Vụ 500 triệu đồng “bốc hơi”: Lỗi của khách hàng hay Vietcombank?

Mai Hoàng Minh15:01 15/08/2016

Lý giải về vụ việc 500 triệu đồng “bốc hơi” khỏi tài khoản Vietcombank, ngân hàng cho rằng khách hàng đã bấm vào “link lạ” dẫn tới bị trục lợi thông tin tài khoản. Song câu trả lời này càng dấy lên hoài nghi về lỗ hổng bảo mật và trách nhiệm bảo vệ quyền lợi của khách hàng?

Sự cố trộm tiền mới đây lại bất ngờ xảy ra ở Vietcombank – ngân hàng lớn và có hệ thống bảo mật hiện đại, an toàn cao. Trước đó, chị Hoàng Thị Na Hương (Hà Nội)- chủ thẻ Vietcombank Connect 24 hours, hốt hoảng thông báo số tiền 500 triệu đồng đã bị “bốc hơi” khỏi tài khoản ngân hàng này vào đêm ngày 3/8 và rạng sáng 4/8.

Lỗi do “ website giả mạo”

Ngày 12/8, Vietcombank chính thức thông báo trên website về diễn biến vụ “bốc hơi” 500 triệu đồng. Theo đó, các đối tượng lừa đảo đã chuyển tiền từ tài khoản khách hàng tới nhiều tài khoản trung gian tại ba ngân hàng khác nhau tại Việt Nam. Sau đó, thực hiện rút 200 triệu đồng qua cây ATM ở Malaysia. Vietcombank đã khoanh giữ lại được 300 triệu đồng do vẫn chưa chuyển ra khỏi hệ thống Vietcombank.

Nhân viên ngân hàng cũng đã hướng dẫn chị Hương làm thủ tục truy soát giao dịch để nhận lại số tiền 300 triệu đồng.

Về nguyên nhân mất tiền, Vietcombank khẳng định: khách hàng bị đánh cắp thông tin tài khoản do trước đó đã truy cập vào một trang website giả mạo địa chỉ: “http://creatingacreator.com/kob/1/index.htm”. Khi khách hàng tự kiểm tra lại điện thoại thì phát hiện địa chỉ trang giả mạo vẫn lưu trên máy.

Tuy nhiên, theo phản ánh của chủ thẻ, ngày 4/8, khi phát sinh 7 giao dịch chuyển tổng số tiền 500 triệu đồng, Vietcombank không hề gửi mã OTP (mã bảo mật xác nhận thanh toán online) về điện thoại cho khách hàng như thường lệ.

Người dùng thẻ ngân hàng nên cảnh giác với tội phạm công nghệ cao

Đây là số tiền lớn, gây ảnh hưởng tới gia đình chị Hương và cũng khiến nhiều chủ thẻ ngân hàng khác cảm thấy bất an, lo sợ gặp phải rủi ro bị “trộm” tiền tương tự. Trao đổi với Thời báo Kinh Doanh, một cán bộ ngân hàng cho biết, theo quy trình thanh toán ngân hàng điện tử (Internet-bankink, Mobile-Banking), các chủ tài khoản được bảo mật bằng mật khẩu riêng và cao hơn là mã OTP gửi vào số điện thoại do khách hàng đăng kí. Mã OTP là bước xác nhận giao dịch của chính chủ tài khoản.

“Khách hàng không nhận được mã OTP khi phát sinh 7 giao dịch chuyển 500 triệu đồng nêu trên là điều rất bất thường, có vấn đề. Có khả năng chủ thẻ đã bị đánh cắp thông tin tài khoản và quyền tiếp nhận mã OTP khi truy cập vào trang website giả mạo như Vietcombank đã thông báo. Nhưng cũng có một khả năng khác là hệ thống bảo mật của ngân hàng có “lỗ hổng”, và kẻ gian có thể lặp lại hành vi đánh cắp thông tin tài khoản của nhiều khách hàng khác để thực hiện các vụ trộm tiền tương tự” cán bộ này chia sẻ.

Bảo mật của Vietcombank?

Theo tìm hiểu, được biết, hiện tại trên giao diện Internet-Banking của Vietcombank có ba hình thức nhận mã OTP trong giao dịch, gồm: tin nhắn SMS qua điện thoại, Smart OTP và sử dụng EMV. Với hình thức SMS, tất cả mọi giao dịch của khách hàng được ngân hàng thông báo mã xác nhận về điện thoại của khách hàng.

Trường hợp thứ hai, các đối tượng lừa đảo muốn chuyển hình thức nhận OTP từ SMS sang Smart OTP thì bắt buộc Vietcombank phải gửi tin nhắn tới điện thoại của khách hàng để kích hoạt phần mềm này.

Video đang HOT

Trường hợp thứ ba, nếu kẻ gian muốn chuyển sang hình thức thẻ EMV thì bắt buộc phải có thẻ của khách hàng mới thực hiện được giao dịch. Tuy nhiên, phương thức này ít được khách hàng lựa chọn vì cần có thiết bị đi kèm, gây bất tiện.

Sự chuyển đổi nhận mã OTP giữa ba hình thức này liên quan đến mức độ bảo mật, an toàn của Vietcombank. Và trong cả ba trường hợp, nếu khách hàng không nhận được tin nhắn thông báo giao dịch, tin nhắn chuyển đổi hình thức nhận OTP thì sẽ do lỗi của hệ thống Vietcombank.

Đến thời điểm này, phía Vietcombank cho biết đang phối hợp với khách hàng để làm việc với cơ quan chức năng nhằm làm rõ các đối tượng chủ mưu đã thực hiện các hành vi lừa đảo này.

Trước đó, Vietcombank đã thường xuyên gửi thông tin tới khách hàng cảnh báo về các giao dịch giả mạo, tội phạm công nghệ cao và hướng dẫn cách giao dịch an toàn…

Dù vậy, ngân hàng vẫn chưa thể khẳng định việc mất 500 triệu đồng là lỗi của ai, khách hàng hay ngân hàng. Số tiền 200 triệu đồng đã bị kẻ trộm rút ra ở Malaysia chưa rõ khi nào và liệu có thể thu hồi được hay không?

Thực tế, những vụ trộm cắp tiền trong tài khoản thẻ ngân hàng Việt Nam xuất hiện ngày càng nhiều với mức độ tinh vi, sử dụng công nghệ cao, đánh cắp số tiền lớn và giao dịch xuyên biên giới… Đơn cử, năm 2012, chị Trần Thị Mai Hương- chủ thẻ Visa của Vietinbank – đã bị ghi nợ ba khoản thanh toán với tổng số tiền 2.400 USD, được thực hiện tại một siêu thị lớn tại Mỹ.

Phí ngân hàng xác nhận các giao dịch này là hoàn toàn hợp lệ, song chị Hương khẳng định, mình không đi Mỹ vào thời điểm đó, cũng không nhận được tin nhắn báo giao dịch và chữ ký trên hoá đơn không hợp lệ… Sự việc “không đi Mỹ vẫn bị tiêu 2.400 USD” đã gây mất niềm tin cho chủ thẻ, dấy lên nghi vấn lỗ hổng bảo mật thẻ Visa của ngân hàng…

Hai sự cố mất tiền trên tài khoản đã xảy ra ở Vietcombank và Vietinbank là dấu hiệu cảnh báo tội phạm công nghệ cao đã xâm nhập, đánh cắp thông tin khách hàng và rút tiền thành công. Điều kỳ lạ, với hệ thống bảo mật hiện đại, có mức độ an toàn cao nhưng khi xảy ra giao dịch bất thường, ngân hàng lại không đưa ra bất kỳ cảnh báo hay ngăn chặn nào? Điều này khiến cho nhiều khách hàng có nguy cơ bị mất tiền nếu họ vô tình để lộ thông tin hoặc bị đánh cắp thông tin, sử dụng vào mục đích phi pháp.

Theo Thơi bao kinh doanh

Bỗng dưng mất tiền trong thẻ ATM, ngân hàng phải chịu trách nhiệm

Theo các chuyên gia pháp lý, nếu tiền trong thẻ ATM bỗng nhiên biến mất thì ngân hàng phải chịu trách nhiệm.

Tiền trong thẻ ATM bỗng nhiên "biến mất" thì ngân hàng phải chịu trách nhiệmẢnh: Vũ Phượng

ATM là một thiết bị ngân hàng giao dịch tự động với khách hàng, thực hiện việc nhận dạng khách hàng thông qua thẻ ATM (thẻ ghi nợ, thẻ tín dụng) hay các thiết bị tương thích, và giúp khách hàng kiểm tra tài khoản, rút tiền mặt, chuyển khoản, thanh toán tiền hàng hóa dịch vụ.

Đây là một hình thức gửi tiền vào tài khoản mở tại một tài khoản ngân hàng, do ngân hàng quản lý và có thu phí hàng năm và thu phí qua từng lần giao dịch.

Ngân hàng phải bồi thường

Luật sư (LS) Huỳnh Công Thư (Đoàn LS tỉnh Long An) cho biết về mặt pháp lý, khách hàng gửi tiền vào ngân hàng để thực hiện giao dịch bằng thẻ ATM là một dạng hợp đồng gửi giữ tài sản. Thông qua thủ tục làm thẻ, gửi tiền ngân hàng tức là giữa khách hàng và ngân hàng đã kết lập một hợp đồng gửi giữ tài sản.

Ngân hàng có nghĩa vụ giữ tài sản của khách hàng thì ngân hàng phải có nghĩa vụ bảo mật tài khoản khách hàng. Mọi hành vi đột nhập vào hệ thống lấy trộm tiền của khách hàng đều là thiệt hại ngân hàng phải gánh chịu chứ không thể đổ lỗi cho hacker xâm nhập được

Luật sư Huỳnh Công Thư

Theo quy định của BLDS 2015, hợp đồng gửi giữ tài sản là sự thỏa thuận giữa các bên, trong đó bên giữ nhận tài sản của bên gửi để bảo quản và trả lại chính tài sản đó cho bên gửi khi hết thời hạn hợp đồng, bên gửi phải trả tiền công cho bên giữ, trừ trường hợp gửi giữ không phải trả tiền công.

Ngoài ra, Điều 557 BLDS cũng quy định nghĩa vụ của bên nhận giữ là phải bảo quản tài sản và trả lại cho người gửi.

Như vậy, trong trường hợp số tiền người gửi tự nhiên bị mất đi thì ngân hàng phải có nghĩa vụ bồi thường cho khách hàng vì tiền lúc này đang nằm dưới sự quản lý của ngân hàng và khách hàng chưa hề nhận lại.

LS Thư nhận định: "Ngân hàng có nghĩa vụ giữ tài sản của khách hàng thì ngân hàng phải có nghĩa vụ bảo mật tài khoản khách hàng. Mọi hành vi đột nhập vào hệ thống lấy trộm tiền của khách hàng đều là thiệt hại ngân hàng phải gánh chịu chứ không thể đổ lỗi cho người khác xâm nhập được".

Trong trường hợp ngân hàng không chịu bồi thường cho khách hàng thì khách hàng hoàn toàn có quyền kiện ngân hàng ra Tòa để yêu cầu bồi thường.

Lỗi của ngân hàng

Đồng quan điểm, LS Võ Công Hạnh (Hãng luật Công Khánh, Đoàn LS tỉnh Thừa Thiên Huế) nêu quan điểm, thông qua hệ thống thanh toán trực tuyến, giao dịch điện tử, giữa Ngân hàng và khách hàng hình thành mối quan hệ phức tạp hơn bởi môi trường mạng, các thiết bị tương tác.

Chính điều này là thách thức của tính bảo mật của ngân hàng và cả khách hàng. Theo nguyên tắc xử lý hậu quả của giao dịch dân sự, thì bên có lỗi phải chịu bồi thường hoặc phải chịu tổn thất thiệt hại tùy theo mức độ lỗi.

Giao dịch bằng internet banking của VCB Ảnh chụp màn hình

Với trường hợp khách hàng không nhận được mật khẩu từ OTP (One Time Password) từ Vietcombank (VCB) mà tiền vẫn bị chuyển đi là một sai sót nghiêm trọng đối với hệ thống quản lý tài khoản trực tuyến.

"Ở đây không loại trừ khả năng bị kẻ xấu sử dụng các biện pháp để can thiệp, điều hướng giao dịch ngay tại hệ thống máy tính của VCB, hoặc việc rút tiền trên có thể được thực hiện từ những nhân viên biến chất trong hệ thống ngân hàng; hay tin tặc can thiệp thông qua hệt thống internet từ bên ngoài. Tuy nhiên, điều này phải chờ kết quả điều tra từ phía cơ quan chức năng", LS Hạnh đánh giá.

Đối với các giao dịch trên do lỗi từ ngân hàng, ngân hàng phải có trách nhiệm hoàn lại tiền cho khách hàng.

Trong trường hợp các bên không thống nhất về việc thương lượng, bồi thường, khách hàng có thể khởi kiện ngân hàng ra tòa án có thẩm quyền để yêu cầu bồi thường thiệt hại.

Khách hàng cũng phải biết cách tự bảo vệ tài khoản của mình Ảnh: Vũ Phượng

LS Hạnh cũng cho rằng với trách nhiệm là chủ sở hữu một trang web của một ngân hàng lớn, việc VCB không có biện pháp hữu hiệu để một trang web "nhái" tồn tại là hết sức thiếu chuyên nghiệp, tắc trách và gây tổn hại cho khách hàng lẫn uy tín của mình.

Khách hàng cần tự bảo vệ mình

Theo LS Huỳnh Công Thư để tự bảo vệ cho mình, khách hàng phải tuyệt đối bảo mật tài khoản và password của mình, thường xuyên thay đổi password, không dùng thẻ ATM để thanh toán qua mạng các trang web bán hàng mà mình không biết. ATM dễ bị lừa đảo nên không để số tiền quá nhiều, nếu nhiều tiền thì nên chuyển qua hình thức gửi tiết kiệm sẽ an toàn và có lợi hơn.

LS Võ Công Hạnh thì đưa ra lời khuyên rằng không nên gửi số tiền lớn vào ATM, mà nên chuyển gửi số tiền lớn với phương thức gửi tiết kiệm không kỳ hạn. Việc bảo quản thông tin cá nhân, số tài khoản, mật khẩu mỗi người cũng phải hết sức thận trọng, cần cảnh giác đối với các thông tin yêu cầu cung cấp thông tin cá nhân, số tài khoản, mật khẩu liên quan đến tài khoản của mình.

Theo Thanh Niên

Chẳng lẽ phải xin lỗi Vietcombank vì trót để nửa tỷ đồng trong tài khoản? Chẳng cứ gì người Việt mà cả thế giới này, người lớn thường dạy con trẻ rằng khi mắc lỗi thì phải xin lỗi. Và cũng cả thế giới này, từ khi trẻ biết nói, người lớn đã dạy rằng khi gây ra sự việc gì nếu chưa biết đúng sai thì đừng vội đổ lỗi cho người khác. Vụ việc khách hàng...