Nghi vấn quanh vụ "mất 30 triệu vì bị khóa SIM"

Hai ngày nay, trên nhiều diễn đàn xuất hiện thông tin cảnh báo từ một người dùng có nickname Cuckoo về việc đột ngột bị khóa SIM khi vẫn đang sử dụng bình thường, và chỉ trong vòng 50 phút từ lúc bị khóa, tài khoản ngân hàng của người này đã bị rút ruột 30 triệu đồng.

Đầu đuôi vụ việc

Theo tường trình của người này, anh ta có tên là Thanh Hải, đang sử dụng sim với số điện thoại số đt 09xx.758.xxx. Lúc 20h5p ngày 10/7 vừa qua, anh Hải nhận được tin nhắn từ đầu số của nhà mạng thông báo Số thuê bao mà anh đang dùng sẽ được đổi sang SIM mới. Sau đó, Sim của anh bị khóa, không dùng được nữa.


Khoảng 20 phút sau, Hải liên hệ với Tổng đài thì được báo có người báo mất đúng số SIM anh đang dùng và xin cấp lại SIM mới. Đến 20h55p cùng ngày, anh Hải kiểm tra số dư tài khoản ngân hàng thì phát hiện mình đã bị mất tới 30 triệu trên tổng số dư hơn 44 triệu đồng. Do sợ mất thêm tiền, ngay trong đêm, anh đã chạy ra ATM của Maritime Bank để kiểm tra và rút số tiền 14 triệu còn lại khỏi tài khoản.


Sáng ngày 11/7, anh Hải cho biết đã lên Trung tâm của nhà mạng di động để xin cấp lại SIM. Hiện tại, số SIM này anh đã lấy lại được, nhưng những câu hỏi như vì sao SIM đang sử dụng bình thường lại bị khóa và cấp lại rất nhanh, cũng như số tiền 30 triệu bị mất sẽ phải xử lý ra sao thì hiện vẫn chưa nhận được câu trả lời từ phía nhà mạng.


Vì sao mất tiền?


Theo như phân tích của chính Cuckoo trên các diễn đàn cảnh báo, thì hiện nay, với phần lớn giao dịch qua Internet banking trên mạng, ngân hàng sẽ gửi mật khẩu xác nhận một lần (OTP) đến số điện thoại mặc định mà khách hàng đã đăng ký.

Anh Hải nghi ngờ rằng, thủ phạm đã nắm được tên chủ tài khoản và số tài khoản do anh bán hàng trên mạng, cần công khai những thông tin này để khách hàng chuyển khoản mua hàng. Sau đó, khi nắm được SIM của anh trong tay, thủ phạm sẽ nhận được mã số OTP để hoàn tất giao dịch. Cũng theo sao kê do ngân hàng gửi thì số tiền 30 triệu bay hơi đã được kẻ gian sử dụng để mua thẻ (không rõ thẻ gì) từ Công ty CPDV The SM.


Theo quy trình hiện tại của các nhà mạng, khi báo mất SIM và muốn lấy lại SIM, người dùng phải kê khai được 5-10 số điện thoại liên lạc gần nhất. Một kịch bản mà anh Hải cho rằng kẻ gian đã sử dụng là sử dụng SIM khuyến mãi để giả làm khách mua hàng gọi đến số của anh, sau đó dùng chính những số này để xin cấp SIM mới.


Còn nhiều nghi vấn


Dù chỉ mới xuất hiện trên các diễn đàn từ hôm 13/7 song topic "Cảnh báo" của Cuckoo đã nhanh chóng thu hút được rất nhiều chú ý từ các thành viên, cũng như được chia sẻ lại trên mạng xã hội Facebook. Khá nhiều ý kiến tỏ ra hoang mang và lo sợ về cơ chế bảo mật của Internet Banking hiện nay, khi tiền có thể bị hô biến quá dễ dàng.


Tuy vậy, cũng có không ít thành viên đã chỉ ra những nghi vấn trong vụ việc, mà hiện tại vẫn chưa thể xác thực được tính chính xác của nó đến đâu.


"Tôi nghĩ không đơn giản là chỉ chiếm được SIM điện thoại mà rút được tiền ngay. Cần phải mất thêm một số thông tin khác như username, mật khẩu hoặc số thẻ và ngày phát hành thẻ", một thành viên trên Otofun phân tích.


Hiện nay, đối với các dịch vụ Internet banking trực tiếp do ngân hàng cung cấp (chẳng hạn như của Vietcombank), người dùng sẽ phải khai báo username và mật khẩu để truy cập được tài khoản. Nhưng nếu như họ tiến hành mua hàng online qua các dịch vụ trung gian như Smartlink (như mua vé xem phim, mua thẻ game, các dịch vụ mua hàng theo nhóm), thông tin được yêu cầu sẽ là tên chủ thẻ, số thẻ ATM và ngày tháng phát hành cùng với mật khẩu OTP. Cũng có nghĩa là ngoài mật khẩu OTP có được do chiếm đoạt SIM, thủ phạm còn cần nhiều thông tin khác như mật khẩu Internet Banking hoặc số thẻ ATM của nạn nhân.


Thành viên Richter trên cùng diễn đàn này thì đặt dấu hỏi về việc khóa SIM sau đó ngay lập tức kích hoạt lại SIM là có thể hay không, khi mà bản thân thành viên này đã từng khóa SIM nhưng phải chờ đến vài ngày sau, đến phòng giao dịch nhiều lần và trình CMTND bản gốc mới lấy lại được. Trong khi đó, chỉ trong vòng 50 phút kể từ SIM của anh Hải bị khóa, thủ phạm không những kích hoạt được SIM mà còn đủ thời gian để thực hiện hàng loạt giao dịch mua bán qua mạng và chiếm đoạt số tiền khá lớn?


Đồng quan điểm, thành viên Bino trấn an các ý kiến hoang mang khi hỏi ngược "Nếu chỉ cần có điện thoại cũng rút được tiền thì bao nhiêu vụ mất điện thoại trước nay đều là mất hết?". Theo phân tích của thành viên này thì số thẻ ATM là một thông tin chưa từng được chủ topic công bố, sao lại có thể lọt vào tay kẻ gian. Hơn nữa, số thẻ ATM rất khó nhớ, bản thân chủ thẻ cũng không biết và không nhớ được nếu không lấy thẻ ra. Kích hoạt SIM mới là việc "rất mất thời gian, lại phải có Chứng minh thư". Trong trường hợp này, kẻ gian không thể có chứng minh thư của Cuckoo thì hắn kích hoạt lại SIM bằng cách nào.


"Nói chung tôi nghĩ lấy được tiền kiểu này không dễ và còn rất nhiều điểm đáng ngờ, cần có ý kiến từ phía công an", người này kết luận.


Một thành viên khác am hiểu về hệ thống ngân hàng thì cho rằng, giả thiết của chủ topic về việc kẻ gian mua thẻ từ Công ty DV The SM là không đúng, vì thực chất đây chính là Smartlink, đơn vị trung gian thanh toán cho nhiều website bán hàng qua mạng. Có thể kẻ gian đã mua hàng tại nhiều site thông qua dịch vụ của Smartlink chứ không phải mua thẻ game/thẻ điện thoại như anh Hải phân tích. Về việc xác thực khách hàng thanh toán online sử dụng OTP và thông tin thẻ, thành viên này cũng khẳng định đây là "chuẩn quốc tế rồi chứ đâu phải tự nhiên VN tự sáng tạo ra". Nếu mọi người sử dụng thẻ tín dụng Visa Master thì thậm chí còn không cần tới mã OTP.


Một số thành viên đặt ra khả năng chủ topic đã bị hack máy tính và cài phần mềm theo dõi bàn phím từ trước, do đó toàn bộ thông tin nhạy cảm như số thẻ, mật khẩu đã lọt vào tay kẻ gian và hắn chỉ cần bước cuối cùng là đoạt SIM để lấy mã OTP. Tuy nhiên, một câu hỏi lớn vẫn vướng ở khâu kích hoạt lại SIM khi không có chứng minh thư.


Hiện tại, các bên liên đới vẫn chưa đưa ra ý kiến gì về vụ việc. Trong lúc chờ đợi hiện tượng được xác thực và xác minh, người dùng cần tiến hành các biện pháp tự bảo vệ mình trước những nguy cơ tương tự bằng cách không tiết lộ quá nhiều thông tin cá nhân trên mạng, sử dụng nhiều mật khẩu khác nhau cho các dịch vụ email, ngân hàng, diễn đàn, không truy cập tài khoản ngân hàng từ máy tính công cộng....

Theo Trọng Cầm

Vietnamnet

"chuẩn quốc tế rồi chứ đâu phải tự nhiên VN tự sáng tạo ra" nhưng quên rằng dân việt nam đầy óc sáng tạo, về công nghệ thông tin cũng không kém ai ... nhưng chỉ chuyên mánh lới ăn cắp...

Anh Hải chưa kịp định hình tại sao sim số mình đang dùng lại bị khóa thì chỉ trong vòng một tiếng, 30 triệu đồng trong tài khoản ngân hàng của anh đội nón ra đi.

Câu chuyện anh Đặng Thanh Hải (TP HCM) chia sẻ trên một diễn đàn mạng đang gây xôn xao hai ngày qua. Anh là chủ thuê bao của Viettel, và cũng là khách hàng mở tài khoản tại Ngân hàng Hàng hải Việt Nam (Maritime Bank).
Khoảng 20h ngày 10/7, bỗng dưng anh Hải nhận được tin nhắn từ đầu số 155 của Viettel, cho biết số thuê bao anh đang sử dụng sẽ được đổi sang sim mới. Ngay lập tức, thẻ sim trên máy điện thoại của anh bị khóa và không thể sử dụng được. Liên hệ với tổng đài, thuê bao được biết có người đã thông báo mất sim và xin cấp lại chính chiếc sim anh đang dùng. Số điện thoại bị "cướp" đã được anh đăng ký để sử dụng các giao dịch Internet và SMS banking.

Ngay sau khi nhận được tin nhắn này, sim của anh Hải bị vô hiệu hóa. Ảnh chụp màn hình.

Chột dạ và nghi ngờ có thể bị mất tiền, ngay trong đêm đó anh ra ATM của Maritime Bank và kiểm tra phát hiện tài khoản đã "bốc hơi" 30 triệu đồng. Còn lại 14 triệu đồng, anh nhanh chóng rút nốt để ngăn chặn thiệt hại lớn hơn. Hôm sau, ra ngân hàng yêu cầu sao kê các giao dịch, anh Hải phát hiện trong thời gian từ 20h21 đến 20h55 tối đã có 3 giao dịch đáng ngờ và tổng số tiền thanh toán lên tới 30 triệu đồng. Các giao dịch này thực hiện trong vòng một tiếng kể từ khi anh nhận được tin nhắn báo khóa sim.

3 giao dịch thanh toán online được thực hiện chóng vánh trong 50 phút và nạn nhân bị mất 30 triệu đồng. Ảnh chụp màn hình.

Sáng hôm sau, anh lên trung tâm khách hàng của Viettel và được cấp lại số điện thoại ngay sau đó. Nhưng những nghi vấn anh đặt ra về việc cấp sim dễ dàng và thiệt hại tài chính của anh vẫn chờ câu trả lời.
"Tại sao số điện thoại tôi đang dùng bình thường lại có thể tùy tiện cắt và cấp cho một người nào đó (kẻ gian) mà đến nay vẫn chưa có câu trả lời cũng như hướng giải quyết thỏa đáng", anh Hải đặt nghi vấn. Anh cũng yêu cầu nhà mạng có câu trả lời về số tiền trong tài khoản của anh đã mất, nhưng được yêu cầu chờ đợi. "Nữ nhân viên cho biết tối đa trong 20 ngày sẽ có phản hồi", anh Hải kể.
Theo tìm hiểu của anh Hải có thể kẻ gian đã giả mạo chứng minh nhân dân (CMND) với họ tên, ngày sinh, địa chỉ của anh tới phòng giao dịch và báo mất sim. Quy định hiện nay, khi báo mất và cấp lại sim, nhà mạng sẽ yêu cầu chủ thuê bao kê khai 5 cuộc gọi đến và đi trong vòng 3 tháng. Trao đổi với VnExpress.net, anh Đặng Thanh Hải cho biết, anh buôn bán online từ lâu và việc những số máy lạ gọi điện đến sim của anh thường xuyên. Không loại trừ việc kẻ gian đã cố tình đóng giả khách hàng để lấy được những truy vết gọi đến, gọi đi này và khai báo với nhà mạng.
Một giả thiết được nạn nhân đưa ra là kẻ gian đã lấy tiền bằng cách thanh toán online. Không chỉ có thẻ tín dụng quốc tế, các ngân hàng Việt Nam hiện đều cung cấp dịch vụ thanh toán online cho thẻ ghi nợ nội địa (thẻ ATM). Để thanh toán mua hàng hóa online, chủ tài khoản chỉ cần 3 yếu tố. Thứ nhất là số điện thoại di động - chủ thẻ phải đăng ký số điện thoại này với ngân hàng để xác thực giao dịch và nhận các thông báo của ngân hàng. Thứ hai là số thẻ (series in trên mặt trước thẻ). Và thứ ba là mã xác nhạn OTP (mật khẩu một lần).
Mỗi khi mua hàng, thanh toán dịch vụ, khách hàng vào trang web thanh toán online, chọn ngân hàng có tài khoản thanh toán, nhập họ tên chủ thẻ, mã số thẻ. Sau đó, hệ thống sẽ tự động gửi OTP về số điện thoại đã đăng ký Internet Banking của chủ tài khoản. Nhập mật khẩu này xong, giao dịch được hoàn tất.
Tên chủ thẻ và số thẻ, kẻ gian không khó tìm kiếm nếu chủ thẻ sơ sẩy để lộ thông tin. Nhưng muốn có OTP, kẻ gian phải có được số điện thoại đã đăng ký với ngân hàng và một khi đã có sim số đó, khả năng mất tiền trong tài khoản ngân hàng hoàn toàn có thể xảy ra.

Nạn nhân cho biết, khi thanh toán online chỉ yêu cầu nhập thông tin đơn giản như họ tên và mã số thẻ in ở mặt trước. Ảnh chụp màn hình.

VnExpress.net đã liên lạc với đại diện hãng viễn thông Viettel, đơn vị này cho biết sẽ sớm có câu trả lời về vụ việc.
Đại diện một công ty cung cấp giải pháp và dịch vụ thanh toán online cho ngân hàng và các đơn vị cung cấp dịch vụ, hàng hóa (trong đó có cả Viettel) cho rằng có hai kẽ hở trong vụ việc đáng tiếc vừa xảy ra. Thứ nhất là thông tin chủ thẻ bị lộ và thứ hai, nhiều khả năng quy trình cấp lại sim số đã bị lợi dụng. Chủ thẻ thường chủ quan để lộ tên, số chứng minh thư và số thẻ ngân hàng mà không ngờ một ngày những thông tin này sẽ bị kẻ gian sử dụng.
"Việc cấp lại sim thuận tiện cho khách hàng nhưng dễ dàng bị lợi dụng nếu ai đó cố tình giả mạo chứng minh thư, chứng minh vài cuộc gọi đi gọi đến. Điều này càng nguy hiểm khi các bên tham gia cung cấp dịch vụ thanh toán online. Thanh toán online mới ở giai đoạn đầu phát triển, nếu ngay từ lúc này các bên không tuân theo các chuẩn mức an toàn, rủi ro sau này sẽ rất lớn", vị này nói. Theo đại diện công ty, trường hợp tương tự đã xảy ra với thuê bao của một hãng viễn thông khác.
Bản thân nạn nhân - anh Hải cho rằng nguyên nhân chính dẫn đến sự việc đáng tiếc này nằm ở việc anh bị mất sim di động và để kẻ gian thoải mái nhận mã OTP và lấy tiền. "Tại sao nhà mạng lại để xảy ra những sai sót nghiêm trọng như thế này và quy trình cấp lại sim như vậy quá lỏng lẻo", anh Hải thắc mắc.
Đến chiều 16/7, đại diện Viettel cho biết chưa có bình luận nào về vụ việc lần này. "Chúng tôi đang phối hợp với các cơ quan điều tra để tìm hiểu và xác minh thông tin, đồng thời làm việc thêm với khách hàng", một đại diện của Viettel nói.

Thanh Lan - Anh Quân