Nghi vấn quanh vụ "mất 30 triệu vì bị khóa SIM"

Theo tường trình của người này, anh ta có tên là Thanh Hải, đang sử dụng sim với số điện thoại số đt 09xx.758.xxx. Lúc 20h5p ngày 10/7 vừa qua, anh Hải nhận được tin nhắn từ đầu số của nhà mạng thông báo Số thuê bao mà anh đang dùng sẽ được đổi sang SIM mới. Sau đó, Sim của anh bị khóa, không dùng được nữa.

Khoảng 20 phút sau, Hải liên hệ với Tổng đài thì được báo có người báo mất đúng số SIM anh đang dùng và xin cấp lại SIM mới. Đến 20h55p cùng ngày, anh Hải kiểm tra số dư tài khoản ngân hàng thì phát hiện mình đã bị mất tới 30 triệu trên tổng số dư hơn 44 triệu đồng. Do sợ mất thêm tiền, ngay trong đêm, anh đã chạy ra ATM của Maritime Bank để kiểm tra và rút số tiền 14 triệu còn lại khỏi tài khoản.

Sáng ngày 11/7, anh Hải cho biết đã lên Trung tâm của nhà mạng di động để xin cấp lại SIM. Hiện tại, số SIM này anh đã lấy lại được, nhưng những câu hỏi như vì sao SIM đang sử dụng bình thường lại bị khóa và cấp lại rất nhanh, cũng như số tiền 30 triệu bị mất sẽ phải xử lý ra sao thì hiện vẫn chưa nhận được câu trả lời từ phía nhà mạng.

Theo như phân tích của chính Cuckoo trên các diễn đàn cảnh báo, thì hiện nay, với phần lớn giao dịch qua Internet banking trên mạng, ngân hàng sẽ gửi mật khẩu xác nhận một lần (OTP) đến số điện thoại mặc định mà khách hàng đã đăng ký.

Anh Hải nghi ngờ rằng, thủ phạm đã nắm được tên chủ tài khoản và số tài khoản do anh bán hàng trên mạng, cần công khai những thông tin này để khách hàng chuyển khoản mua hàng. Sau đó, khi nắm được SIM của anh trong tay, thủ phạm sẽ nhận được mã số OTP để hoàn tất giao dịch. Cũng theo sao kê do ngân hàng gửi thì số tiền 30 triệu bay hơi đã được kẻ gian sử dụng để mua thẻ (không rõ thẻ gì) từ Công ty CPDV The SM.

Theo quy trình hiện tại của các nhà mạng, khi báo mất SIM và muốn lấy lại SIM, người dùng phải kê khai được 5-10 số điện thoại liên lạc gần nhất. Một kịch bản mà anh Hải cho rằng kẻ gian đã sử dụng là sử dụng SIM khuyến mãi để giả làm khách mua hàng gọi đến số của anh, sau đó dùng chính những số này để xin cấp SIM mới.

Dù chỉ mới xuất hiện trên các diễn đàn từ hôm 13/7 song topic "Cảnh báo" của Cuckoo đã nhanh chóng thu hút được rất nhiều chú ý từ các thành viên, cũng như được chia sẻ lại trên mạng xã hội Facebook. Khá nhiều ý kiến tỏ ra hoang mang và lo sợ về cơ chế bảo mật của Internet Banking hiện nay, khi tiền có thể bị hô biến quá dễ dàng.

Tuy vậy, cũng có không ít thành viên đã chỉ ra những nghi vấn trong vụ việc, mà hiện tại vẫn chưa thể xác thực được tính chính xác của nó đến đâu.

"Tôi nghĩ không đơn giản là chỉ chiếm được SIM điện thoại mà rút được tiền ngay. Cần phải mất thêm một số thông tin khác như username, mật khẩu hoặc số thẻ và ngày phát hành thẻ", một thành viên trên Otofun phân tích.

Hiện nay, đối với các dịch vụ Internet banking trực tiếp do ngân hàng cung cấp (chẳng hạn như của Vietcombank), người dùng sẽ phải khai báo username và mật khẩu để truy cập được tài khoản. Nhưng nếu như họ tiến hành mua hàng online qua các dịch vụ trung gian như Smartlink (như mua vé xem phim, mua thẻ game, các dịch vụ mua hàng theo nhóm), thông tin được yêu cầu sẽ là tên chủ thẻ, số thẻ ATM và ngày tháng phát hành cùng với mật khẩu OTP. Cũng có nghĩa là ngoài mật khẩu OTP có được do chiếm đoạt SIM, thủ phạm còn cần nhiều thông tin khác như mật khẩu Internet Banking hoặc số thẻ ATM của nạn nhân.

Thành viên Richter trên cùng diễn đàn này thì đặt dấu hỏi về việc khóa SIM sau đó ngay lập tức kích hoạt lại SIM là có thể hay không, khi mà bản thân thành viên này đã từng khóa SIM nhưng phải chờ đến vài ngày sau, đến phòng giao dịch nhiều lần và trình CMTND bản gốc mới lấy lại được. Trong khi đó, chỉ trong vòng 50 phút kể từ SIM của anh Hải bị khóa, thủ phạm không những kích hoạt được SIM mà còn đủ thời gian để thực hiện hàng loạt giao dịch mua bán qua mạng và chiếm đoạt số tiền khá lớn?

Đồng quan điểm, thành viên Bino trấn an các ý kiến hoang mang khi hỏi ngược "Nếu chỉ cần có điện thoại cũng rút được tiền thì bao nhiêu vụ mất điện thoại trước nay đều là mất hết?". Theo phân tích của thành viên này thì số thẻ ATM là một thông tin chưa từng được chủ topic công bố, sao lại có thể lọt vào tay kẻ gian. Hơn nữa, số thẻ ATM rất khó nhớ, bản thân chủ thẻ cũng không biết và không nhớ được nếu không lấy thẻ ra. Kích hoạt SIM mới là việc "rất mất thời gian, lại phải có Chứng minh thư". Trong trường hợp này, kẻ gian không thể có chứng minh thư của Cuckoo thì hắn kích hoạt lại SIM bằng cách nào.

"Nói chung tôi nghĩ lấy được tiền kiểu này không dễ và còn rất nhiều điểm đáng ngờ, cần có ý kiến từ phía công an", người này kết luận.

Một thành viên khác am hiểu về hệ thống ngân hàng thì cho rằng, giả thiết của chủ topic về việc kẻ gian mua thẻ từ Công ty DV The SM là không đúng, vì thực chất đây chính là Smartlink, đơn vị trung gian thanh toán cho nhiều website bán hàng qua mạng. Có thể kẻ gian đã mua hàng tại nhiều site thông qua dịch vụ của Smartlink chứ không phải mua thẻ game/thẻ điện thoại như anh Hải phân tích. Về việc xác thực khách hàng thanh toán online sử dụng OTP và thông tin thẻ, thành viên này cũng khẳng định đây là "chuẩn quốc tế rồi chứ đâu phải tự nhiên VN tự sáng tạo ra". Nếu mọi người sử dụng thẻ tín dụng Visa Master thì thậm chí còn không cần tới mã OTP.

Một số thành viên đặt ra khả năng chủ topic đã bị hack máy tính và cài phần mềm theo dõi bàn phím từ trước, do đó toàn bộ thông tin nhạy cảm như số thẻ, mật khẩu đã lọt vào tay kẻ gian và hắn chỉ cần bước cuối cùng là đoạt SIM để lấy mã OTP. Tuy nhiên, một câu hỏi lớn vẫn vướng ở khâu kích hoạt lại SIM khi không có chứng minh thư.

Hiện tại, các bên liên đới vẫn chưa đưa ra ý kiến gì về vụ việc. Trong lúc chờ đợi hiện tượng được xác thực và xác minh, người dùng cần tiến hành các biện pháp tự bảo vệ mình trước những nguy cơ tương tự bằng cách không tiết lộ quá nhiều thông tin cá nhân trên mạng, sử dụng nhiều mật khẩu khác nhau cho các dịch vụ email, ngân hàng, diễn đàn, không truy cập tài khoản ngân hàng từ máy tính công cộng....