Ứng dụng VCB Digibank có thực sự như "bức tường" bảo mật kiên cố?

VnExpress mới đây có đưa tin, tài khoản tại Ngân hàng Ngoại thương Việt Nam (Vietcombank) 'bốc hơi' 406 triệu trong vài phút. 

Cụ thể, Ông Trần Việt Luận, ngụ quận Thủ Đức (TP HCM) cho biết tài khoản Vietcombank phát sinh 4 giao dịch chuyển khoản vào trưa 4/9. Vì không nhận được tin nhắn thông báo mã xác thực, biến động số dư qua điện thoại nên ông không phát hiện cho đến khi ra ngân hàng giao dịch vào chiều cùng ngày.

"Lúc đến chi nhánh Nam Bình Dương làm lệnh chuyển tiền, tôi mới tá hỏa khi nhân viên thông báo tài khoản chỉ còn 5 triệu đồng", ông Luận nói với VnExpress. Ngay sau đó, ông đưa điện thoại cho nhân viên ngân hàng kiểm chứng không nhận được tin nhắn và đề nghị lập biên bản, dừng ngay các giao dịch.

Khách hàng này khẳng định 4 giao dịch không phải mình thực hiện và cũng không biết đối tượng thụ hưởng là ai. Ông cho biết trước đó không cung cấp, chia sẻ tên truy cập dịch vụ hay mật khẩu VCB Digibank cho bất cứ ai.

Sau đó, phía Vietcombank cho biết việc đăng nhập tài khoản trên thiết bị mới và thực hiện 4 giao dịch chuyển tiền hoàn toàn hợp lệ. Nhà mạng Vinaphone cũng xác nhận ngân hàng gửi tổng cộng 8 tin nhắn xác thực và biến động số dư đến điện thoại ông Luận.

Cụ thể, lúc 11h, hệ thống ghi nhận yêu cầu kích hoạt ứng dụng Digibank từ tài khoản ông Luận trên thiết bị mới. Đối tượng thực hiện giao dịch đã nhập đúng tên truy cập, mật khẩu và mã xác thực (OTP lần 1) gửi đến điện thoại.

Hai phút sau, hệ thống ghi nhận thao tác kích hoạt tính năng SmartOTP trên ứng dụng và đối tượng cũng nhập chính xác mã xác thực (OTP lần 2). Tiếp đó, đối tượng thực hiện 2 yêu cầu chuyển khoản 89 triệu đồng tới người thụ hưởng Pham Lan Anh tại Ngân hàng Đông Nam Á (SEA Bank) và nhập đúng mã xác thực.

Sau khi thực hiện thành công hai giao dịch chuyển tiền bằng phương thức xác thực OTP qua tin nhắn điện thoại, tính năng xác thực bằng SmartOTP trên thiết bị mới có thể được sử dụng. Vì thế, lúc 11h07, đối tượng chuyển 317 triệu đồng tới tài khoản Vo Khoa Tuan tại Ngân hàng TMCP Hàng hải Việt Nam (MSB) thông qua hai giao dịch.

Phía Vietcombank cho rằng đây là trường hợp nghi ngờ bị giả mạo giao dịch qua ứng dụng VCB Digibank dẫn đến bị rút tiền trong tài khoản.

Sau khi nhận đơn khiếu nại, chi nhánh ngân hàng đã kiểm tra trên hệ thống và làm việc với các bên liên quan để xử lý yêu cầu tra soát giao dịch, cấp mật khẩu VCB Digibank và hướng dẫn khách hàng kích hoạt lại dịch vụ.

Vietcombank cũng hai lần gặp trực tiếp khách hàng để trả lời, cung cấp thông tin liên quan và sẽ tiếp tục cập nhật trong thời gian chờ kết quả tra soát giao dịch tại ngân hàng hưởng.

Được biết, Vietcombank đã chính thức ra mắt ứng dụng VCB Digibank vào tháng 7 vừa qua trên cơ sở hợp nhất các nền tảng giao dịch trực tuyến và thay thế cho các dịch vụ Internet Banking và Mobile Banking trước đây của ngân hàng. Đây được xem là một bước thay đổi lớn về mặt công nghệ của Vietcombank khi khách hàng chỉ cần một tài khoản duy nhất để đăng nhập và sử dụng dịch vụ của ngân hàng trên tất cả các thiết bị.

Đặc biệt, ứng dụng VCB Digibank được giới thiệu tăng cường bảo mật. Kế thừa các phương thức bảo mật đã được áp dụng cho khách hàng trên các dịch vụ trước đây bao gồm: Bảo mật đăng nhập, bảo mật giao dịch và đặc biệt là Smart OTP. Hơn thế nữa, VCB Digibank còn được bổ sung công nghệ xác thực đăng nhập mới- Push Authentication.

Với công nghệ này, khi khách hàng đăng nhập trên trình duyệt web, hệ thống sẽ tự động gửi thông báo tới ứng dụng di động để chờ khách hàng xác nhận trước khi cho phép đăng nhập thành công. Các công nghệ xác thực đăng nhập cùng với Smart OTP sẽ là các lớp bảo vệ gia tăng, tạo nên một “bức tường” bảo mật kiên cố đảm bảo sự an toàn cho khách hàng trong mỗi giao dịch.

Tuy nhiên, dù ứng dụng VCB Digibank được giới thiệu bảo mật cao cấp nhưng tiền trong tài khoản của khách hàng lại ‘không cánh mà bay’.

Liên tiếp các vụ việc mất tiền trong tài khoản ngân hàng Vietcombank

Trước đó, liên tiếp các vụ việc mất tiền trong tài khoản Ngân hàng Vietcombank đã được đăng tải trên báo chí. Cho đến nay, đa số các vụ mất tiền Ngân hàng Vietcombank này chưa có kết luận rõ ràng về nguyên nhân. Điều đó khiến không ít khách hàng phải giật mình, lo lắng liệu có hay không lỗ hổng bảo mật trong giao dịch của ngân hàng này?

Cụ thể, Tuổi trẻ online có đưa tin hồi tháng 1/2020, một tài khoản Facebook L.H.K cho biết: Khi anh đang lái xe thì nhận được hàng loạt tin nhắn trừ tiền vì giao dịch qua thẻ VISA của Ngân hàng TMCP Ngoại thương Việt Nam (Vietcombank). Sau đó là hàng loạt tin nhắn khác báo giao dịch không thành công khác vì tài khoản không đủ tiền.

Anh K. đã báo tổng đài Vietcombank và khóa thẻ. Sau đó, vẫn còn hàng loạt tin nhắn không thành công khác được báo về. Anh K. thấy rất nhiều người cũng phản ảnh bị mất tiền tương tự, đều là giao dịch tại "City of white horse" và nhiều cái  tên latin khác. Thời điểm diễn ra cũng tương tự.

Cũng trong tình trạng tương tự, Facebook của N.Đ.T cũng bị mất tiền trong tháng 1/2020 giống hệt như anh K., nhưng ở lần này anh T., chỉ mất một số tiền nhỏ, sau đó  anh T., đã gọi đến tổng đài của Vietcombank để tự khóa thẻ visa của mình. Kế tiếp lại có tin nhắn báo tới có giao dịch với Ninhosbar nhưng bị từ chối vì anh đã cài đặt hạn mức chi trả.

Ngay sau đó, phía Vietcombank khẳng định đây không phải lỗi bảo mật và cũng không liên quan gì đến việc nâng cấp hệ thống ngân hàng. 

Năm 2019 cũng có nhiều trường hợp tiền trong tài khoản Vietcombank bỗng ‘bốc hơi’. Chẳng hạn, tạp chí Thời Đại đưa tin, ngày 4/7/2019, khách hàng N. D. A. (Hà Nội) đã nhận được 2 tin nhắn thông báo giao dịch rút tiền từ tài khoản Vietcombank với tổng số tiền gần 10 triệu đồng. Anh D. A. kiểm tra lại ví và phát hiện thẻ visa của mình vẫn còn, nhưng tiền trong tài khoản tự dưng “biến mất”.

Anh D. A. khẳng định không hề thực hiện hai giao dịch rút tiền nói trên và cũng không cho ai mượn thẻ visa. Sau đó, Vietcombank đã mời anh D. A lên làm việc, trao đổi thông tin về 2 giao dịch rút tiền từ thẻ visa nói trên, trong đó có một giao dịch mang tên người nước ngoài và một giao dịch là tên người Việt.

Đáng chú ý là hai giao dịch này chỉ cách nhau 1 phút và sử dụng hai loại hình giao dịch khác nhau là Sacombank Pay và ví MoMo. Sau đó một tuần, ngân hàng đã hoàn trả lại toàn bộ tiền đã mất cho khách hàng.

Trước hàng loạt các sự cố mất tiền trên tài khoản mà chưa rõ nguyên nhân thực sự, liệu hệ thống bảo mật của Vietcombank có an toàn?