Từ vụ khách mất 400 triệu đồng, ngân hàng có nên gửi OTP qua SMS?
Cuối tuần qua,ừvụkháchmấttriệuđồngngânhàngcónêngửlịch âm lịch 2024 một người dùng tại TP.HCM cho biết mình đã bị chuyển mất hơn 400 triệu trong tài khoản dù không biết giao dịch xảy ra vào lúc nào.
Trả lời báo chí, ông Trần Việt Luận, trú tại quận Thủ Đức, TP.HCM cho biết sự việc xảy ra vào ngày 4/9. Theo đó, thông qua ứng dụng Digibank của Vietcombank, số tiền 406 triệu trong tài khoản của ông Luận được chuyển tới 2 tài khoản ở các ngân hàng khác trong 4 giao dịch.
Mất hơn 400 triệu mà không hề hay biết
Ông Luận cho biết mình không hề thực hiện các giao dịch này, và cũng không biết những người thụ hưởng là ai. Phải tới chiều cùng ngày, khi ra ngân hàng thì chủ tài khoản mới biết đã bị mất tiền.
Trong khi nạn nhân cho biết không nhận được tin nhắn (SMS) của ngân hàng thông báo mã xác thực hay thay đổi số dư trong tài khoản, thì ngân hàng lại cho rằng cả 4 giao dịch đều hợp lệ, đã có 8 tin nhắn được gửi tới số điện thoại của chủ tài khoản.
![]() |
Theo Vietcombank, để kích hoạt dịch vụ Digibank và mở Smart OTP đều phải xác thực qua tin nhắn. |
Trong công văn phản hồi vụ việc của ông Luận, theo Vietcombank thì tài khoản trên ứng dụng VCB Digibank của nạn nhân đã được kích hoạt, thực hiện lệnh chuyển tiền trên một thiết bị khác. Ông Luận cho rằng mình không cung cấp, chia sẻ tài khoản hay mật khẩu cho ai.
Theo quy trình của Vietcombank, khi khách hàng chuyển đổi ứng dụng Digibank sang một thiết bị mới và muốn kích hoạt Smart OTP (mã bảo mật bên trong ứng dụng, không cần nhận qua SMS), họ sẽ phải xác thực từng bước một bằng hình thức nhập OTP qua SMS.
Sau khi tra soát, Vietcombank cho biết hệ thống đã gửi tin nhắn chứa mã xác thực tới số điện thoại của khách hàng 2 lần để kích hoạt Digibank và Smart OTP, và cả 2 lần mã xác thực đều được nhập chính xác.
Tiếp sau đó, hệ thống yêu cầu người dùng phải thực hiện 2 giao dịch với hình thức xác thực OTP qua SMS mới có thể dùng Smart OTP. Ở khâu này, đối tượng tiếp tục nhập đúng mã xác thực và chuyển 89 triệu cho một tài khoản tại Ngân hàng Đông Nam Á (SEA Bank).
Sau khi dùng được tính năng Smart OTP trên thiết bị mới, đối tượng thực hiện 2 giao dịch, chuyển 317 triệu đồng tới tài khoản tại Ngân hàng Hàng hải Việt Nam (MSB).
Cần loại bỏ xác thực OTP SMS khỏi các giao dịch ngân hàng
Dựa trên công văn của Vietcombank, có thể thấy đối tượng lừa đảo đã phải chiếm được quyền kiểm soát, đọc tin nhắn điện thoại của ông Luận mới có thể nhập đúng OTP qua SMS tới 4 lần.
Lý giải về vụ hack này, chuyên gia bảo mật cho rằng lỗ hổng trong phương thức xác thực SMS OTP chính là điểm yếu được hacker tận dụng.
![]() |
Vào tháng 6, Bkav cũng cảnh báo về ứng dụng chạy ẩn trên các trang web giả mạo Bộ Công an, có khả năng thu thập dữ liệu của người dùng khi cài vào máy. Ảnh: Bkav. |
Trong bài viết trên diễn đàn bảo mật Whitehat, nhóm chuyên gia an ninh mạng của Bkav cho rằng có 2 kịch bản mà hacker có thể dựng lên để lừa người sử dụng. Trong đó, kịch bản đầu tiên là kẻ xấu lừa nạn nhân nhập OTP và website giả mạo để chiếm mã OTP, từ đó tạo ra giao dịch chuyển tiền giả.
Kịch bản thứ hai là kẻ xấu lừa nạn nhân cài phần mềm gián điệp trên điện thoại, có khả năng theo dõi mọi thông tin, bao gồm cả tin nhắn chứa mã OTP và thông tin đăng nhập vào ứng dụng ngân hàng. Với các thông tin này, hacker có thể tự thực hiện giao dịch chuyển tiền.
Tuy vậy, một số chuyên gia an ninh quốc tế lại cho rằng thiết bị người dùng có thể đã không bị chiếm quyền.
"Theo thông báo từ ngân hàng, tài khoản đã bị ăn cắp và đăng nhập ở một thiết bị mới, nên có vẻ không phải nạn nhân bị 'điều khiển từ xa'", Phạm Văn Toàn, chuyên gia về bảo mật đang làm việc tại một tập đoàn công nghệ ở Singapore chia sẻ với Zing.
Theo chuyên gia Phạm Văn Toàn, với hình thức gửi OTP qua SMS, có đến 3 phía có thể bị tấn công gồm: ngân hàng, nhà mạng và người dùng.
Ở phía người dùng, có thể điện thoại bị cài các ứng dụng bên thứ 3 có quyền đọc tin nhắn. Về phía ngân hàng, có thể giải thuật cấp OTP của họ đã bị đoán được hoặc server bị hack.
Trong khi đó, thông tin truyền giữa các cột sóng của nhà mạng có thể đã bị giải mã, server nhà mạng bị hack hoặc thậm chí SIM vật lý của người dùng đã bị sao chép.
"Hình thức OTP qua SMS đã không còn an toàn bởi nó có đến 3 bên có thể bị tấn công", Nguyễn Trí Đức, chuyên gia an ninh mạng đang làm việc tại Mỹ cho biết.
Theo ông Đức, các ngân hàng có thể tham khảo các công cụ tạo mã xác thực như Google Authenticator hay Duo Mobile. "Những trình tạo mã này không cần Internet, không cần nhận tin nhắn, từ đó loại bỏ các yếu tố can thiệp bên ngoài", ông Đức nói thêm.
(Theo Zing)
![Vụ “hack” 400 triệu trong tài khoản ngân hàng: Có nên bảo mật bằng mã OTP?](https://vnn-imgs-f.vgcloud.vn/2020/10/06/16/ung-dung-ngan-hang.jpg?w=145&h=101)
Vụ “hack” 400 triệu trong tài khoản ngân hàng: Có nên bảo mật bằng mã OTP?
Theo ông Nguyễn Tử Quảng, việc bảo mật bằng mã OTP có những điểm yếu nhất định. Đây là nguyên nhân dẫn tới những vụ trừ tiền tài khoản ngân hàng thời gian qua.
相关推荐
-
Siêu máy tính dự đoán Crystal Palace vs Everton, 00h30 ngày 16/2
-
Erik tiết lộ tật xấu 'khó đỡ' của Đức Phúc và Hòa Minzy
-
Nhận định, soi kèo Duhok vs Baghdad, 19h30 ngày 29/12
-
Saigon mưa rơi: MV về Sài Gòn của Hồ Quang Hiếu và ca sĩ hot nhất Malaysia gây sốt MXH Việt
-
Soi kèo phạt góc Melbourne Victory vs Wellington Phoenix, 15h35 ngày 14/2
-
Nhận định, soi kèo Ipswich vs Queens Park Rangers, 2h45 ngày 30/12
- 最近发表
-
- Soi kèo góc Leicester vs Arsenal, 19h30 ngày 15/2
- Hà Anh Tuấn hát nhạc phim 'Ngôi nhà hạnh phúc', tiết lộ về mối tình đầu
- Nhận định, soi kèo Mohammedan Dhaka vs Sheikh Russel KC, 15h30 ngày 29/12
- Lê Minh Sơn và phút nói thật cực hài hước
- Nhận định, soi kèo SLNA vs Hải Phòng, 18h00 ngày 15/2: Chia điểm?
- Bùi Anh Tuấn cover bản hit của Đan Trường cực ngọt
- Ưng Hoàng Phúc lần đầu tái hợp cùng HAT sau 18 năm
- Mỹ Tâm thắng đúp, đám cưới Khắc Việt, Tố Ny hot nhất showbiz tuần qua
- Soi kèo góc Osasuna vs Real Madrid, 22h00 ngày 15/2
- Bộ tứ HLV Giọng hát Việt 2018 chính thức lộ diện
- 随机阅读
-
- Nhận định, soi kèo Saint
- Mất giọng, Ya Suy tuyên bố từ bỏ sân khấu
- Nhận định, soi kèo Najma Manama vs Al Hidd, 22h30 ngày 29/12
- Bùi Anh Tuấn cover bản hit của Đan Trường cực ngọt
- Soi kèo phạt góc AZ Alkmaar vs Galatasaray, 3h00 ngày 14/2
- Thần tượng bolero tập 8 Như Quỳnh bật khóc nức nở trên sóng truyền hình
- Tóc Tiên khoe hình thể sexy 'bỏng mắt' trong MV mới
- Nhận định, soi kèo Al Wathba vs Al Ittihad Aleppo, 18h00 ngày 29/12
- Nhận định, soi kèo Southampton vs Bournemouth, 22h00 ngày 15/2: Tận dụng 'mỏ điểm'
- Mỹ Tâm xứng đáng là ca sĩ hot nhất năm
- Nhận định, soi kèo Olympic Azzaweya vs Al Bashayir SC, 20h30 ngày 30/12
- Nhận định, soi kèo NEC FC vs Bright Stars, 23h00 ngày 29/12
- Nhận định, soi kèo Villarreal vs Valencia, 03h00 ngày 16/2: Ám ảnh xa nhà
- Thanh Lam, Mr Đàm khắc khoải trong đêm nhạc Phú Quang
- Thực hư chuyện Phi Nhung bị chặn đường vòi tiền, kéo rách áo khi đi diễn tỉnh
- Nhận định, soi kèo Najma Manama vs Al Hidd, 22h30 ngày 29/12
- Nhận định, soi kèo Crystal Palace vs Everton, 00h30 ngày 16/2: Chia điểm
- Nhận định, soi kèo Ipswich vs Queens Park Rangers, 2h45 ngày 30/12
- Hồ Quỳnh Hương nói gì về loạt biệt thự trải dài từ Bắc vào Nam?
- Tăng Nhật Tuệ lên tiếng sau ồn ào của nhóm Zero 9
- 搜索
-
- 友情链接
-