Cảnh báo thủ đoạn đánh tráo chíp thẻ ngân hàng: Bài 1: 'Trái tim' thẻ bị tráo trên đường đi

Tám năm trước, ở một quốc gia có hệ thống ngân hàng vào loại hiện đại nhất thế giới, một kịch bản khác - cũng xoay quanh việc tách con chíp khỏi tấm thẻ thật - từng khiến cơ quan Mật vụ Mỹ phải phát đi cảnh báo khẩn cho toàn ngành tài chính. Câu chuyện ấy bắt đầu không phải trên bàn thu ngân, mà từ những phong bì gửi qua đường bưu điện.

Phong bì bị chặn giữa đường

Một số đối tượng lợi dụng sự sơ hở, mất cảnh giác của khách hàng khi thanh toán tại nhà hàng, cơ sở kinh doanh dịch vụ, để bóc tách, đánh tráo chíp trên thẻ vật lý, sau đó gắn sang phôi thẻ khác nhằm tạo thẻ giả và chiếm đoạt tài sản. Nhưng đây không phải là một thủ đoạn tội phạm hoàn toàn mới.

Mọi chuyện bắt đầu từ dải băng từ phía sau mỗi tấm thẻ đời cũ: dữ liệu ở đó được lưu trữ tĩnh nên chỉ cần một thiết bị nhỏ gắn vào khe đọc thẻ là có thể sao chép trọn vẹn. Suốt gần 2 thập niên, "thủy tổ" skimming ấy hoành hành khắp Đông Nam Á, buộc ngành ngân hàng phải từ bỏ thẻ dải từ, chuyển sang chip EMV để chấm dứt nạn sao chép dữ liệu. Thế nhưng, đến lượt con chíp lại đương đầu với một kiểu tấn công mới mà xét về bản chất đánh cắp thông tin vẫn không thay đổi.

Cảnh báo của cơ quan Mật vụ Mỹ về thẻ ngân hàng bị tráo chíp

Cuối tháng 3/2018, cơ quan Mật vụ Mỹ gửi một bản tin nội bộ tới các tổ chức tài chính, cảnh báo về một thủ đoạn nhắm vào thẻ ghi nợ (debit) chip mới phát hành cho khách hàng doanh nghiệp. Nội dung bản tin, do nhà báo an ninh mạng Brian Krebs công bố trên KrebsOnSecurity, mô tả một chuỗi hành vi mà ông gọi là "canh bạc" tinh vi. Tội phạm chặn thư có chứa thẻ ghi nợ chíp gửi từ ngân hàng đến các doanh nghiệp lớn, tách chíp thật khỏi thẻ, gắn một chíp cũ hoặc vô hiệu vào thẻ rồi gửi tiếp cho người nhận như thể không có chuyện gì xảy ra.

Để tách được con chíp mà không làm hỏng cấu trúc thẻ, kẻ gian dùng nhiệt làm tan lớp keo dán, gỡ chíp ra khỏi tấm nhựa mà gần như không để lại dấu vết bằng mắt thường. Con chíp đánh cắp sau đó được gắn sang một tấm thẻ cũ, còn tấm thẻ mới - giờ chỉ còn một chíp "xác chết" - được đóng gói lại, gửi tiếp đến đúng địa chỉ doanh nghiệp như ban đầu. Không có gì bất thường xảy ra ở khâu giao nhận. Con tem vẫn nguyên, phong bì vẫn kín, chỉ có "trái tim" của tấm thẻ đã bị đánh tráo.

Lý do kẻ gian không dùng luôn thẻ đánh cắp được, theo lý giải của Brian Krebs, nằm ở chỗ thẻ cần được kích hoạt trước, mà tội phạm lại không nắm được thông tin đặc quyền để tự kích hoạt nó. Vì vậy, chúng buộc phải để nạn nhân tự tay kích hoạt tấm thẻ - với con chíp giả bên trong - rồi âm thầm dùng con chíp thật đã đánh cắp, cấy trong một tấm thẻ khác, để rút tiền trước khi doanh nghiệp kịp phát hiện thẻ của mình "không hoạt động".

Bản tin của Mật vụ Mỹ không nêu rõ thời điểm hay địa điểm cụ thể tội phạm chặn thư và can thiệp vào thẻ, chỉ xác nhận mục tiêu là thẻ ghi nợ cấp cho doanh nghiệp lớn, nhóm khách hàng thường gắn với hạn mức và số dư tài khoản cao hơn hẳn cá nhân. Krebs đặt giả thuyết rằng thủ đoạn này có thể liên quan đến nhân viên bưu điện, hoặc kẻ gian bằng cách nào đó tiếp cận trực tiếp hộp thư của doanh nghiệp - nhưng đến thời điểm bản tin được công bố, nguồn gốc chính xác của lỗ hổng trong khâu giao nhận vẫn chưa được làm rõ.

Điều khiến giới chuyên gia bảo mật đặc biệt chú ý đến vụ việc này không phải kỹ thuật - việc dùng nhiệt tách chíp không đòi hỏi công cụ gì quá phức tạp - mà là mức độ kiên nhẫn và tổ chức của những kẻ đứng sau. Chúng phải theo dõi đường đi của một phong thư cụ thể, can thiệp đúng thời điểm, xử lý con chíp mà không để lại dấu vết, đóng gói lại gần như hoàn hảo rồi còn phải chờ đợi - đôi khi nhiều ngày - để tấm thẻ được kích hoạt trước khi hành động. "Điều này cho thấy mức độ mà một số đối tượng sẵn sàng thực hiện để nhắm vào khách hàng giá trị cao", Brian Krebs viết trong bài phân tích của mình.

Theo hình ảnh minh họa do chính Mật vụ Mỹ cung cấp và được Krebs đăng tải, một tấm thẻ đã bị can thiệp thường để lại 2 dấu hiệu: vết cháy xém nhiệt quanh khu vực chíp hoặc trên bề mặt thẻ và một lỗ nhỏ trên lớp nhựa - dấu vết của công cụ dùng để bẩy chíp ra khỏi thân thẻ. Đây gần như là những manh mối duy nhất mà một nhân viên kế toán doanh nghiệp, khi bóc phong bì nhận thẻ mới, có thể nhận ra nếu quan sát - một yêu cầu quá cao so với thói quen thông thường của phần lớn người dùng thẻ.

Lừa chính nạn nhân thực hiện

Nếu thủ đoạn nhắm vào thẻ ghi nợ (2018) còn cần đến khâu chặn thư vật lý, thì biến thể được các tổ chức tín dụng Mỹ và Hiệp hội người cao tuổi Mỹ (AARP) cảnh báo trong giai đoạn 2024-2025 đã tinh vi hơn và giảm đi một bước. Thay vì tự tay can thiệp vào tấm thẻ, kẻ gian dùng chính nạn nhân làm người thực hiện. Kịch bản thường bắt đầu bằng một cuộc gọi mạo danh ngân hàng, thông báo tài khoản đang có giao dịch bất thường và cần "bảo mật" bằng cách tháo con chíp ra khỏi thẻ, giao lại cho một người sẽ đến tận nơi nhận.

AARP gọi đây là một dạng lừa đảo hiếm gặp vì kết hợp cả yếu tố trực tuyến lẫn con người trực tiếp ngoài đời thực và đặc biệt nhắm vào từng cá nhân cụ thể. Kẻ gian thường đã nắm được tên, địa chỉ, số điện thoại và cả ngân hàng phát hành thẻ của nạn nhân từ trước, có thể mua được trên chợ đen hoặc khai thác từ các vụ rò rỉ dữ liệu khác. Ông Scott Anchin, Phó Chủ tịch phụ trách chính sách rủi ro vận hành và thanh toán tại Hiệp hội Ngân hàng Cộng đồng Độc lập Mỹ (ICBA) lưu ý rằng, phần lớn lừa đảo ngân hàng diễn ra hoàn toàn trực tuyến, còn dạng lừa đảo chíp này lại có thêm một khâu ngoài đời thực - kẻ gian trực tiếp đến nhận con chíp từ tay nạn nhân.

Chip EMV được 3 tổ chức tài chính lớn là Europay, Mastercard và Visa phát hành năm 1994 với phiên bản tiêu chuẩn đầu tiên nhằm mục tiêu chặn đứng nạn làm giả thẻ bằng cách sao chép dải từ. Với mỗi giao dịch, chíp tạo ra một mã xác thực chỉ dùng được một lần, khiến việc sao chép dữ liệu để dùng lại gần như bất khả thi - khác hẳn dải từ ở mặt sau thẻ chứa thông tin cố định. Nhờ đó, tại nhiều thị trường đã hoàn tất chuyển đổi sang EMV, tỷ lệ gian lận bằng thẻ giả được ghi nhận giảm mạnh, có nơi giảm tới 60-80% theo dữ liệu ngành thẻ được SmartMetric dẫn lại từ Marketwatch và Discover Financial Services năm 2014.

Nhưng vụ chặn thư năm 2018 tại Mỹ, cũng như biến thể lừa đảo qua điện thoại năm 2024-2025, đều cho thấy một điều mà không thuật toán mã hóa nào giải quyết được. Một khi "lá chắn" bảo mật ấy tồn tại dưới dạng một vật thể vật lý - có thể cầm, nung nóng, bẩy ra, cấy sang nơi khác - nó sẽ luôn để lại một khe hở cho kẻ đủ kiên nhẫn khai thác. Đó cũng chính là nguyên lý đứng sau thủ đoạn "bóc tách, đánh tráo chíp" mà Ngân hàng Nhà nước Việt Nam vừa lên tiếng cảnh báo.

VĂN TOÀN - TÂN PHONG