Vụ tài khoản Vietcombank 'bốc hơi' 406 triệu đồng: CEO Bkav đề xuất dùng chữ ký số thay thế cho SMS OTP

Trên trang cá nhân, ông Nguyễn Tử Quảng vừa có bài viết nói về việc tài khoản khách hàng của Vietcombank bị đánh cắp 406 triệu đồng chỉ trong vài phút.

Theo đó, ông Quảng cho rằng sự việc này là điều không ngạc nhiên. Bởi trong một năm qua, ông Quãng biết đã có nhiều vụ việc tương tự và với nhiều ngân hàng khác nhau, không chỉ Vietcombank.

Theo nhận định của CEO Bkav, hacker đã khai thác điểm yếu của công nghệ xác thực SMS OTP. Cụ thể, có 2 cách để khai thác điểm yếu của công nghệ này, thứ nhất là hacker lừa nạn nhân nhập mã SMS OTP vào một website giả mạo và thứ hai là lừa nạn nhân cài phần mềm gián điệp chiếm quyền điều khiển của thiết bị di động.

Ông Quảng khẳng định Bkav đã ít nhất 2 lần cảnh báo rộng rãi về việc công nghệ xác thực SMS OTP không đảm bảo an toàn.

Nói về giải pháp cho tình trạng này, ông Nguyễn Tử Quảng cho biết đã tư vấn cho Ngân hàng Nhà nước Việt Nam ban hành quy định về giao dịch sử dụng chữ ký số để thay thế cho SMS OTP.

"Hiện Ngân hàng Nhà nước Việt Nam đã ban hành quy định bắt buộc áp dụng với tất cả các ngân hàng, tuy nhiên hạn mức để bắt buộc phải sử dụng chữ ký số đang còn ở mức cao, cụ thể giao dịch phải trên 500 triệu mới phải sử dụng chữ ký số", ông Quảng thông tin.

Để khắc phục những trường hợp lừa đảo như thế này, CEO Bkav kiến nghị phải hạ thấp hạn mức giao dịch xuống, tiến tới loại bỏ công nghệ SMS OTP tại các ngân hàng ở Việt Nam giống như một số nước phát triển đang áp dụng.

Về phía người dùng, ông Quảng khuyến cáo cần cài đặt phần mềm diệt virus trên máy tính để chống đánh cắp dữ liệu website và cài phần mềm chống mã độc trên thiết bị di động để ngăn chặn các phần mềm gián điệp, chiếm quyền kiểm soát điện thoại.

Trước đó, một chủ tài khoản Vietcombank phát hiện bị “bốc hơi” 406 triệu đồng trong tài khoản. Tài khoản của nạn nhân được xác định có 4 giao dịch phát sinh, lần lượt chuyển toàn bộ số tiền bị mất nói trên đến các tài khoản thuộc 2 ngân hàng khác trong vòng 7 phút. Chủ tài khoản khẳng định, bản thân không thực hiện các giao dịch trên và cũng không biết người thụ hưởng là ai.