Phóng to

Bằng cách khai thác điểm yếu của thẻ sử dụng vạch từ, những tên trộm dễ dàng rút hàng chục triệu USD từ các máy rút tiền tự động - Ảnh: Reuters

Gọi đây là “vụ trộm ngân hàng lớn thế kỷ 21” trên quy mô toàn cầu, công tố viên Liên bang Mỹ Loretta Lynch tại Brooklyn ngày 9-5 cho biết các nghi can và đồng bọn đã thực hiện phi vụ tinh vi và hiệu quả chưa từng thấy: từ xâm nhập thông tin ngân hàng, rút tiền ồ ạt tại các máy rút tiền tự động (ATM) rồi nhanh chóng rửa sạch số tiền trộm được.

Bảy nghi can bị buộc tội lừa đảo và rửa tiền trong khi kẻ cầm đầu đã bị ám sát tại CH Dominican hồi tháng trước. Mỗi nghi can sẽ phải đối mặt với án tù 10 năm cho riêng tội rửa tiền.

Cuộc điều tra có sự tham gia của các cơ quan thực thi pháp luật của Nhật Bản, Canada, Anh, Romania và 12 quốc gia khác trên thế giới.

Các vụ bắt giữ cũng diễn ra tại nhiều nước, nhưng chi tiết cũng như thông tin về những kẻ đầu sỏ không được công bố với lý do điều tra vẫn đang tiếp diễn.

Bà Lynch cho biết họ đang truy tìm một số nghi can ở châu Á và châu Âu. Các chuyên gia mạng tin rằng vụ trộm có sự tham gia của hàng trăm người, trong đó có nhiều tin tặc siêu hạng có khả năng xâm nhập các hệ thống tài chính được bảo mật cao.

Cướp không khói súng

Phương thức của bọn trộm là tấn công vào hệ thống dữ liệu thẻ ngân hàng, xóa bỏ hạn mức rút tiền của các thẻ ghi nợ trả trước.

Đây là loại thẻ có sẵn tiền chứ không phải loại thẻ tín dụng trả sau hay liên kết với một tài khoản ngân hàng nào, vì thế khi bị tấn công sẽ khó bị phát hiện hơn. Vì vụ tấn công nhắm vào nguồn tiền mà ngân hàng dùng cho các giao dịch thẻ ghi nợ nên không cá nhân nào bị mất tiền.

Tiếp đến, chúng tạo mã tiếp cận và chuyển dữ liệu cho đồng bọn. Những đồng bọn của chúng, còn gọi là casher (kẻ rửa tiền), tải thông tin vào các thẻ có vạch từ, có thể là thẻ mở cửa của khách sạn hoặc thẻ tín dụng hết hạn, miễn là có thể chứa được thông tin tài khoản và mã tiếp cận, và sử dụng chúng để trong vài giờ đồng hồ rút tiền ở khoảng 30 nước khác nhau.

Đợt tấn công đầu tiên diễn ra vào tháng 12-2012 khi bọn trộm đột nhập hệ thống một công ty xử lý thẻ Ấn Độ chuyên kiểm soát các thẻ Visa và Mastercard, xóa hạn mức rút tiền các thẻ do Ngân hàng Quốc gia Ras Al-Khaimah của Các tiểu vương quốc Ả Rập phát hành, theo New York Times.

Chỉ với năm tài khoản, bọn trộm đã thực hiện 4.500 giao dịch trên toàn cầu, rút ra 5 triệu USD. Khi đã quen mồi và liều lĩnh hơn, chúng thực hiện đợt thứ hai vào tháng 2-2013 với 36.000 giao dịch được thực hiện trong vòng 10 giờ, trộm đi 40 triệu USD.

Nạn nhân thứ hai là các thẻ của Ngân hàng Muscat của Oman do một công ty tại Mỹ quản lý. Reuters dẫn lời phó chủ tịch Shane Shook của Công ty tư vấn an ninh mạng Cylance cho biết kẻ trộm nhắm vào các ngân hàng Trung Đông vì những ngân hàng này thường cho khách hàng để nhiều tiền vào thẻ nhưng lại quản lý lỏng lẻo hơn ngân hàng tại các khu vực khác.

Đoạn phim do các máy quay giám sát tại New York ghi lại cho thấy các nghi can đi từ máy ATM này sang máy ATM khác với balô sau lưng ngày một nặng dần. Tổng cộng các nghi can ở New York đã rút hơn 2,4 triệu USD tại hơn 2.900 máy ATM trong ngày 19-2.

Trong khi đó, đồng bọn của chúng ở Nhật Bản lại thành công hơn cả khi rút được 10 triệu USD bởi một số ngân hàng nước này cho phép rút tối đa đến 10.000 USD tại mỗi máy ATM.

Trong khi một số kẻ xuống đường rút tiền, đồng bọn của chúng theo dõi các giao dịch trên mạng để đảm bảo chúng được chia phần đồng đều, theo công tố viên.

Tỉ lệ chia là 20% cho những người đi rút tiền, số còn lại thuộc về những kẻ cầm đầu tổ chức. Ngay sau đó, để rửa tiền, chúng lập một tài khoản tại một ngân hàng ở Miami (Mỹ) đổ tiền mua các sản phẩm đắt tiền như xe Porsche, Mercedes, đồng hồ Rolex...

Nguy cơ mạng

Vụ tấn công mới nhất đã chỉ ra nhiều điểm yếu của hệ thống tài chính. Trong đó, hệ thống an ninh của các công ty xử lý thẻ tín dụng vốn trước nay vẫn bị đánh giá là rất kém trong việc ngăn ngừa các vụ lừa đảo.

Bên cạnh đó là các loại thẻ vạch từ được các ngân hàng Mỹ sử dụng. Theo Time, trong khi thế giới đang loại bỏ loại thẻ này để thay thế bằng thẻ tích hợp chip điện tử, vốn hầu như không thể bị sao chép, thì các ngân hàng tại Mỹ vẫn mắc kẹt với loại thẻ bảo mật kém này.

Ken Pickering thuộc Tổ chức CORE Security chuyên cung cấp an ninh cho các công ty nhận định điều đáng lo ngại là thông tin về vụ trộm chấn động này có thể trở thành nguồn cảm hứng cho những tên tội phạm khác khi chúng thấy có thể trộm được 45 triệu USD một cách dễ ăn như thế.

Chuyên gia an ninh Robert D. Rodriguez cũng cho rằng hệ thống an ninh tại nhiều nước vẫn đang phải vật lộn đầy khó khăn để đi trước tin tặc. Chưa kể những cuộc tấn công mạng thường diễn ra liên quốc gia khiến việc bắt giữ hầu như rất khó.