Cảnh báo: Mất tiền, bị hack tài khoản ngân hàng qua điện thoại ngày càng gia tăng!

Sử dụng tài khoản ngân hàng trực tuyến trên điện thoại, hay còn gọi là các ứng dụng iBanking có thể dễ dàng khiến bạn bị hack tài khoản ngân hàng hơn.

Điện thoại di động được cho là rất dễ bị hack do người dùng thường không cài đặt các phần mềm bảo mật, ứng dụng chống virus trên máy. Mặc dù có bảo mật thiết lập sẵn nhưng điều đó không có nghĩa là các thiết bị thông minh cá nhân này sẽ không gặp nguy hiểm. Apple từng khuyến cáo người dùng iPhone liên tục cập nhật phần mềm mới do có các lỗ hổng cho phép hacker chiếm quyền điều khiển máy.

Theo các chuyên gia bảo mật, tội phạm mạng có xu hướng tấn công người dùng điện thoại không chỉ nhằm vào dữ liệu mà ngày càng hướng đến mục tiêu là tài chính của nạn nhân. Bằng cách cài cắm các thể loại mã độc trên điện thoại Android hoặc iPhone của nạn nhân, những thông tin ngân hàng sẽ bị đánh cắp qua quá trình đăng nhập của chính chủ tài khoản trên thiết bị cá nhân.

Mã độc xuất hiện trên điện thoại khi người dùng nhấn vào tin nhắn từ một nguồn không rõ ràng hoặc nhấp vào đường link quảng cáo trên một website nào đó. Khi mã độc được cài, chúng thường nằm ẩn mình cho tới khi người dùng mở các ứng dụng ngân hàng. Sau đó chúng sẽ tạo một lớp bọc cảm ứng có khả năng ghi nhớ, sao chép các thao tác trên các ứng dụng ngân hàng thật, cho phép tội phạm theo dõi từng hoạt động của điện thoại và đánh cắp các thông tin tài khoản.

Một hình thức lừa đảo người dùng nhấn vào link quảng cáo và vô tình cài phần mềm độc hại vào máy của mình

"Với vai trò của một ngân hàng, bạn có thể có mọi hình thức bảo vệ mà bạn muốn, nhưng trừ khi có cách bảo mật các thiết bị di động, bạn không thể chống lại hình thức tấn công này," Ross Hogan, Chủ tịch toàn cầu của mảng chống lừa đảo tại Kaspersky Lab, cho biết.

Hình thức tấn công này chủ yếu nhắm vào các ngân hàng lớn vì tiềm lực của những ngân hàng này có thể đủ điều kiện để phát triển và duy trì những ứng dụng ngân hàng trực tuyến riêng biệt. Các loại mã độc phổ biến được sử dụng cho phương thức tấn công trên là  Acecard và GM Bot hiện đang rất phổ biến trên thế giới. Một hacker có thể dễ dàng tìm mua được các phần mềm độc hại nói trên từ các diễn đàn ngầm. Rất khó để xác định được bao nhiều tiền đã bị trộm theo cách này, phần lớn là do tội phạm có thể truy xuất vào tài khoản thông qua bất kỳ kênh nào sau khi chúng ăn trộm thông tin trên điện thoại. Tỉ lệ mã độc xuất hiện khá cao đã khiến FBI và các ngân hàng phải đau đầu tìm giải pháp.

Ian Holmes, người đảm nhiệm giải quyết các vấn đề liên quan đến lừa đảo ngân hàng cho hãng phân tích SAS, ước tính mã độc Acecard có thể giả mạo tới 50 ứng dụng khác nhau. Nó đang trở nên phổ biến trong thế giới tội phạm", Holmes nói. Mối đe dọa này cho thấy một cách tiếp cận mới của tội phạm ăn cắp thông tin tài khoản ngân hàng. Trong lúc đó, một loạt các lỗ hổng trong nhiều năm qua đã dẫn tới tình trạng thẻ bị đánh cắp. Chúng được bán trên các website ngầm với giá 1 USD, nghĩa là chỉ khoảng 20.000 đồng Việt Nam.

Đầu năm 2016, Cục Dự trữ Liên bang của Mỹ đã thông báo rằng trong 12 tháng trước đó, 53% người dùng điện thoại có tài khoản ngân hàng đã dùng các ứng dụng iBanking, tăng từ 43% trong năm 2011. Hoạt động phổ biến nhất là kiểm tra số dư tài khoản.

Một nghiên cứu mới đây của SAS và Công ty Javelin Strategy & Research chỉ ra rằng chưa đầy 1/3 người dùng smartphone sử dụng phần mềm diệt virus trên điện thoại. Thêm vào đó, một số người dùng còn vô tình tạo cơ hội cho các mối đe dọa từ bên ngoài, do tự ý tinh chỉnh hệ điều hành nhằm cài đặt các ứng dụng từ bên thứ ba tiềm ẩn nhiều rủi ro bảo mật.

Điều này cũng cho thấy sự thất bại của các ngân hàng trong việc thúc đẩy người dùng chuyển sang các kênh số hóa nhằm giảm chi phí cũng như tăng hiệu quả. Các ngân hàng thường trả lại tiền bị trộm từ các tài khoản, cụ thể là nếu họ kịp phát hiện ngay sau khi xảy ra mất cắp.

Trong một vài trường hợp, mã độc còn thêm vào các ô thông tin như ngày sinh và số an sinh xã hội (Social Security number), ông Jacobs từ  FBI cho biết. Một số mã độc còn dò được mã xác nhận mà ngân hàng gửi cho người dùng theo đường tin nhắn để xác nhận bước 2. Một khi lấy được thông tin tài khoản của người dùng, các mã này gửi thông tin trực tiếp đến chủ của chúng để vòi tiền. Một số mã độc khác lại bán chúng với giá 15.000 USD.

Các ngân hàng tuyên bố họ đang cố ngăn cản những mã độc này bằng cách thường xuyên cập nhật và giám sát ứng dụng của họ. Họ cũng cho biết hệ thống bảo mật của ngân hàng có thể phát ra những cảnh báo nếu thấy các hành vi bất thường, ví dụ như rút một lượng lớn tiền hoặc tài khoản được truy xuất từ một thiết bị mới. Trong những trường hợp này, ngân hàng sẽ yêu cầu thêm thông tin từ người dùng. Tuy vậy, vẫn rất khó để lần ra những tên tội phạm này vì khách hàng thường không để ý rằng tài khoản của mình đã bị trộm cho tới khi họ đăng nhập vào tài khoản bằng điện thoại. Thêm nữa, khách hàng thường không cho rằng điện thoại của mình là mục tiêu của tin tặc và tội phạm mạng.

Xuân Dung