Đến chiều 8-11, trao đổi với phóng viên Báo Người Lao Động, lãnh đạo một số ngân hàng (NH) thương mại cho biết vẫn đang xác minh vụ lộ thông tin tài khoản thẻ khách hàng của Thế Giới Di Động (TGDĐ). Dù thông tin chưa được minh định nhưng lãnh đạo nhiều NH khuyến cáo chủ thẻ ATM, thẻ tín dụng đã từng thanh toán ở hệ thống siêu thị này nên khóa tính năng thanh toán online, đổi mã PIN thẻ ATM hoặc khóa thẻ.

Kiểm chứng để khách hàng yên tâm

Trước đó, thông tin của hơn 30.000 giao dịch thẻ NH và khoảng 5,4 triệu email khách hàng, 61.000 email nhân viên được cho rằng của hệ thống siêu thị TGDĐ bị hacker tung lên mạng. Các thông tin giao dịch thẻ của khách hàng của TGDĐ có nêu rõ thời gian mua sắm, số thẻ thanh toán (vài con số đã được che mờ), số tiền, phí thanh toán… Thông tin này khiến nhiều chủ thẻ từng thanh toán mua hàng tại chuỗi siêu thị này lo lắng.

Tiểu ban quản lý rủi ro của một số NH cũng gặp nhau để thảo luận về khả năng thông tin bị lộ có xảy ra. Một số NH khác đã chủ động rà soát, khoanh vùng các thẻ từng giao dịch với TGDĐ để phòng ngừa rủi ro. Phía TGDĐ phủ nhận thông tin bị lộ tài khoản khách hàng nhưng theo các chuyên gia thẻ, dù sao nguy cơ bị lộ thông tin thẻ, tài khoản của khách hàng khi thanh toán trực tuyến, online trong xu hướng bùng nổ hiện nay là không hiếm. Ông Võ Đỗ Thắng, Giám đốc Trung tâm Đào tạo An ninh mạng ATHENA, cho rằng việc cần làm hiện nay là TGDĐ nên mời một bên thứ ba kiểm định, kiểm chứng các thông tin hacker tung lên mạng. Khi thông tin này được kiểm chứng rõ ràng mới có thể thuyết phục khách hàng yên tâm.

Nhìn nhận thông tin ban đầu, theo phó tổng giám đốc một NH cổ phần có lượng khách hàng cá nhân lớn tại TP HCM, hacker tung lên mạng thông tin của chủ thẻ gồm 6 chữ số đầu và 4 chữ số cuối (các chữ số còn lại bị ẩn) thì không thể lợi dụng các thông tin này để thực hiện giao dịch thanh toán mua hàng trên mạng. Trong trường hợp bị lộ tất cả thông tin về số thẻ, ngày hết hạn thì cũng cần phải có thêm 3 số bí mật phía sau từng thẻ (mã số CVV) mới có thể thanh toán. Số CVV khi chủ thẻ nhập để thanh toán trên hệ thống sẽ hiển thị dưới dạng mã hóa nên không dễ bị đánh cắp (giống như nhập mã PIN trên máy ATM, POS).

"Hầu hết các thẻ tín dụng hiện có độ bảo mật cao hơn và gần như NH nào phát hành thẻ tín dụng cũng khuyến khích khách hàng đăng ký nhận thêm mã OTP (xác nhận được gửi qua tin nhắn của chủ thẻ tại thời điểm phát sinh giao dịch). Do đó, nguy cơ kẻ gian lợi dụng thông tin thẻ đã bị lộ để giao dịch thanh toán mua hàng là rất khó" - vị lãnh đạo NH này nói.

Thông tin số thẻ tín dụng được cho là của khách hàng đã giao dịch tại Thế Giới Di Động bị tung lên mạng. Ảnh: CHÁNH TRUNG

Khó lộ chứ không phải không thể

Phân tích về khả năng thông tin thẻ của người dùng có thể bị lộ, ông Ngô Tấn Vũ Khanh, Giám đốc phát triển hãng bảo mật Kaspersky Lab Việt Nam, cho biết: "Rất khó để hacker (hoặc ai đó) có thể có thông tin tài khoản tín dụng của khách hàng đã và đang giao dịch với TGDĐ. Tại các cửa hàng bán lẻ, máy POS và hệ thống phần mềm trên máy POS bị tách rời ra khỏi hệ thống thanh toán do các giao dịch từ máy thanh toán PAX được NH kiểm soát. Máy POS chỉ lưu thông tin cá nhân khách hàng khi mua hàng phục vụ cho các chương trình khuyến mãi, tích điểm, khách hàng thân thiết. Máy POS không thể lưu thông tin thẻ tín dụng hay quốc tế của khách hàng".

Tuy nhiên, ông Khanh cảnh báo hacker có thể chiếm quyền điều khiển máy POS và làm bàn đạp tấn công các giao dịch nếu thiết lập được một giao thức đủ tốt. Hiện tỉ lệ các công ty bán lẻ tại Việt Nam quan tâm đến bảo mật trên các máy POS là rất thấp (chưa tới 5%). Theo ông Đào Minh Tuấn, Chủ tịch Hội Thẻ Việt Nam, NH Nhà nước quy định khi in sao kê hay thông tin thanh toán thẻ phải che giấu một phần thông tin cho nên hacker chưa thể sử dụng thông tin chưa đầy đủ để giao dịch thương mại điện tử. Tuy nhiên, hiện mỗi NH có đến hàng chục ngàn điểm đặt máy POS, do vậy càng phải lưu ý yêu cầu về bảo mật.

Theo các chuyên gia thẻ, chưa biết các hacker có được thông tin đến mức độ nào nhưng để phòng ngừa rủi ro, các chủ thẻ nên chủ động bảo vệ tài khoản thẻ của mình. Giám đốc trung tâm thẻ của một NH cổ phần lớn tại Hà Nội chia sẻ chủ thẻ có thể khóa tính năng thanh toán online. Với thẻ tín dụng quốc tế Visa, MasterCard, thanh toán online thường phải dùng thêm mã OTP được gửi qua tin nhắn của khách hàng nên rủi ro thấp. Với thẻ ATM, độ bảo mật chưa bằng thẻ tín dụng nên rủi ro cao hơn nhưng nếu khách hàng đổi mã PIN thì cũng khó xảy ra rủi ro thẻ giả.

Lãnh đạo nhiều NH khuyến cáo khách hàng nên đăng ký SMS Banking để theo dõi biến động số dư của thẻ ATM, thẻ tín dụng, nếu có phát sinh giao dịch bất thường cần báo ngay cho NH thương mại để hạn chế rủi ro, thiệt hại. Chuyên gia NH Huỳnh Trung Minh khuyên khi sử dụng thanh toán trực tuyến bằng thẻ tín dụng, nên thanh toán ở những trang web uy tín để tránh bị lộ thông tin thẻ, nếu nghi ngờ thì ngừng và báo ngay cho NH. Cả thẻ ATM lẫn thẻ tín dụng khi giao dịch trực tuyến nên đăng ký thêm mã OTP.

Quá nguy hiểm

Ông Ngô Tấn Vũ Khanh, Giám đốc phát triển hãng bảo mật Kaspersky Lab Việt Nam, nhìn nhận vụ việc là hồi chuông cảnh báo cho các DN lớn, có hệ thống công nghệ thông tin đồ sộ, cần phải quan tâm hơn nữa bảo mật an ninh thông tin. "Thật quá nguy hiểm nếu thông tin cá nhân khách hàng như email, số điện thoại, địa chỉ, số lượng giao dịch, số tiền giao dịch, mặt hàng giao dịch... bị lộ ra ngoài. DN sẽ phải trả một cái giá rất đắt chỉ vì một lần sai lầm về bảo mật trong hệ thống của họ" - ông Khanh nói.

Thế Giới Di Động phủ nhận việc để lộ thông tin

Ngay sau thông tin cá nhân, giao dịch của khách hàng bị tiết lộ, trong ngày 7-11, TGDĐ khẳng định những thông tin lan truyền trên mạng là không chính xác. "Chúng tôi đã kiểm tra các thông tin được phản ánh và khẳng định hệ thống công nghệ thông tin của TGDĐ vẫn an toàn, không hề bị ảnh hưởng. Mọi thông tin của khách hàng vẫn được bảo mật và khách hàng không nên lo lắng cũng như có bất kỳ hành động nào liên quan đến thông tin thất thiệt này" - đại diện TGDĐ cho biết.

Theo vị đại diện này, khi khách hàng mua hàng và cà thẻ tại cửa hàng, máy POS do NH thương mại cung cấp, dữ liệu được chuyển về NH, hệ thống của TGDĐ không can thiệp vào quá trình này, cũng như không được phép lưu trữ bất cứ thông tin nào của khách hàng. Vì vậy, không thể có việc bị lộ thông tin từ hệ thống của công ty. Tương tự, nếu khách hàng thanh toán online qua trang web, khi thanh toán sẽ nhảy sang cổng thanh toán của một bên thứ ba, nên trang web TGDĐ không thể lưu các thông tin của khách. Ngoài ra, một số khách hàng cho rằng có email chính xác của họ ở trong số thông tin bị lộ, TGDĐ khẳng định các email này không xuất phát từ nguồn của TGDĐ. Hacker có thể thu thập email từ nguồn khác ở trên mạng và "gán" cho TGDĐ (?).