Hơn 100.000 USD ‘bốc hơi’ sau khi bị lừa cung cấp mã OTP
Một bác sĩ tại bang Maryland (Mỹ) đã mất 106.000 USD chỉ sau một cuộc gọi lừ.a đả.o vỏn vẹn 19 giây.
Vợ chồng Apgar đều là bác sĩ sản khoa tại một bệnh viện ở bang Maryland (Mỹ). Họ đầu tư vào tiề.n điện tử vài năm trước và trong tháng 12.2021, tài khoản người chồng tăng lên 106.000 USD, chủ yếu từ Bitcoin. Cũng như đa phần người Mỹ khác, họ thực hiện giao dịch và lưu trữ tiề.n điện tử trên sàn Coinbase.
Tháng trước, khi bác sĩ Anders Apgar và gia đình đang ăn tối tại một nhà hàng thì nhận được các cuộc gọi liên hoàn. Sau đó, vợ của ông đã nhấc máy. “Khi vợ tôi vừa nhấc máy, một tin nhắn sms cảnh báo “Tài khoản của bạn đang gặp nguy hiểm” bỗng hiện lên”, ông Apgar kể.
Bác sĩ Apgar bàng hoàng, kể lại câu chuyện bị bot ‘lừa’ qua điện thoại
Khi ông ta cầm lại điện thoại, một giọng nữ ở đầu bên kia nói “chào bạn, đây là đường dây nóng bảo mật của Coinbase. Chúng tôi ghi nhận hoạt động bất thường do nỗ lực đăng nhập không thành công vào tài khoản của bạn từ địa chỉ IP ở Canada. Nếu không phải bạn, vui lòng nhấn phím 1 để hoàn tất quá trình bảo vệ và khôi phục tài khoản”. Chỉ trong 19 giây, ông Apgar đã nhấn ngay phím 1 mà không hề nghi ngờ.
Bác sĩ Apgar thậm chí không thể nhớ là đã nhập mã xác thực 2 yếu tố (2FA) thủ công hay là đã copy số trên màn hình, thế nhưng tài khoản của ông nhanh chóng bị khóa lại và không thể lấy lại quyền truy cập nữa. “Thật đáng sợ! Tôi chỉ biết than thôi chứ làm gì được nữa”, Apgar đau khổ thuật lại.
Video đang HOT
Dựa trên tình huống, các chuyên gia bảo mật khẳng định ông Apgar bị đán.h lừa bằng tính năng 2FA, vốn được đán.h giá là có thể bảo vệ tài khoản tốt hơn vì sau khi nhập mật khẩu chính sẽ phải xác thực thêm một mật khẩu dùng một lần ( OTP) gửi về điện thoại.
Hiện nay, hình thức xác thực OTP lại là mục tiêu đang được giới tin tặc quan tâm, khai thác. Bên cạnh gọi hoặc gửi sms thông thường, tin tặc thậm chí sử dụng các bot để khai thác tự động. Theo công ty an ninh mạng Q6 Cyber (Mỹ), bot OTP ngày càng trở nên phổ biến và gây ra nhiều thiệt hại lớn ở nhiều lĩnh vực, đặc biệt là tài chính. Chính vì đây là một hình thức còn rất mới, thiệt hại từ hình thức lừ.a đả.o này vẫn còn rất khó để có thể thống kê, ước chừng.
“Trong các cuộc gọi tự động, bot được tin tặc lập trình để tạo ra cảm giác khẩn cấp và đáng tin cậy. Chính vì vậy, nạ.n nhâ.n sẽ sợ hãi và có xu hướng hành động ngay tức khắc mà không suy nghĩ gì thêm”, nhà phân tích Jessica Kelley đến từ Q6 Cyber giải thích.
Ngoài ra, Kelley cho biết các bot lừ.a đả.o tiề.n số đã xuất hiện trên các nhóm Telegram và được rao bán với giá giao động từ 100 đến 4.000 USD từ mùa hè năm ngoái. Q6 Cyber đã ghi nhận ít nhất 6 nhóm Telegram như vậy, với mỗi nhóm có hơn 10.000 người tham gia.
“Trước những bot OTP, tội phạm mạng trực tiếp gọi và thuyết phục nạ.n nhâ.n tiết lộ thông tin nhận dạng cá nhân hoặc mã PIN tài khoản ngân hàng hoặc mã 2FA. Với sự hỗ trợ của bot, cuộc gọi diễn ra tự động với tầm ảnh hưởng lớn hơn nhiều”, Kelley nhận định.
Quay trở lại với bác sĩ Apgar, ông cho biết Coinbase đã liên hệ qua email để hỗ trợ khôi phục tài khoản, nhưng khả năng lấy lại tiề.n trong đó gần như bằng không.
Ngân hàng tiếp tục cảnh báo lừ.a đả.o dịp cận Tết
Càng gần Tết Nguyên đán, kẻ xấu càng giở nhiều thủ đoạn khiến ngân hàng phải lên tiếng cảnh báo khách hàng.
Vài ngày gần đây, các ngân hàng liên tục gửi các cảnh báo đến người dân về các thủ đoạn lừ.a đả.o thời điểm gần cuối năm âm lịch. Ngân hàng HSBC cảnh báo các thủ đoạn giả danh nhân viên ngân hàng, nhân viên sàn thương mại điện tử để chiếm tài khoản. Trong khi đó, VPBank cảnh báo thủ đoạn kêu gọi bình chọn trên mạng để đán.h cắp thông tin người dùng, thực hiện lừa tiề.n.
Lừ.a đả.o đán.h cắp mã OTP
Cụ thể, ngân hàng HSBC mới đây cảnh báo thủ đoạn kẻ xấu giả danh là nhân viên ngân hàng, gọi cho khách hàng để thực hiện các dịch vụ liên quan. Tội phạm sẽ yêu cầu khách chia sẻ mã OTP để hoàn tất các thủ tục hoặc cập nhật thông tin. Tuy nhiên, mã OTP này có thể được tội phạm sử dụng để đăng ký dịch vụ ngân hàng trực tuyến hoặc thực hiện các giao dịch gian lận trên tài khoản của nạ.n nhâ.n.
Tội phạm cũng có thể giả danh là nhân viên một trang thương mại điện tử nổi tiếng yêu cầu khách hàng cung cấp OTP để hủy một giao dịch gian lận không có thật. Với OTP này, kẻ lừ.a đả.o có thể thực hiện giao dịch gian lận và chiếm đoạt tiề.n từ thẻ hay tài khoản.
Người dân nên cẩn trọng khi nhận được các cuộc gọi đến xưng là nhân viên tổ chức nào đó để yêu cầu cung cấp mã OTP, thông tin ngân hàng...
Gửi thư giả mạo
Tội phạm mạng cũng có thể gửi thư in logo ngân hàng, thông báo về lỗ hổng an ninh. Sau đó, các đối tượng giả danh là nhân viên an ninh ngân hàng gọi để hỗ trợ. Để xử lý vấn đề an ninh, kẻ xấu sẽ yêu cầu khách hàng đăng nhập vào trang liên kết giả mạo. Thực tế, tội phạm dùng phương thức này để thu thập thông tin đăng nhập của khách hàng và thực hiện các giao dịch gian lận.
HSBC cũng lưu ý về hình thức lừ.a đả.o nâng cấp SIM 3G lên 4G/5G mà ICTnews đã thông tin trước đó. Trong thủ đoạn này, kẻ xấu gọi tới giới thiệu dịch vụ nâng cấp SIM, tuy nhiên sau khi làm theo hướng dẫn, khách có thể mất SIM, mất tài khoản ngân hàng, bị rút mất tiề.n.
Lừa bình chọn cho một cuộc thi để chiếm tài khoản
Mới đây nhất, VPBank cũng cảnh báo về thủ đoạn lừ.a đả.o trên mạng xã hội. Chẳng hạn, đối tượng tự lập một liên kết có tên miền gần giống với ban tổ chức một cuộc thi nào đó. Sau đó, chúng chia sẻ lên mạng xã hội để kêu gọi bình chọn. Để bình chọn, người dùng phải truy cập vào liên kết được chia sẻ rồi đăng nhập thông tin tài khoản (tên đăng nhập, mật khẩu).
Do liên kết có mã độc nên khi người dùng đăng nhập thông tin, các đối tượng đã đán.h cắp nhiều thông tin tài khoản của người dùng. Từ đây, chúng thu thập hình ảnh, dữ liệu của chủ tài khoản và cắt ghép thành các đoạn video ngắn.
Sau đó, nhóm đối tượng đã mạo danh các chủ tài khoản để nhắn tin/thực hiện video call (sử dụng những video được cắt ghép sẵn từ trước) đến những người thân, bạn bè trong danh bạ mạng xã hội của chủ tài khoản đó để vay mượn hoặc nhờ chuyển tiề.n.
Các ngân hàng cảnh báo dịp cận Tết nhiều đối tượng lừ.a đả.o sẽ ráo riết thực hiện hành vi lừ.a đả.o chiếm đoạt tài khoản, chiếm đoạt tiề.n, lừ.a đả.o. Người dùng tuyệt đối không cung cấp mã OTP, mật khẩu ngân hàng, và đặc biệt chú ý khi click vào các đường link được cung cấp.
Tặng Bitcoin, Coinbase sập sàn vì quá tải Coinbase tặng 15 USD dưới dạng Bitcoin cho người đăng ký tài khoản mới trong 2 ngày 14 và 15/2. Ngay sau đó, ứng dụng của họ đã sập vì quá tải. Nhân dịp trận chung kết giải bóng bầu dục Mỹ Super Bowl diễn ra ngày hôm nay 14/2 theo giờ Việt Nam, sàn giao dịch tiề.n số Coinbase đã đăng tải...