Ngân hàng ở TP.HCM có lổ hổng an ninh mạng nào mà hacker dễ chiếm đoạt 10 tỉ gây xôn xao
Thanh Niên đăng bài viết của ông Võ Đỗ Thắng, Giám đốc Trung tâm An ninh mạng Athena, về vụ hacker Dương Minh Tâm xâm nhập hệ thống một ngân hàng ở TP.HCM chiếm đoạt 10 tỉ đồng.
Cuối tuần trước, cộng đồng mạng xôn xao vụ hacker Dương Minh Tâm ở TP.HCM bị bắt khẩn cấp vì đã truy cập được vào hệ thống của một ngân hàng lớn, chỉnh sửa mã lệnh tài sản cầm cố là giá trị điện tử tiết kiệm từ 1 triệu đồng lên đến hơn 51 tỉ đồng.
Tóm tắt theo thông tin ban đầu được các báo đăng như sau:
Công an TP.HCM đã bắt khẩn cấp hacker Dương Minh Tâm (27 tuổ.i) với hành vi sử dụng mạng máy tính, mạng viễn thông và phương tiện điện tử để chiếm đoạt tài sản. Ngân hàng đã phát hiện Tâm mở tài khoản ngân hàng và xâm nhập vào hệ thống ngân hàng để chiếm đoạt 10 tỉ đồng, sau đó báo cáo công an.
Trong quá trình điều tra, Công an TP.HCM xác định Tâm mở dịch vụ ngân hàng điện tử và mở sổ tiết kiệm online 1 triệu đồng. Với sổ tiết kiệm này, Tâm chỉ được vay tối đa 850.000 đồng. Tuy nhiên, hacker Dương Minh Tâm đã can thiệp trái phép vào hệ thống thông tin tài chính của ngân hàng, và sửa mã lệnh để tài sản cầm cố là giá điện tử tiết kiệm điện từ 1 triệu đồng thành hơn 51 tỉ đồng, từ đó chiếm đoạt 10 tỉ đồng để tiêu xài.
Hacker Dương Minh Tâm đã thực hiện hành vi xâm nhập vào hệ thống ngân hàng để chiếm đoạt tài sản. Ảnh AUTHY
Các thông tin báo chí không nêu rõ cách hacker Dương Minh Tâm đã thực hiện hành vi xâm nhập vào hệ thống ngân hàng để chiếm đoạt tài sản. Tuy nhiên, qua phân tích tình huống có thể đưa ra một số phán đoán sau:
Video đang HOT
Việc tin tặc có thể xâm nhập vào hệ thống của một ngân hàng để có thể thực hiện thông qua nhiều phương pháp và kỹ thuật khác nhau. Dưới đây là một số phương pháp thường được sử dụng:
Việc tin tặc tấ.n côn.g xâm nhập được vào hệ thống của một ngân hàng có thể được thực hiện qua các cách như: tấ.n côn.g lừa đảo (phishing), sử dụng phần mềm tống tiề.n (ransomeware), sử dụng mã độc, tấ.n côn.g ddos, tấ.n côn.g trực tiếp vào máy chủ, lợi dụng lỗ hổng phần mềm.
Xét trường hợp hacker Dương Minh Tâm, khả năng cao là lợi dụng lỗ hổng phần mềm, có thể mạnh dạn suy đoán là lỗ hổng bảo mật trong API của ứng dụng ngân hàng. API (giao diện lập trình ứng dụng) là một bộ quy tắc và giao thức cho phép các phần mềm khác tương tác với ứng dụng ngân hàng. API cung cấp các phương thức và chức năng để truy cập vào dữ liệu và chức năng của hệ thống ngân hàng.
Tuy nhiên, nếu không được bảo mật đúng cách hoặc tồn tại các lỗ hổng truy cập, API có thể trở thành điểm yếu cho các cuộc tấ.n côn.g và xâm nhập.
Hacker có thể lợi dụng các lỗ hổng trong phần mềm API để thực hiện các cuộc tấ.n côn.g, bao gồm:
Tấ.n côn.g SQL Injection: hacker có thể chèn mã SQL độc hại vào yêu cầu API để truy xuất hoặc thay đổi dữ liệu trong cơ sở dữ liệu của ngân hàng.
Tấ.n côn.g Cross-Site Scripting (XSS): Hacker có thể chèn mã JavaScript độc hại vào API phản hồi để đán.h cắp thông tin của người dùng hoặc thực hiện các hành động được phép trái trên trình duyệt của họ.
Tấ.n côn.g OAuth và mã thông báo: nếu cơ chế xác thực và phân quyền của API không đủ an toàn, hacker có thể lấy được mã thông báo truy cập và giả mạo quyền truy cập của người dùng.
Tấ.n côn.g Brute Force: hacker có thể thử hàng loạt API yêu cầu với các thông tin xác thực khác nhau để tìm ra thông tin đăng nhập hợp lệ hoặc lợi dụng các lỗ hổng xác thực để truy cập vào hệ thống.
Dù hacker Dương Minh Tâm sử dụng cách nào, thì anh ta cũng đã đạt được mục tiêu chỉnh sửa được mã lệnh tài sản của ngân hàng. Nếu phần mềm quản lý tài sản của ngân hàng gặp sự cố khi thiết lập chương trình cho phép truy cập không ủy quyền vào mã lệnh tài sản, hacker có thể khai thác kho lưu trữ này để truy cập và thay đổi dữ liệu.
Qua vụ việc cho thấy đây là một bài học lớn đối với các ngân hàng, nhất là với những chuyên gia công nghệ ngân hàng. Công nghệ và phương pháp tấ.n côn.g liên tục phát triển, các hacker cũng tìm cách tận dụng các xu hướng công nghệ mới để tìm ra các lỗ hổng và tấ.n côn.g. Điều này làm cho việc bảo mật phần mềm trở thành một thách thức liên tục.
Để giảm thiểu sai sót trong phần mềm, các nhà phát triển phần mềm cần áp dụng các quy trình kiểm tra chất lượng và bảo mật, sửa lỗi thường xuyên và áp dụng các biện pháp bảo mật phù hợp.
Cục CSHS phá nhóm chuyên chiếm đoạt tài khoản ngân hàng, lừa hàng chục tỷ
Đây là một phương thức, thủ đoạn hoạt động phạm tội mới, các đối tượng phạm tội đã lợi dụng kẽ hở trong công tác bảo mật thông tin khách hàng của các ngân hàng, nhà mạng...
để thực hiện hành vi phạm tội.
Ngày 19/4, Cục Cảnh sát hình sự, Bộ Công an cho biết, đã khởi tố 6 đối tượng về hành vi "Sử dụng mạng máy tính, mạng viễn thông chiếm đoạt tài sản" gồm: Lê Thị Phi Nga (SN 1971), trú tại quận Bắc Từ Liêm, Hà Nội, có 1 tiề.n án về tội làm giả tài liệu, con dấu của cơ quan, tổ chức; Ngô Thị Ngọc Lan (SN 1994), trú tại huyện Hoài Đức (Hà Nội), đang là bị can tại ngoại, bị Cơ quan CSĐT Công an TP Hà Nội khởi tố về tội Lừ.a đả.o chiếm đoạt tài sản; Nguyễn Trung Kiên (SN 1981), trú tại quận Tây Hồ (Hà Nội); Trần Quốc Cường (SN 1995), trú tại tỉnh Thái Bình; Trần Thùy Anh (SN 1993), trú tại quận Cầu Giấy (Hà Nội) và Lê Thị Liên Hương (tức Hảo, SN 1972), trú tại quận Long Biên (Hà Nội).
Đối tượng Lê Thị Phi Nga cầm đầu băng nhóm lừ.a đả.o chiếm đoạt tài sản
Qua công tác nghiệp vụ cơ bản, quản lý địa bàn, đối tượng, Cục Cảnh sát hình sự phát hiện băng nhóm tội phạm do Lê Thị Phi Nga cầm đầu. Nga đã cùng các đối tượng Lan, Kiên, Cường, Thùy Anh và Hương (phân chia vai trò đồng phạm) sử dụng mạng xã hội như: facebook, zalo..., lấy thông tin tài khoản, số điện thoại, hình ảnh của người dân... làm giả chứng minh nhân dân (CMND), căn cước công dân (CCCD) rồi giả làm những người này tới ngân hàng yêu cầu thay đổi số điện thoại, sau đó nhận mã OTP chiếm quyền sử dụng tài khoản và chuyển tiề.n sang tài khoản của ngân hàng khác để chiếm đoạt.
Trước tính chất nghiêm trọng của vụ việc, nếu không kịp thời bắt giữ nhóm đối tượng, người dân sẽ bị rút "sạch" tiề.n từ trong các tài khoản banking ở ngân hàng, Trung tướng Trần Ngọc Hà, Cục trưởng Cục Cảnh sát hình sự đã họp án, chỉ đạo xác lập chuyên án để tập trung lực lượng, áp dụng đồng bộ các biện pháp nghiệp vụ đấu tranh triệt phá băng nhóm tội phạm trên. Đại tá Phan Mạnh Trường, Phó Cục trưởng Cục Cảnh sát hình sự được giao làm Trưởng Ban chuyên án, trực tiếp chỉ đạo Phòng phòng ngừa chống tội phạm trên tuyến phối hợp với Phòng hướng dẫn điều tra án xâm phạm nhân thân xây dựng kế hoạch, phối hợp các đơn vị để đấu tranh.
Đối tượng Nguyễn Trung Kiên
Căn cứ kết quả đấu tranh chuyên án, ngày 10/1, cơ quan Cảnh sát điều tra Bộ Công an tiến hành xác minh về việc có một người phụ nữ đến Phòng giao dịch Nguyễn Phong Sắc của một ngân hàng yêu cầu rút tiề.n mặt với số lượng lớn có nhiều biểu hiện nghi vấn.
Căn cứ tài liệu xác minh, điều tra, cơ quan Cảnh sát điều tra đã thi hành các Lệnh khám xét khẩn cấp, giữ, bắt người bị giữ trong trường hợp khẩn cấp và Quyết định tạm giữ đối với các đối tượng: Lê Thị Phi Nga, Ngô Thị Ngọc Lan, Nguyễn Trung Kiên, Trần Thùy Anh, Trần Quốc Cường và Lê Thị Liên Hương.
Đối tượng Ngô Thị Ngọc Lan.
Cơ quan Công an tạm giữ 800 triệu đồng; 19 điện thoại di động các loại; 23 CMND, CCCD (nghi làm giả); 5 sim điện thoại các loại; 3 thẻ ngân hàng; 2 mẫu dấu công ty; 2 bìa ghi số tài khoản ngân hàng; 1 quyển sổ dùng để tập ký các chữ ký khác nhau...
Qúa trình điều tra, đến nay, cơ quan Cảnh điều tra Bộ Công an làm rõ, nhóm đối tượng do Lê Thị Phi Nga cầm đầu đã chiếm đoạt rất nhiều tài khoản của các cá nhân mở tại các ngân hàng khác nhau... từ đó chiếm đoạt hàng chục tỷ đồng. Trong đó, theo tài liệu điều tra ban đầu, các đối tượng đã thực hiện hơn 10 vụ, chiếm đoạt hơn 17 tỷ đồng. Nhận được số tiề.n này, Nga chia cho Thùy Anh, Cường mỗi người 2% trên tổng số tiề.n chiếm đoạt được, số tiề.n còn lại chia đều cho Nga, Kiên, Lan và Hảo
Bắt 3 đối tượng tạt sơn, 'khủn.g b.ố' đòi nợ thuê ở TP.HCM Liên tục trong thời gian ngắn, nhóm đối tượng đã thực hiện 3 vụ tạt sơn vào nhà người khác để gây sức ép nhằm đòi nợ. Ngày 3/5, Công an quận Tân Bình (TP.HCM) cho biết, đã thực hiện lệnh bắt giữ khẩn cấp nhóm đối tượng gồm: Nguyễn Tấn Lợi (41 tuổ.i), Trương Vĩnh Kim (37 tuổ.i, cùng ngụ quận 7),...