Hơn 100.000 USD ‘bốc hơi’ sau khi bị lừa cung cấp mã OTP

Một bác sĩ tại bang Maryland (Mỹ) đã mất 106.000 USD chỉ sau một cuộc gọi lừa đảo vỏn vẹn 19 giây.

Vợ chồng Apgar đều là bác sĩ sản khoa tại một bệnh viện ở bang Maryland (Mỹ). Họ đầu tư vào tiền điện tử vài năm trước và trong tháng 12.2021, tài khoản người chồng tăng lên 106.000 USD, chủ yếu từ Bitcoin. Cũng như đa phần người Mỹ khác, họ thực hiện giao dịch và lưu trữ tiền điện tử trên sàn Coinbase.

Tháng trước, khi bác sĩ Anders Apgar và gia đình đang ăn tối tại một nhà hàng thì nhận được các cuộc gọi liên hoàn. Sau đó, vợ của ông đã nhấc máy. “Khi vợ tôi vừa nhấc máy, một tin nhắn sms cảnh báo “Tài khoản của bạn đang gặp nguy hiểm” bỗng hiện lên”, ông Apgar kể.

Bác sĩ Apgar bàng hoàng, kể lại câu chuyện bị bot ‘lừa’ qua điện thoại

Khi ông ta cầm lại điện thoại, một giọng nữ ở đầu bên kia nói “chào bạn, đây là đường dây nóng bảo mật của Coinbase. Chúng tôi ghi nhận hoạt động bất thường do nỗ lực đăng nhập không thành công vào tài khoản của bạn từ địa chỉ IP ở Canada. Nếu không phải bạn, vui lòng nhấn phím 1 để hoàn tất quá trình bảo vệ và khôi phục tài khoản”. Chỉ trong 19 giây, ông Apgar đã nhấn ngay phím 1 mà không hề nghi ngờ.

Bác sĩ Apgar thậm chí không thể nhớ là đã nhập mã xác thực 2 yếu tố (2FA) thủ công hay là đã copy số trên màn hình, thế nhưng tài khoản của ông nhanh chóng bị khóa lại và không thể lấy lại quyền truy cập nữa. “Thật đáng sợ! Tôi chỉ biết than thôi chứ làm gì được nữa”, Apgar đau khổ thuật lại.

Dựa trên tình huống, các chuyên gia bảo mật khẳng định ông Apgar bị đánh lừa bằng tính năng 2FA, vốn được đánh giá là có thể bảo vệ tài khoản tốt hơn vì sau khi nhập mật khẩu chính sẽ phải xác thực thêm một mật khẩu dùng một lần ( OTP) gửi về điện thoại.

Hiện nay, hình thức xác thực OTP lại là mục tiêu đang được giới tin tặc quan tâm, khai thác. Bên cạnh gọi hoặc gửi sms thông thường, tin tặc thậm chí sử dụng các bot để khai thác tự động. Theo công ty an ninh mạng Q6 Cyber (Mỹ), bot OTP ngày càng trở nên phổ biến và gây ra nhiều thiệt hại lớn ở nhiều lĩnh vực, đặc biệt là tài chính. Chính vì đây là một hình thức còn rất mới, thiệt hại từ hình thức lừa đảo này vẫn còn rất khó để có thể thống kê, ước chừng.

“Trong các cuộc gọi tự động, bot được tin tặc lập trình để tạo ra cảm giác khẩn cấp và đáng tin cậy. Chính vì vậy, nạn nhân sẽ sợ hãi và có xu hướng hành động ngay tức khắc mà không suy nghĩ gì thêm”, nhà phân tích Jessica Kelley đến từ Q6 Cyber giải thích.

Ngoài ra, Kelley cho biết các bot lừa đảo tiền số đã xuất hiện trên các nhóm Telegram và được rao bán với giá giao động từ 100 đến 4.000 USD từ mùa hè năm ngoái. Q6 Cyber đã ghi nhận ít nhất 6 nhóm Telegram như vậy, với mỗi nhóm có hơn 10.000 người tham gia.

“Trước những bot OTP, tội phạm mạng trực tiếp gọi và thuyết phục nạn nhân tiết lộ thông tin nhận dạng cá nhân hoặc mã PIN tài khoản ngân hàng hoặc mã 2FA. Với sự hỗ trợ của bot, cuộc gọi diễn ra tự động với tầm ảnh hưởng lớn hơn nhiều”, Kelley nhận định.

Quay trở lại với bác sĩ Apgar, ông cho biết Coinbase đã liên hệ qua email để hỗ trợ khôi phục tài khoản, nhưng khả năng lấy lại tiền trong đó gần như bằng không.