Cách tội phạm mạng đánh cắp tiền từ thẻ ngân hàng — và cách bảo vệ bạn khỏi hành vi trộm cắp đó

Kaspersky đã tiến hành điều tra lý do tại sao thẻ chip không phải là thuốc chữa bách bệnh và những biện pháp phòng ngừa nào cần được thực hiện khi thanh toán.

Các dịch vụ thanh toán đã trở nên thuận tiện hơn và an toàn hơn trong những năm gần đây — nhưng tội phạm mạng vẫn đang tìm cách đánh cắp tiền từ thẻ trên toàn thế giới. Các phương pháp phổ biến nhất được sử dụng cho hành vi trộm cắp như vậy là gì và làm thế nào bạn có thể chống lại chúng?

Nhân bản thẻ

Khi thẻ chỉ lưu trữ thông tin trên một dải từ, những kẻ lừa đảo dễ dàng tạo ra một bản sao chính xác của thẻ và sử dụng nó để thanh toán tại các cửa hàng và rút tiền tại máy ATM. Lúc đầu, dữ liệu được đọc bằng một thiết bị đặc biệt — skimmer được gắn trên máy ATM hoặc thiết bị đầu cuối trong cửa hàng. Điều này được bổ sung bởi một máy ảnh hoặc một miếng đệm đặc biệt trên bàn phím đầu cuối để tìm ra mã PIN của thẻ. Sau khi có được kết xuất thẻ và mã PIN, những kẻ lừa đảo đã ghi dữ liệu vào một thẻ trống và sử dụng nó tại máy ATM hoặc trong cửa hàng.

Công nghệ này vẫn hoạt động ở một số nơi trên thế giới, nhưng sự ra đời của thẻ chip đã làm giảm hiệu quả của nó đi rất nhiều. Thẻ có chip không dễ bị sao chép. Đó là lý do tại sao bọn tội phạm bắt đầu lây nhiễm các thiết bị đầu cuối thanh toán bằng mã độc sao chép một số dữ liệu từ thẻ trong khi xử lý giao dịch mua hợp pháp. Sau đó, những kẻ lừa đảo gửi các yêu cầu thanh toán được tạo khéo léo bằng thông tin này. Về bản chất, chúng chỉ gửi dữ liệu đã được ghi trước đó trên dải từ, nhưng dán nhãn giao dịch là do chip thực hiện. Điều này có thể xảy ra khi các ngân hàng không tham chiếu chéo các thông số giao dịch khác nhau một cách đầy đủ chi tiết và triển khai không chính xác các giao thức EMV mà tất cả các hành động thẻ chip phải tuân theo.

Với những ngân hàng không bị lỏng lẻo như vậy, những kẻ tấn công sử dụng một thủ thuật thậm chí còn tinh vi hơn. Khi nạn nhân thực hiện một khoản thanh toán hợp pháp, thiết bị đầu cuối thanh toán bị nhiễm sẽ yêu cầu thẻ được đưa vào tạo ra một giao dịch gian lận khác. Do đó, bản thân thẻ không được sao chép, nhưng số tiền bổ sung vẫn được khấu trừ từ thẻ.

Cách tự bảo vệ mình: hãy thử sử dụng chức năng thanh toán không tiếp xúc trên điện thoại của bạn, chức năng này sẽ được bảo vệ tốt hơn. Nếu bạn vẫn cần cắm thẻ vào thiết bị đầu cuối, hãy kiểm tra cẩn thận bảng mã PIN xem có những sửa đổi đáng ngờ nào không. Ngoài ra, hãy dùng tay, ví hoặc vật dụng khác che bảng điều khiển khi nhập mã. Nếu thiết bị đầu cuối đột nhiên không chấp nhận thanh toán không tiếp xúc, thông báo bất thường xuất hiện trên màn hình hoặc mã PIN cần được nhập nhiều lần, đây là lý do để nghi ngờ và thực hiện các biện pháp bảo vệ bổ sung. Ví dụ, bạn có thể kiểm tra ngay bảng sao kê tài khoản của mình hoặc đặt giới hạn thấp cho việc tiêu tiền trên thẻ.

Trộm cắp dữ liệu thẻ qua internet

Ở đây, những kẻ lừa đảo đang theo dõi thông tin chi tiết về thẻ ngân hàng để chúng có thể thực hiện thanh toán trực tuyến. Chúng thường bao gồm số thẻ, ngày hết hạn và mã xác minh (CVV/CVC); Ngoài ra, tùy thuộc vào quốc gia, tên, mã zip hoặc số hộ chiếu của chủ thẻ cũng có thể được tìm kiếm. Có ít nhất ba cách hiệu quả mà những kẻ lừa đảo thu thập dữ liệu này:

Dụ dỗ nạn nhân bằng cách tổ chức một cửa hàng trực tuyến giả mạo, một bản sao lừa đảo của một cửa hàng trực tuyến thực sự hoặc dưới chiêu bài gây quỹ từ thiện.

Chặn thông tin bằng cách lây nhiễm trang web của cửa hàng trực tuyến thực tế (web skimmer) hoặc máy tính/điện thoại thông minh của nạn nhân (Trojan ngân hàng).

Xâm nhập vào một cửa hàng trực tuyến thực và đánh cắp thông tin thẻ thanh toán của khách hàng được lưu trữ. Lưu ý rằng các cửa hàng không được phép lưu giữ toàn bộ thông tin thẻ, nhưng không may là quy tắc này đôi khi bị vi phạm.

Nhìn chung, phương pháp trộm cắp này, mặc dù đã cũ, vẫn tồn tại; chẳng hạn, theo phân tích của chúng tôi, các cuộc tấn công đánh cắp dữ liệu ngân hàng tăng gần gấp đôi vào năm 2022.

Cách tự bảo vệ mình: trước tiên, hãy lấy thẻ ảo để thanh toán trực tuyến. Nếu không quá khó khăn hoặc tốn kém, hãy phát hành thẻ ảo mới và chặn thẻ cũ ít nhất mỗi năm một lần. Thứ hai, đặt giới hạn thấp trên thẻ thanh toán trực tuyến của bạn hoặc chỉ giữ một số tiền rất nhỏ trên đó. Thứ ba, đảm bảo rằng ngân hàng luôn yêu cầu bạn xác nhận thanh toán trực tuyến bằng mã một lần (sử dụng Bảo mật 3-D hoặc các cơ chế tương tự). Và thứ tư, hãy kiểm tra cẩn thận các hình thức thanh toán và địa chỉ của các trang web mà bạn nhập thông tin tài chính. Để bớt lo lắng về vấn đề này, hãy sử dụng các công cụ an ninh mạng giúp bảo vệ an toàn các khoản thanh toán trực tuyến.

Trộm cắp thẻ và điện thoại kiểu cũ

Đây là phương pháp ăn cắp đáng chú ý và trắng trợn nhất, nhưng nó vẫn còn phổ biến. Những tên tội phạm có hiểu biết có thể sử dụng thẻ để thanh toán trực tuyến bằng cách tìm một cửa hàng trực tuyến không yêu cầu nhập mã xác minh bổ sung. Một cách đơn giản hơn nhưng không kém phần hiệu quả là sử dụng thẻ bị đánh cắp để thanh toán không tiếp xúc không yêu cầu nhập mã PIN.

Thường có giới hạn đối với các khoản thanh toán được thực hiện theo cách này và ở một số quốc gia sau ba đến năm lần thanh toán như vậy, thẻ sẽ bị chặn, nhưng ở Vương quốc Anh chẳng hạn, thiệt hại của nạn nhân từ phương pháp trộm cắp nguyên thủy này có thể dễ dàng lên tới 500 bảng Anh (5 × £100). Điện thoại luôn có giá trị đối với kẻ trộm và nếu điện thoại đó đã bật Google Pay, thì có thể thanh toán ngay cả từ một điện thoại bị chặn trong giới hạn thanh toán cho phép, gây thêm thiệt hại cho nạn nhân.

Các nhà nghiên cứu bảo mật đã chỉ ra rằng ngay cả khi thẻ bị khóa sau khi nhập sai mã PIN ba lần, thì đôi khi vẫn có thể thực hiện thanh toán không tiếp xúc. Kẻ tấn công cũng có thể trao đổi một số dữ liệu với điện thoại bị chặn, sau đó sử dụng các bản ghi đã sửa đổi của lần trao đổi đó để thực hiện các khoản thanh toán gian lận một lần. May mắn thay, cả hai loại tấn công đã được các nhà nghiên cứu đạo đức phát hiện, vì vậy có thể hy vọng rằng những kẻ lừa đảo chưa sử dụng các phương pháp này.

Cách tự bảo vệ mình: tốt nhất bạn nên đặt giới hạn chi tiêu tương đối nhỏ cho thẻ để sử dụng hàng ngày. Nếu ngân hàng của bạn cho phép, bạn có thể đặt riêng giới hạn thấp cho thanh toán không tiếp xúc. Tất nhiên, bạn nên đảm bảo rằng bạn có thể tăng hạn mức một cách nhanh chóng nếu có nhu cầu. Ngoài ra, bạn có thể phát hành một thẻ ảo với giới hạn thấp và liên kết Google/Apple/Samsung Pay với thẻ đó. Nếu ứng dụng thanh toán có thể được thiết lập để chỉ cho phép thanh toán từ điện thoại đã mở khóa, hãy làm như vậy.

Kaspersky khuyến nghị bạn nên cẩn thận với mọi khoản thanh toán bằng thẻ, thiết lập cách nhanh nhất để được thông báo về chúng (đẩy hoặc SMS) và liên hệ với ngân hàng của bạn càng sớm càng tốt nếu bạn thấy bất kỳ giao dịch đáng ngờ nào.

Hương