Phương thức xác thực mã OTP qua SMS từ lâu được người dùng Việt quen thuộc và sử dụng phổ biến. Nhiều ngân hàng tại Việt Nam đang sử dụng công nghệ này, song song với những phương thức mới.
Tuy vậy, phương thức bảo mật này có thể đã đến lúc không còn đáng tin cậy nữa.
Người dùng mất tiền trong tài khoản, ngân hàng bị mạo danh
“Việc sử dụng số điện thoại di động chứa nhiều rủi ro. Nếu mã OTP được gửi qua SMS, tất cả những gì tin tặc cần làm là chiếm quyền sở hữu số điện thoại của bạn”, nhà cung cấp giải pháp bảo mật Protectimus cho biết.
 |
| Phương thức liên lạc tài chính qua SMS chứa nhiều lỗ hổng dễ bị hacker khai thác. |
Tháng 9/2019, Cơ quan điều tra liên bang Mỹ (FBI) đã phát đi một cảnh báo an ninh cho các đối tác về những vụ tấn công vượt qua hình thức xác thực nhiều lớp (Multi-factor authentication hay MFA).
Tại Việt Nam, tháng 10/2020, một người dùng tại TP.HCM cho biết mình đã bị chuyển mất hơn 400 triệu trong tài khoản dù không biết giao dịch xảy ra vào lúc nào.
Trong khi nạn nhân cho biết không nhận được tin nhắn (SMS) của ngân hàng thông báo mã xác thực hay thay đổi số dư trong tài khoản, thì ngân hàng lại cho rằng cả 4 giao dịch đều hợp lệ, đã có 8 tin nhắn được gửi tới số điện thoại của chủ tài khoản.
Gần đây nhất là vụ việc một khách hàng nữ tại TP.HCM đã bị lừa mất 38 triệu đồng vì làm theo tin nhắn từ đầu số ngân hàng. Cụ thể, tin nhắn lừa đảo chứa liên kết dẫn đến trang giả mạo ngân hàng. Đáng chú ý, tin nhắn lừa đảo này được gộp vào luồng tin nhắn thông báo biến động tài khoản trước đây của nạn nhân.
Sau vụ việc trên, hàng loạt đầu số thương hiệu từ các tổ chức tài chính cũng bị lạm dụng để gửi đi nhưng tin nhắn lừa đảo. Nhiều ngân hàng đã lên tiếng cảnh báo khách hàng không tin và làm theo nội dung tin nhắn lừa đảo kể cả khi chúng "được gửi từ đầu số ngân hàng".
Ngân hàng nên từ bỏ gửi tin nhắn qua SMS?
“Tôi nghĩ việc gửi thông tin tới khách hàng bằng tin nhắn đã không còn được tin cậy nữa. Ngân hàng nên chuyển hình thức liên lạc khác với khách hàng. Một là đảm bảo tất cả tin nhắn đều phải đáng tin, chứ không thể tồn tại trạng thái nửa tin nửa ngờ được”, Trí Đức, chuyên gia bảo mật đang làm việc tại Mỹ cho biết.
Theo ông Phạm Văn Toàn, chuyên gia bảo mật một tập đoàn lớn tại Singapore, với hình thức gửi OTP qua SMS, có đến 3 phía có thể bị tấn công gồm: ngân hàng, nhà mạng và người dùng.
 |
| Với SMS, có đến ba bên có thể trở thành mục tiêu của hacker. |
Ở phía người dùng, có thể điện thoại bị kẻ xấu lén cài các ứng dụng bên thứ 3, có quyền đọc tin nhắn. Hoặc người dùng vô tình tải những phần mềm chữa mã độc.
Về phía ngân hàng, có thể giải thuật cấp OTP của họ đã bị hacker đoán ra, hoặc server bị hack. Kịch bản này tuy khó, nhưng không thể loại trừ.
Trong khi đó, thông tin truyền giữa các cột sóng của nhà mạng cũng có thể bị giải mã, server nhà mạng bị hack hoặc thậm chí SIM vật lý của người dùng bị sao chép.
Nên dùng SmartOTP và tin nhắn OTT thông qua ứng dụng di động
Vậy nếu không dùng OTP qua SMS thì phương thức nào sẽ thay thế?
Đây là câu hỏi không mới và các ngân hàng tại Việt Nam đã có giải pháp từ nhiều năm trước.
Từ năm 2019, BIDV, Vietcombank, VietinBank và một số ngân hàng tại Việt Nam đã chuyển sang phương thức xác thực mới có tên Smart OTP. Cách này khắc phục hầu hết nhược điểm mà các phương thức khác gặp phải.
Chẳng hạn, với SMS OTP, người dùng có thể bị hạn chế khi chuyển vùng nước ngoài, có thể bị xâm nhập có chủ đích từ hacker. Trong khi đó, phương thức Token Key (sử dụng thiết bị tạo mã khi giao dịch) là thiết bị rời, dễ bị thất lạc hoặc đánh cắp.
Trong khi đó, Smart OTP được tích hợp trực tiếp trên thiết bị di động, có khả năng tạo ra mã xác thực OTP không cần kết nối mạng Internet. Người dùng cũng có thể sử dụng bình thường khi khách hàng di chuyển ra nước ngoài hoặc điện thoại mất sóng.
Mã OTP được sinh ra ngẫu nhiên, duy nhất, không trùng lặp. Người dùng chỉ cần đăng nhập vào ứng dụng, tạo mật khẩu. Khi cần chuyển tiền, người dùng mở ứng dụng ngân hàng, nhập mật khẩu và nhận mã OTP.
Đối với tin nhắn khác từ ngân hàng (không phải thông báo mã OTP), người dùng có thể đăng ký nhận tin nhắn thông qua ứng dụng Mobile. Khi gặp các sự cố, tin nhắn hù dọa liên quan đến tài khoản ngân hàng, người dùng chỉ cần sử dụng app trên di động và gọi đến đường dây nóng để kiểm chứng.
