của bọn tội phạm trên mạng xã hội.

Để đánh lừa người nhận thư, hacker thường dùng phần mềm fake email, dễ dàng tạo ra địa chỉ bất kỳ để lừa người nhận, với nội dung như “gửi cho khách hàng của ngân hàng A”. Trong thư, hacker luôn viết nội dung có tính chất khẩn cấp như: “Ngân hàng phát hiện thẻ tín dụng của bạn sử dụng nhiều IP khác nhau... Bạn cần cập nhật lại thông tin thẻ, nếu không trong vòng xxx ngày, thẻ của bạn sẽ bị khóa”; hoặc: “Ai đó đang tìm cách đăng nhập vào tài khoản của bạn tại ngân hàng A, nếu đó không phải là bạn thì đề nghị truy cập vào đường dẫn sau để thay đổi thông tin...”.

Thông tin này tạo ra cho người nhận cảm giác khẩn cấp, lo lắng vì tài khoản của mình đang có vấn đề, do đó thường làm ngay theo hướng dẫn của hacker như: “Xác thực tài khoản của bạn” (trong khi thực tế ngân hàng không yêu cầu khách hàng gửi mật khẩu, tên truy nhập, thông tin cá nhân qua thư điện tử); “Hãy truy cập vào đường link dưới đây để truy cập vào tài khoản của bạn” (đường link giả địa chỉ ngân hàng nhưng lại trỏ đến một địa chỉ khác là một trang web giả mạo). Đây chính là những “cái bẫy” khiến người nhận thư nhanh chóng làm theo hướng dẫn của hacker và vô tình cung cấp những thông tin quan trọng cho tội phạm.

Thu giữ các thiết bị làm giả thẻ ngân hàng trong một vụ án.

Chủ động phòng ngừa

Đại tá Lê Hồng Sơn, Trưởng phòng Cảnh sát phòng chống tội phạm sử dụng công nghệ cao (PC50) Công an Hà Nội cho rằng, với tốc độ phát triển mạnh mẽ của thương mại điện tử và thanh toán điện tử hiện nay tại Việt Nam thì những hành vi lừa đảo, gian lận thẻ ngân hàng hoặc các hoạt động thanh toán điện tử sẽ tiếp tục diễn biến phức tạp; tiềm ẩn nguy cơ tội phạm tấn công vào các website của các cơ quan, tổ chức, lấy cắp thông tin, dữ liệu thẻ tín dụng.

Bên cạnh đó, việc sử dụng các dịch vụ thanh toán, giao dịch ngân hàng trực tuyến thông qua các thiết bị di động như smart phone, máy tính bảng có xu hướng gia tăng cũng tiềm ẩn những nguy cơ bị tội phạm công nghệ cao lợi dụng hoạt động phạm tội khi thực tế trên thiết bị điện thoại thông minh, một số ứng dụng khi đăng nhập sẽ bị ẩn địa chỉ đường link.

Tuy nhiên, người sử dụng không nên vì quá lo lắng mà “tẩy chay” dịch vụ ngân hàng điện tử. Nâng cao cảnh giác, chủ động bảo vệ chặt chẽ thông tin tài khoản của mình cũng như bảo vệ các thiết bị thông minh liên quan đến việc sử dụng tài khoản là các biện pháp cần thiết để phòng ngừa tội phạm lừa đảo, trộm cắp thông tin thẻ tín dụng.

Một đối tượng phạm tội trộm cắp thông tin thẻ tín dụng, chiếm đoạt tài sản, bị bắt giữ cùng tang vật.

Khi sử dụng các giao dịch, mua bán, thanh toán trực tuyến, phải tuyệt đối giữ bí mật thông tin tài khoản lưu trữ, không được cung cấp các thông tin bao gồm số thẻ, hiệu lực thẻ, mã số bảo vệ in trên mặt sau thẻ, mật khẩu giao dịch ngân hàng trực tuyễn, mã pin... cho người khác, kể cả nhân viên ngân hàng.

Nếu nhận được thông báo bằng thư điện tử hay từ trang web của ngân hàng yêu cầu cung cấp hay tái khẳng định các thông tin cá nhân trong tài khoản, phải coi đây là thủ đoạn phishing của tội phạm, không mở và trả lời những email như vậy. Khách hàng nên tự mình mở trình duyệt, vào website của ngân hàng từ bàn phím, không thông qua đường link của email.

Dấu hiệu để nhận biết tài khoản đã bị phishing là những khoản thanh toán không rõ lý do do ngân hàng gửi đến. Nếu gặp những trường hợp này, khách hàng cần thông báo ngay cho ngân hàng để phối hợp giải quyết.

Về phía các ngân hàng, cơ quan, tổ chức, cũng cần thường xuyên nâng cao bảo mật hệ thống công nghệ thông tin để phòng ngừa các cuộc tấn công từ bên ngoài; đồng thời chủ động phòng ngừa rủi ro xuất phát từ chính nội bộ khi cán bộ ngân hàng vi phạm pháp luật hoặc câu kết với các đối tượng bên ngoài thực hiện các hành vi chiếm đoạt tiền của ngân hàng.