Có dễ bị “cướp sim, trộm tiền”?

Viettel và MobiFone “bị lừa” ?

Nhận thấy vụ mất tiền của anh Đặng Thanh Hải có dấu hiệu vi phạm pháp luật, Viettel đã chủ động báo với cơ quan công an để phối hợp điều tra làm rõ. Phía Viettel cho biết, việc cấp lại sim mới theo số của anh Hải diễn ra tại một cửa hàng Viettel ở TP Thanh Hóa, tỉnh Thanh Hóa. Kẻ xấu đã dùng 1 bản photo giấy CMND có dấu công chứng, đến cửa hàng giao dịch của Viettel cuối giờ làm việc để đăng ký các thủ tục.

Khi được hỏi về các số liên hệ gần đây, kẻ gian đã đưa ra 9 số điện thoại, trong đó có 5 số mà anh Hải đã liên lạc. Do tin tưởng bản photo đã có dấu công chứng, nên nhân viên Viettel đã không so CMND gốc và thực hiện đổi sim mới (vì theo quy định, bản sao CMND có công chứng cũng được thực hiện đăng ký sim và thông tin thuê bao).

Đại diện Viettel thừa nhận đây là lỗi của nhân viên, nhưng cho rằng Viettel cũng là nạn nhân trong vụ việc này. Đại diện Viettel cũng cho biết thêm, trước khi ngừng hoạt động sim của anh Hải, Viettel đã nhắn tin để báo. Nếu như lúc nhận được tin nhắn từ tổng đài 155, anh Hải gọi ngay lại để báo thì đã không xảy ra chuyện đáng tiếc này.

Theo ghi nhận của tổng đài, từ khi số anh Hải nhận được tin nhắn đến khi anh Hải gọi điện để phản ánh vụ việc anh bị “khóa sim” vô cớ là 49 phút. Trong thời gian này, kẻ gian đã lợi dụng số thuê bao “cướp” được của anh để thực hiện các giao dịch online từ tài khoản Maritime Bank của anh.

Trong trường hợp anh Vũ Minh Nhật (Thanh Xuân, Hà Nội), đại diện MobiFone xác nhận cũng đang phối hợp với cơ quan chức năng làm rõ. Ngày 15-7, đã có người sử dụng 1 bản photo giấy CMND có công chứng đúng thông tin của anh Nhật đến một đại lý của MobiFone để thực hiện việc này. MobiFone thừa nhận việc cắt sim và cấp lại sim của anh Nhật là do nhân viên đại lý làm sai quy trình. MobiFone khẳng định sẽ có biện pháp xử lý nghiêm khắc, đúng quy định.

Hiện nay, MobiFone đã thu thập thông tin liên quan và chuyển Công an Thanh Hóa điều tra làm rõ nguyên nhân.

Hàng loạt câu hỏi đặt ra

Theo giải thích của các nạn nhân, sở dĩ họ bị mất tiền trong tài khoản ngân hàng vì kẻ gian đã dùng số điện thoại “cướp” được để nhận mã OTP từ phía ngân hàng khi thực hiện giao dịch thanh toán mua hàng trực tuyến. Thực tế, hệ thống thanh toán trực tuyến này chỉ cần khách hàng nhập số thẻ (dãy số in trên thẻ), tên chủ thẻ và ngày hiệu lực (hoặc ngày cấp) thẻ, sau đó nhận mật khẩu OTP qua số di động là đã có thể thực hiện giao dịch.

Những thông tin như tài khoản ngân hàng, sim điện thoại di động cần được bảo mật kỹ hơn khi tham gia sử dụng dịch vụ OTP.

Chính vì thế, hàng loạt câu hỏi đặt ra: Hệ thống ngân hàng liên quan đến tài sản của khách hàng mà điều kiện để cho phép thông qua một giao dịch như vậy có quá đơn giản và dễ rủi ro? Người cướp sim của anh Hải và anh Nhật chắc chắn là người hiểu rõ về giao dịch trực tuyến, cũng như nắm rõ thông tin cá nhân của họ, vậy người này phải chăng có quan hệ thân quen với anh Hải, anh Nhật? Thực tế, anh Hải sống ở TPHCM và anh Nhật sống ở Hà Nội, đều khẳng định đã giữ kín thông tin cá nhân, không làm mất điện thoại, sim, ví, thẻ ATM...

Vậy nếu không phải người quen thì kẻ gian làm thế nào lấy được các thông tin này? Phải chăng các nạn nhân đã để lộ các thông tin trong quá trình giao dịch online, đã bị theo dõi từ lâu hoặc đã bị cài trojan, keylogger để lấy cắp thông tin thẻ? Tức là họ đã bị theo dõi và bị lấy cắp toàn bộ thông tin cá nhân liên quan và việc kẻ gian dùng giấy tờ giả mạo, lừa các cửa hàng giao dịch của Viettel, MobiFone để “cướp số thuê bao” là bước cuối cùng để chúng thực hiện trò lừa đảo, ăn cắp này.

Cần thấy rõ, trong cả hai trường hợp này, nhà mạng Viettel và nhà mạng MobiFone đều dễ dàng cắt số thuê bao khách hàng đang dùng và cấp lại sim cho kẻ gian, liệu quy trình cấp lại sim có quá dễ dãi và liệu nhân viên nhà mạng có thiếu ý thức và thiếu sự cẩn trọng trong việc bảo vệ sim số của khách hàng khỏi tình trạng lừa đảo, cướp sim? Có phải ngẫu nhiên khi cả 2 trường hợp đều có cách thức cướp sim và lấy tiền trong tài khoản giống nhau và đều được thực hiện ở Thanh Hóa?

* OTP (One time password - mật khẩu dùng một lần) là mật khẩu được gửi qua số điện thoại di động của khách hàng. Khi đăng ký dịch vụ, khách hàng sẽ phải đăng ký với nhân viên số điện thoại di động dùng để nhận mật khẩu xác thực trên hệ thống online của ngân hàng cũng như Mobile Service. Khi thực hiện giao dịch, khách hàng chọn phương thức xác thực lệnh là phương thức OTP SMS sẽ được nhận tin nhắn chứa mật khẩu xác thực qua điện thoại di động. Ngoài việc xác nhận mật khẩu đăng nhập, hệ thống còn yêu cầu khách hàng nhập thêm mật khẩu OTP SMS này để xác nhận lệnh. * Liên quan đến vụ việc nói trên, các chuyên gia bảo mật khuyến cáo, khi biết sim số của mình bị tấn công, việc đầu tiên khách hàng cần làm là thông báo với ngân hàng nơi mở tài khoản đề nghị khóa giao dịch với số điện thoại đó. Cả hai trường hợp vừa xảy ra, anh Hải và anh Nhật đều không liên lạc với ngân hàng mà làm việc với nhà mạng để đòi sim. Trong thời gian đó, kẻ gian đã nhanh tay hơn, thực hiện các giao dịch trộm tiền từ tài khoản. Kẻ xấu chỉ có thể giao dịch mua bán, thanh toán online trong trường hợp này, chứ không thể rút tiền mặt từ tài khoản ngân hàng được.