Bài viết phân tích bản chất, phương thức, thủ đoạn, thực trạng tội phạm mạng. Đề xuất một số giải pháp nhằm nâng cao hiệu quả phòng, chống tội phạm mạng, góp phần bảo đảm an ninh, an toàn trong lĩnh vực tài chính ngân hàng (TC-NH).
Tóm tắt: Trong bối cảnh hiện nay, tội phạm mạng đang trở thành vấn đề an ninh phi truyền thống mang tính toàn cầu. Là mối quan tâm chung của các quốc gia trên thế giới. Bài viết phân tích bản chất, phương thức, thủ đoạn, thực trạng tội phạm mạng. Đề xuất một số giải pháp nhằm nâng cao hiệu quả phòng, chống tội phạm mạng, góp phần bảo đảm an ninh, an toàn trong lĩnh vực tài chính ngân hàng (TC – NH).
Cybercrime prevention in finance – banking sector
Abstract: Currently, cybercrime is becoming a global non-traditional security issue, which is a common concern of countries around the world. The article analyzes the nature, methods, tricks, and current status of cybercrime; proposes a number of solutions to improve the efficiency of cybercrime prevention, contributing to ensuring security and safety in banking and finance sector.
1. Tội phạm mạng trong lĩnh vực TC-NH
Cách mạng Công nghiệp 4.0 tạo điều kiện cho ngân hàng và các tổ chức tài chính đổi mới công nghệ. Nhờ việc ứng dụng, chuyển giao công nghệ cao, phát triển các sản phẩm dịch vụ hiện đại, giao dịch minh bạch và an toàn hơn. Với những công nghệ mới, đẩy nhanh quá trình thiết lập ngân hàng số và tiến tới xây dựng một xã hội không dùng tiền mặt. Tuy nhiên, cùng với đó là những nguy cơ, lỗ hổng, tạo điều kiện cho tội phạm mạng lợi dụng tiến hành các hoạt động vi phạm pháp luật.
Tội phạm mạng trong lĩnh vực TC-NH được hiểu là hành vi sử dụng không gian mạng. Họ sử dụng công nghệ thông tin (CNTT) hoặc phương tiện điện tử, truy cập dữ liệu cá nhân của người dùng (dữ liệu thẻ thanh toán, thông tin đăng nhập,…), bí mật của ngân hàng trung ương, ngân hàng thương mại (NHTM), các công ty tài chính… nhằm chiếm đoạt tài sản hoặc phục vụ cho các mục đích sai trái khác. Các thủ đoạn mà tội phạm mạng sử dụng rất đa dạng và tinh vi. Có thể kể đến những thủ đoạn phổ biến sau:
Trộm cắp danh tính (Identity Theft): Tội phạm mạng sử dụng phương thức đóng giả một người khác, nhằm tạo ra sự gian lận về tài chính. Tin tặc truy cập vào thông tin cá nhân của một người và sau đó sử dụng cùng một thông tin. Để đánh cắp danh tính hoặc truy cập vào tài khoản ngân hàng của nạn nhân để thực hiện các giao dịch hay chi tiêu.
Phishing: Truy cập bất hợp pháp vào website, dùng email giả để lấy các thông tin cá nhân. Các phương thức thường được sử dụng như thu thập địa chỉ email của ngân hàng. Và gửi thư yêu cầu cung cấp thông tin để tiến hành xác thực bảo mật cho tài khoản do xảy ra sự cố nào đó (email và spam). Tạo website giả mạo, cổng thanh toán để “bẫy” người dùng; chiếm hoặc lập tài khoản facebook giả, gửi tin nhắn đến bạn bè của nạn nhân để lừa đảo.
Tấn công bằng mã độc ransomware: Mã hóa tất cả dữ liệu trong hệ thống máy tính hoặc hệ thống mạng của tổ chức tài chính, ngân hàng hay cá nhân người dùng. Sau đó đưa ra một thông báo yêu cầu tiền chuộc để giải mã dữ liệu.
Tấn công từ chối dịch vụ DdoS: Một hình thức tấn công khiến cho máy tính không thể xử lý kịp các tác vụ và dẫn đến quá tải. Các cuộc tấn công DdoS này thường nhắm vào các máy chủ ảo (VPS) hay Web Server của các ngân hàng, các trang thương mại điện tử…
Tấn công bằng phần mềm gián điệp: Tấn công khởi đầu bằng một email chứa file pdf đính kèm. Gửi tới một số người giữ vị trí quan trọng của ngân hàng. Khi người dùng mở file pdf, mã độc tải xuống máy tính của nạn nhân một phần mềm đánh cắp dữ liệu, cho phép hacker từ xa điều khiển được máy tính bị lây nhiễm. Hacker còn có thể nghe lén được các cuộc gọi bằng âm thanh trên máy tính. Và sử dụng máy tính đó để tấn công sang các máy tính có kết nối khác.
Gian lận thẻ tín dụng (Credit card fraud): Tin tặc thực hiện những cuộc tấn công vào các nhà bán lẻ hệ thống, thiết bị đầu cuối POS, ngân hàng và lấy cắp dữ liệu thẻ tín dụng (Visa, MasterCad, ATM…) của khách hàng. Dữ liệu bị đánh cắp có thể được rao bán trên web đen (dark web). Hoặc đánh cắp trực tiếp tiền từ tài khoản của những người có liên quan.
Lợi dụng hệ thống thanh toán Swift: Lợi dụng các ngân hàng có quy chế bảo mật lỏng lẻo trong việc thực hiện các lệnh chuyển tiền qua hệ thống thanh toán Swift của ngân hàng. Như không dùng “tường lửa”, sử dụng các bộ chuyển mạch giá rẻ, hay thủ tục xác thực khách hàng. Phần mềm gửi và nhận điện chuyển tiền chưa nâng cấp để thực hiện các giao dịch giả mạo và lừa đảo.
Lừa đảo trong mua bán hàng qua mạng giữa doanh nghiệp với nhau – B2B (Business to Business): Khi ký hợp đồng qua mạng, đặc biệt là hợp đồng ngoại thương, tội phạm thực hiện đúng hợp đồng đầu để tạo lòng tin. Khi lượng tiền thanh toán lớn, tội phạm nhanh chóng rút tiền trước khi người mua phát hiện hành vi lừa đảo và không giao hàng hoặc giao hàng không đúng hợp đồng.
Lừa đảo trong mua bán hàng giữa doanh nghiệp và khách hàng – B2C (Business to customer): Lợi dụng việc phải trả tiền trước qua mạng của người mua, tội phạm không chuyển hàng. Hoặc giao không đúng với quảng cáo về chất lượng, số lượng, chủng loại, mẫu mã…
Lợi dụng bán hàng đa cấp: Tội phạm lập website để tổ chức huy động vốn trả lãi suất cao. Lợi dụng các hoạt động từ thiện; lập sàn giao dịch cho nhận tiền. lập và tạo nhiều sàn giao dịch các loại tiền điện tử hoạt động theo mô hình đa cấp như: Onecoin, Bitcoin, Ilcoin, Gemcoin… Thành lập các công ty giả mạo dự án của công ty nước ngoài huy động vốn trả lãi suất và hoa hồng…
Ngoài ra, tội phạm mạng còn một số thủ đoạn khác, như giả mạo cơ quan điều tra. Giả mạo người thân nhờ chuyển tiền hộ. Giả mạo tin nhắn từ ngân hàng kèm đường dẫn đến các trang web giả. Gửi thư thông báo quà tặng từ nước ngoài; cung cấp nội dung số tổ chức nhắn tin trúng thưởng;…
2. Nhà nước đã ban hành nhiều văn bản quy định an ninh mạng
Trên cơ sở các quy định của Nhà nước, Ngân hàng Nhà nước Việt Nam (NHNN) đã ban hành nhiều văn bản quy phạm pháp luật về đảm bảo an toàn hoạt động CNTT trong ngành; ban hành Bộ tiêu chuẩn cơ sở về thẻ chip nội địa1 và tiêu chuẩn cơ sở “Đặc tả kỹ thuật QR-Code trong lĩnh vực thanh toán tại Việt Nam”.
Bộ Công an đã phát hiện hàng nghìn nhóm tội phạm mạng trong nước và nước ngoài thực hiện hành vi hacker. Tấn công vào tài khoản hoặc thẻ ngân hàng chiếm đoạt hàng trăm triệu USD2. Các đối tượng xấu lợi dụng sơ hở trong công tác đảm bảo an ninh, an toàn hoạt động của máy ATM để lắp đặt thiết bị Skimming, đánh cắp thông tin, làm giả thẻ ngân hàng để chiếm đoạt tài sản. Giả mạo tin nhắn thương hiệu (SMS Brand Name) để chiếm đoạt tài sản với số tiền lớn. Trong năm 2018, cả nước đã xảy ra 178 vụ đánh cắp dữ liệu, gây thiệt hại hơn 6,2 tỷ đồng của 521 chủ thẻ. Trong 6 tháng năm 2019 đã xảy ra 191 vụ, gây thiệt hại 21,8 tỷ đồng của 977 chủ thẻ.
3. Sang các năm thì có thể hành vi này càng phổ biến hơn
Các chuyên gia Bkav dự báo, năm 2020 mã độc tấn công có chủ đích APT sẽ tinh vi hơn. Fileless sẽ là xu hướng chính, cùng với đó là các mã độc giả mạo các phần mềm, chương trình chuẩn thông qua kỹ thuật DLL Side-Loading để đánh lừa phần mềm diệt virus. Tấn công mã hóa tống tiền sẽ còn tiếp tục gia tăng, các thiết bị IoT như Router, Wifi, camera giám sát, thiết bị đầu cuối… . Sẽ là điểm nóng về an ninh mạng khi các thiết bị này ngày càng trở nên phổ biến và kết nối rộng. Đặc biệt, tấn công lừa đảo chiếm đoạt tài khoản ngân hàng sẽ tiếp tục gia tăng…
Hoạt động phòng, chống tội phạm mạng trong lĩnh vực TC-NH trước mắt vẫn còn gặp nhiều khó khăn, thách thức. Các đối tượng tội phạm mạng được tổ chức chặt chẽ, có trình độ cao về CNTT, cách thức phạm tội và che giấu khá tinh vi. Không gian phạm tội “ảo” trên Internet nên khó xác định được địa bàn cụ thể. Cũng như danh tính và địa chỉ thật. Một số người bị hại ngại trình báo với cơ quan chức năng nên việc xác minh gặp nhiều khó khăn. Trong khi mỗi nước có hệ thống luật pháp khác nhau, nên công tác điều tra gặp nhiều khó khăn. Ngoài ra, sự đa dạng của các tổ chức tài chính, ngân hàng cũng như loại hình thanh toán. Cũng gây khó khăn cho cơ quan quản lý trong việc kiểm soát dòng tiền của tội phạm mạng.
4. Một số giải pháp phòng, chống tội phạm mạng trong lĩnh vực TC-NH
Một là, tiếp tục hoàn thiện cơ sở pháp lý về phòng, chống tội phạm trong lĩnh vực TC-NH.
Quán triệt, thực hiện Luật An ninh mạng, Luật Phòng, chống rửa tiền. Nghị định số 117/2018/NĐ-CP của Chính phủ về việc giữ bí mật, cung cấp thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài. Chỉ thị 02/CT-NNNN của Thống đốc ngân hàng Về tăng cường quản lý rủi ro rửa tiền, tài trợ khủng bố trong lĩnh vực ngân hàng…. Tiếp tục nghiên cứu hoàn thiện hệ thống các văn bản và quy phạm pháp luật liên quan đến tội phạm mạng. Tội phạm thương mại điện tử, tội phạm ngân hàng số. Ban hành các quy định để các tổ chức tín dụng, ngân hàng hoạt động, không để kẽ hở cho tội phạm mạng lợi dụng.
NHNN cần xây dựng lộ trình bắt buộc kết nối thanh toán để các ngân hàng phải hoàn tất hệ thống kết nối thanh toán. Xây dựng các mâu thuẫn về hệ thống cơ sở dữ liệu, quy định tiêu chuẩn về an ninh, bảo mật, quy trình bảo trì, nâng cao chất lượng dịch vụ.
Hai là, đẩy mạnh truyền thông, nâng cao nhận thức, năng lực nhận diện tội phạm mạng và giảm thiểu các rủi ro trong lĩnh vực TC-NH.
Bồi dưỡng cho cán bộ, công chức ngành TC-NH cũng như người dùng về các biện pháp bảo đảm an toàn thông tin . Nâng cao năng lực nhận diện đối tượng, phương thức, thủ đoạn phạm tội mạng, nhất là những thủ đoạn mới. Theo đó, đối tượng tội phạm mạng rất đa dạng, có thể là người trong hoặc ngoài tổ chức TC-NH, hoặc liên kết phạm tội; người Việt Nam ở nước ngoài, người nước ngoài hoặc liên kết phạm tội…
Ba là, tăng cường đảm bảo ATTT trong phòng, chống tội phạm mạng trong lĩnh vực TC-NH.
NHNN nghiên cứu, sửa đổi, bổ sung các văn bản quy phạm pháp luật về đảm bảo ATTT mạng. Phù hợp với xu thế phát triển công nghệ. Nghiên cứu, áp dụng các tiêu chuẩn, thông lệ quốc tế về an ninh, an toàn hệ thống thông tin. Khung đánh giá rủi ro CNTT vào các văn bản quy phạm pháp luật điều chỉnh hoạt động ứng dụng CNTT, nâng cao chất lượng công tác thanh tra, kiểm tra. Tuân thủ các quy định về an toàn bảo mật của các tổ chức tín dụng, tổ chức trung gian thanh toán.
Các tổ chức tài chính, ngân hàng cần chủ động trong xử lý bảo vệ dữ liệu và quản lý rủi ro an ninh mạng. Thường xuyên kiện toàn lực lượng bảo vệ an ninh, ATTT tại chỗ. Có thể thuê dịch vụ giám sát bảo vệ từ các doanh nghiệp uy tín đã được Bộ Thông tin và Truyền thông cấp phép. Ngoài ra, khi xảy ra sự cố tấn công mạng, cần chia sẻ và báo cáo với các đơn vị liên quan đến lĩnh vực ANTT. Như Trung tâm Giám sát an toàn không gian mạng Quốc gia (NCSC), Hiệp hội An toàn thông tin, Liên minh phòng, chống mã độc…
Bốn là, ứng dụng các công nghệ mới để tăng cường bảo mật trong lĩnh vực TC-NH.
Trang bị các hệ thống hỗ trợ giám sát giao dịch điện tử, điều tra gian lận. Phân tích dữ liệu khách hàng và xây dựng bộ quy tắc để phát hiện và ngăn chặn sớm các gian lận. Xây dựng các tiêu chí và phần mềm để xác định các giao dịch bất thường dựa vào thời gian, vị trí, tần suất, số tiền, số lần đăng nhập sai quá quy định. Hoặc các dấu hiệu bất thường khác. Xây dựng trung tâm điều hành an ninh mạng để theo dõi, giám sát và ngăn chặn kịp thời các hành vi xâm nhập, tấn công mạng. Thường xuyên đánh giá các lỗ hổng của hệ thống CNTT. Xây dựng và triển khai diễn tập các quy trình, kịch bản ứng phó với các sự cố ATTT.
Chú trọng đầu tư cơ sở hạ tầng kỹ thuật, đảm bảo an toàn, an ninh mạng. Nghiên cứu tìm kiếm các giải pháp bảo vệ an toàn, an ninh mạng phù hợp (ứng dụng TRAML Client; STRClient,…). Nâng cao hiệu quả hợp tác giữa TC-NH, cơ quan nhà nước và Chính phủ điện tử với các đối tác thuộc khu vực tư nhân. Nhằm huy động tiềm lực và sự hỗ trợ của các doanh nghiệp, từ đó nâng cao hiệu quả công tác bảo mật dữ liệu và đảm bảo an toàn, an ninh mạng.
Năm là, phát huy vai trò tự bảo vệ của người dùng trong tham gia các hoạt động thương mại điện tử, ngân hàng số.
Người dùng tuyệt đối không cung cấp thông tin liên quan đến OTP, mật khẩu ngân hàng hay thông tin tài khoản cho bất kỳ ai và bằng bất cứ hình thức nào (nhắn tin, trả lời điện thoại, tiết lộ trực tiếp…). Tránh truy cập các website không đáng tin cậy, các đường link hoặc mở các file không rõ nguồn gốc5. Kiểm tra kỹ các thông tin khi giao dịch, cảnh giác với những cuộc gọi yêu cầu cung cấp thông tin. Đăng xuất khỏi tài khoản khi kết thúc giao dịch, không chọn chế độ lưu mật khẩu đăng nhập trên thiết bị sử dụng chung, máy tính công cộng.
Ưu tiên sử dụng máy tính cá nhân, thường xuyên nâng cấp và bảo vệ thiết bị bằng cách cài đặt phần mềm diệt virus. Thiết lập tường lửa thế hệ mới, tải phần mềm ứng dụng từ những nguồn rõ ràng. Thường xuyên cập nhật thông tin cho ngân hàng khi có thay đổi như số điện thoại, chứng minh nhân dân…. Không nên sử dụng mật khẩu quá ngắn và liên quan đến thông tin cá nhân, như ngày sinh, số điện thoại…. Đặc biệt, không sử dụng một mật khẩu cho tất cả các tài khoản ngân hàng..
Sáu là, phối hợp, hỗ trợ tích cực từ các cơ quan hữu quan của Bộ Công an, Bộ Quốc phòng, Bộ Thông tin và Truyền thông, các tổ chức quốc tế phòng, chống tội phạm mạng.
Các doanh nghiệp cung cấp dịch vụ trên không gian mạng tăng cường cảnh báo khả năng mất an ninh mạng. Do đơn vị mình cung cấp và hướng dẫn biện pháp phòng ngừa. Xây dựng các phương án xử lý với sự cố an ninh mạng; phối hợp, tạo điều kiện cho lực lượng chuyên trách trong hoạt động bảo vệ an ninh mạng.
Như vậy, việc ứng phó với các vấn đề an ninh, bảo mật, phòng, chống tội phạm mạng trong lĩnh vực TC-NH. Đòi hỏi phải có một hệ thống giải pháp đồng bộ, với sự chung tay của cả hệ thống chính trị. Mà nòng cốt là các cơ quan chuyên trách an ninh mạng, lãnh đạo, chủ trì các ngân hàng, tổ chức tài chính và của mỗi người dân. Khi hiệu quả phòng, chống tội phạm mạng được nâng cao, giảm thiểu được rủi ro, đẩy nhanh quá trình thiết lập ngân hàng số và thanh toán không dùng tiền mặt ở Việt Nam.
Chú thích:
1 Quyết định số 1927/QĐ-NHNN ngày 05/10/2018 Về việc công bố tiêu chuẩn cơ sở.
2 https://cafef.vn: Tội phạm công nghệ cao trong lĩnh vực ngân hàng ngày càng diễn biến phức tạp. 10/10/2019
3 https://baomoi.com: Cảnh báo thủ đoạn làm giả thẻ ATM để rút tiền nhằm chiếm đoạt tài sản. 06/9/2019
4 https://www.sbv.gov.vn: Chuyển đổi thẻ từ sang thẻ Chip là giải pháp trọng tâm thúc đẩy thanh toán không dùng tiền mặt. 28/5/2019
5 https://portal.vietcombank.com.vn: Vietcombank cảnh báo gian lận dịch vụ ngân hàng điện tử qua website giải mạo. 25/2/2020
Tài liệu tham khảo
– Bộ luật Hình sự Việt Nam 2015 sửa đổi, bổ sung 2017
– Luật An ninh mạng năm 2018
– Quyết định số 1927/QĐ-NHNN ngày 05/10/2018 Về việc công bố tiêu chuẩn cơ sở.
– https://cafef.vn: Tội phạm công nghệ cao trong lĩnh vực ngân hàng ngày càng diễn biến phức tạp. 10/10/2019
– https://baomoi.com: Cảnh báo thủ đoạn làm giả thẻ ATM để rút tiền nhằm chiếm đoạt tài sản. 06/9/2019
– http://vneconomy.vn: Tội phạm mạng đe dọa trực tiếp an ninh quốc gia. 29/5/2019
https://dantri.com.vn: Nghi vấn lộ thông tin 2 triệu khách hàng của một ngân hàng Việt. 22/11/2019
– https://www.sbv.gov.vn: Chuyển đổi thẻ từ sang thẻ chip là giải pháp trọng tâm thúc đẩy thanh toán không dùng tiền mặt. 28/5/2019
– https://portal.vietcombank.com.vn: Vietcombank cảnh báo gian lận dịch vụ ngân hàng điện tử qua website giải mạo. 25/2/2020
” Theo Thị Trường Tiền Tệ “
