[Funland] Bàn luận về vụ 500tr chị Na Hương

[ORIJEANS]

Em trích lại cho các cụ chưa đọc:
--------------------------
"Tôi chỉ muốn chia sẻ để nhiều người không rơi vào hoàn cảnh như tôi. Ngay từ đầu khi phát hiện bị mất tiền, khâu xử lý của ngân hàng quá chậm trễ, tôi gọi bộ phận 24/7 mà không được. Ngân hàng cũng dửng dưng cho đến khi tôi làm đơn khiếu nại lên các cấp cao hơn mới thấy ngân hàng vào cuộc", chị Hương bày tỏ thái độ bức xúc.

"Tôi không biết mình có click vào link lạ như Vietcombank giải thích hay không nhưng rõ ràng tôi đã không cài app của ngân hàng trên điện thoại của mình”, chị Hương nói thêm.

 

[difiho]

Để hạn chế rủi ro, mỗi bank chỉ có 1 hoặc 2 cùng lắm là 3 ông có. Mà những ông này toàn tầm giám đốc/phó giám đốc CNTT. Cụ nghĩ khả năng những ông này can thiệp vào hệ thống để lấy 500 triệu không ạ? Hơn nữa những ông này hiểu hơn ai hết là không hề dễ nuốt số tiền đó.

Như ở trên em bảo có nhiều quyền, Có phải mình quyền đấy mới thực hiện được đâu ví dụ quyền dba, update ....Nói chung khả năng tấn công bên trong là có không thể loại trừ. Còn cụ bảo chỉ GĐ/PGĐ mới có là chưa chắc đã chuẩn nhé.

 

[Kurumasuki]

Em trích lại cho các cụ chưa đọc:
--------------------------
"Tôi chỉ muốn chia sẻ để nhiều người không rơi vào hoàn cảnh như tôi. Ngay từ đầu khi phát hiện bị mất tiền, khâu xử lý của ngân hàng quá chậm trễ, tôi gọi bộ phận 24/7 mà không được. Ngân hàng cũng dửng dưng cho đến khi tôi làm đơn khiếu nại lên các cấp cao hơn mới thấy ngân hàng vào cuộc", chị Hương bày tỏ thái độ bức xúc.

"Tôi không biết mình có click vào link lạ như Vietcombank giải thích hay không nhưng rõ ràng tôi đã không cài app của ngân hàng trên điện thoại của mình”, chị Hương nói thêm.

Em chả ngạc nhiên khi thấy các rắc rối về tiền nong, công nghệ, IT xảy ra với các mợ.
Đầu tiên cứ ú a ú ớ e có làm gì đâu, em có biết gì đâu, em cẩn thận lắm.vv...
Rồi đến lúc người ta hỏi lại thì à ờ em có như này như này...
Đã có câu: cái ấy mà nó ko dính vào người thì các mợ cũng đánh rơi mệ nó lúc nào ko biết !

 

[ORIJEANS]

Em chả ngạc nhiên khi thấy các rắc rối về tiền nong, công nghệ, IT xảy ra với các mợ.
Đầu tiên cứ ú a ú ớ e có làm gì đâu, em có biết gì đâu, em cẩn thận lắm.vv...
Rồi đến lúc người ta hỏi lại thì à ờ em có như này như này...
Đã có câu: cái ấy mà nó ko dính vào người thì các mợ cũng đánh rơi mệ nó lúc nào ko biết !

Cái chuyện ú ớ để bị hack pass và user theo em là quá logic, k phải bàn, đặc biệt với các mợ. Popup nhảy ra cứ ok loạn cả lên thậm chí chả thèm đọc.

Nhưng cái smartotp thì phải xem lại, có khi oan người ta thật cụ ạ, ck 7 phát k có 1 sms otp nào.

 

[Gcar]

Em trích lại cho các cụ chưa đọc:
--------------------------
"Tôi chỉ muốn chia sẻ để nhiều người không rơi vào hoàn cảnh như tôi. Ngay từ đầu khi phát hiện bị mất tiền, khâu xử lý của ngân hàng quá chậm trễ, tôi gọi bộ phận 24/7 mà không được. Ngân hàng cũng dửng dưng cho đến khi tôi làm đơn khiếu nại lên các cấp cao hơn mới thấy ngân hàng vào cuộc", chị Hương bày tỏ thái độ bức xúc.

"Tôi không biết mình có click vào link lạ như Vietcombank giải thích hay không nhưng rõ ràng tôi đã không cài app của ngân hàng trên điện thoại của mình”, chị Hương nói thêm.

cụ cũng cẩn thận với mấy lời trên báo này, không có gì là bằng chứng cả. Nên nhớ mấy bài này lên báo sau chiều 11/8 gặp VCB, chị H không thỏa mãn nên mới cho lên báo và lờ đi 1 số nội dung mà đại diện VCB có nói, như tìm thấy link fake trong điện thoại.

Theo báo thì "Thấy bất thường, chị Hương gọi điện cho Vietcombank để thông báo và khóa tài khoản vào lúc 7h50, ngày 5/8/2016."

Như vậy thời gian báo là hợp lý, sau khi ngủ dậy. Và ngân hàng đã xử lý chặn được gd chuyển tài khoản 300 tr (trước 8h sáng) Còn 200 triệu là chuyển tức thời vào thẻ, bọn kia sẽ rút ngay trong đêm ở Malaysia rồi. Có báo sớm mấy tiếng chắc cũng không kịp.

Còn vụ sms OTP thì như đã có giải thích chưa xác nhận, là bọn kia đã dùng smart OTP để tạo mã, nên không có sms OTP nữa. Đó tạm thời là dự đoán thôi nhưng cũng hợp lý.

 

[ORIJEANS]

cụ cũng cẩn thận với mấy lời trên báo này, không có gì là bằng chứng cả.
Theo báo thì "Thấy bất thường, chị Hương gọi điện cho Vietcombank để thông báo và khóa tài khoản vào lúc 7h50, ngày 5/8/2016."

Như vậy thời gian báo là hợp lý, sau khi ngủ dậy. Và ngân hàng đã xử lý chặn được gd chuyển tài khoản 300 tr (trước 8h sáng) Còn 200 triệu là chuyển tức thời vào thẻ, bọn kia sẽ rút ngay trong đêm ở Malaysia rồi. Có báo sớm mấy tiếng chắc cũng không kịp.

Chi tiết này e thấy cũng hơi vô lý. Sao 200 tr lại rút được còn 300 tr lại tắc lại??? Cụ thông não e cái ạ? Tks cụ!

 

[Gcar]

Chi tiết này e thấy cũng hơi vô lý. Sao 200 tr lại rút được còn 300 tr lại tắc lại??? Cụ thông não e cái ạ? Tks cụ!

300 triệu là chuyển vào tài khoản, sẽ chờ đến giờ giao dịch để nhân viên thao tác {duyệt}, và gửi lên hệ thống thanh toán của NHNN, rồi lại nhập về ngân hàng bên kia. Còn 200 triệu chuyển mỗi lần 50 tr, có lẽ là vào nhiều thẻ khác nhau; là sử dụng phương thức "chuyển tiền nhanh" tức thời, chỉ có hiệu lực với 1 số thẻ và tài khoản ngân hàng tham gia phương thức này.

Bọn lừa đã nghiên cứu hệ thống ngân hàng VN rất kỹ lưỡng, chúng chọn thẻ visa Sacombank là loại lỏng lẽo khi đăng ký tên chủ thẻ (có khi chỉ cần bản photo CMND), nhưng lại có hạn mức rút tiền thẻ thuộc loại lớn nhất trong các ngân hàng.

 

[one]

Cái chuyện ú ớ để bị hack pass và user theo em là quá logic, k phải bàn, đặc biệt với các mợ. Popup nhảy ra cứ ok loạn cả lên thậm chí chả thèm đọc.

Nhưng cái smartotp thì phải xem lại, có khi oan người ta thật cụ ạ, ck 7 phát k có 1 sms otp nào.

Người có khả năng suy luận logic trên trung bình tí đều nhận thấy vấn đề mấu chốt nằm ở kẽ hở trong quy trình cài app Smart-OTP của VCB rồi cụ nhỉ. Giờ xem VCB xử lý sao thôi. Em nghe ngóng giọng điệu của nhân viên/dư luận viên VCB trên các loại trang mạng thì có vẻ VCB đang muốn nhấn mạnh lỗi mất username và pass của khách hàng hơn là lỗi trong quy trình cài app.

Em tạm ví Internet Banking là kho còn tài khoản là két. Két đặt trong kho. Chìa khoá kho do khách cầm. Mã mở két do bảo vệ kho đặt. Khi khách vào kho yêu cầu mở két, bảo vệ kho phải xác nhận nhân thân khách rồi mới cấp mã. Khách để mất chìa khoá kho, thằng trộm dùng chìa vào yêu cầu lấy mã mở két, bảo vệ xác nhận qua loa rồi cấp mã. Tiền trong két mất. Giờ ông cho thuê kho (kiêm dịch vụ bảo vệ) đang xử lý nội bộ nhân viên bảo vệ và có vẻ muốn nhấn mạnh việc khách mất chìa khoá kho trong khi lờ đi việc bảo vệ cấp mã mở két ẩu. Các cụ thấy sao?

 

[ORIJEANS]

300 triệu là chuyển vào tài khoản, sẽ chờ đến giờ giao dịch để nhân viên thao tác {duyệt}, và gửi lên hệ thống thanh toán của NHNN, rồi lại nhập về ngân hàng bên kia. Còn 200 triệu chuyển mỗi lần 50 tr, có lẽ là vào nhiều thẻ khác nhau; là sử dụng phương thức "chuyển tiền nhanh" tức thời, chỉ có hiệu lực với 1 số thẻ và tài khoản ngân hàng tham gia phương thức này.

Bọn lừa đã nghiên cứu hệ thống ngân hàng VN rất kỹ lưỡng, chúng chọn thẻ visa Sacombank là loại lỏng lẽo khi đăng ký tên chủ thẻ (có khi chỉ cần bản photo CMND)

Nghĩa là trong đêm chuyển 50 triệu từ VCB sang Sacombank mà vẫn đi luôn được á cụ? Em thấy hơi bất ngờ với chi tiết này.

 

[ORIJEANS]

Người có khả năng suy luận logic trên trung bình tí đều nhận thấy vấn đề mấu chốt nằm ở kẽ hở trong quy trình cài app Smart-OTP của VCB rồi cụ nhỉ. Giờ xem VCB xử lý sao thôi. Em nghe ngóng giọng điệu của nhân viên/dư luận viên VCB trên các loại trang mạng thì có vẻ VCB đang muốn nhấn mạnh lỗi mất username và pass của khách hàng hơn là lỗi trong quy trình cài app.

Em tạm ví Internet Banking là kho còn tài khoản là két. Két đặt trong kho. Chìa khoá kho do khách cầm. Mã mở két do bảo vệ kho đặt. Khi khách vào kho yêu cầu mở két, bảo vệ kho phải xác nhận nhân thân khách rồi mới cấp mã. Khách để mất chìa khoá kho, thằng trộm dùng chìa vào yêu cầu lấy mã mở két, bảo vệ xác nhận qua loa rồi cấp mã. Tiền trong két mất. Giờ ông cho thuê kho (kiêm dịch vụ bảo vệ) đang xử lý nội bộ nhân viên bảo vệ và có vẻ muốn nhấn mạnh việc khách mất chìa khoá kho trong khi lờ đi việc bảo vệ cấp mã mở két ẩu. Các cụ thấy sao?

Chuẩn rồi cụ. Nói chung cái kịch bản 1 của bên vnsecurity là chị H mắt nhắm mắt mở nhập cả mã kích hoạt smart OTP vừa gửi về mobile của chị ấy lên site fake là em thấy k logic lắm.

Đấy là chưa nói đến việc check với bên Telco là đã gửi cái sms này đến mobile của chị H hay chưa nó quá là đơn giản và nhanh chóng. Nếu xác định telco đã gửi sms, chị H đã nhận (dù sau đó cố tình xóa đi chẳng hạn) thì kịch bản trên còn có chỗ đứng, chứ Telco nó bảo chả có cái sms kích hoạt smart otp nào đến cái số mobile ấy thì lỗi 100% là của ngân hàng.

 

[Hot Steel]

Người sử dụng mà ko làm căng là thiệt thôi.
Thói quen kinh doanh vẫn là đùn đẩy trách nhiệm và rút k nguyệt như các bác ở trên.
Riêng về dv của vcb e rất tín nhiệm , nhiều cụ trẻ trâu bảo rút tiền rồi chuyển bank khác thì e băn khoăn bank nào có độ phủ sóng và dv hơn vcb bây h?

 

[lacettiGG]

Rất cần bạn cho lời tư vấn: Mua loại nào để không dính đồ tầu ?

Mà giả sử đã mua được rồi, làm thế nào để vào được mạng không có đồ tầu ? Các thiết bị nối mạng như hub, switch, modem, router v.v... bây giờ loại nào không phải tầu, bạn cho lời khuyên luôn ?

Chắc câu trả lời sẽ là: Tự chế tạo lấy!

 

[Gcar]

Giờ xem VCB xử lý sao thôi.

Về căn bản thì nếu ngân hàng nó show ra là có log là đúng username/pass otp ấy thì nó sẽ có thể không bồi thường. KH không thích thế thì kiện. Chứ nó cũng chả có điều kiện để điều tra hay chứng minh là KH có vào link fake hay không, KH có nhận sms hay không, có để lộ username/pass

Còn nếu điều tra ra có thằng IT hay hacker nào làm, mà không cần sự giúp sức của KH, thì nó sẽ trả.

 

[Gcar]

Còn nó đã hack cái app Smart OTP thế nào thì đành nhờ các bác ở dưới. Các bác ở trên hình như chưa trả lời được.
Cũng như câu hỏi: Chẳng may con gà Na Hương có cài đặt app ấy thật, nhưng xóa đi để đổ lỗi cho VCB, có kiểm chứng được không ạ?

cái này có 1 cách giải thích (chưa xác nhận):

Là cái web fake kia sau khi chị H nhập username và pass vào, thì nó tự động dùng thông tin đó đăng ký Smart OTP ở chổ nó; trên màn hình web fake sẽ có câu đại loại " xin quy khách nhập mã OTP để xác nhận". Chị kia vào web fake mà lại nhận đúng tin nhắn của VCB thì càng tin sái cổ ấy chứ!

 

[ORIJEANS]

cái này có 1 cách giải thích (chưa xác nhận):

Là cái web fake kia sau khi chị H nhập username và pass vào, thì nó tự động dùng thông tin đó đăng ký Smart OTP ở chổ nó; trên màn hình web fake sẽ có câu đại loại " xin quy khách nhập mã OTP để xác nhận". Chị kia vào web fake mà lại nhận đúng tin nhắn của VCB thì càng tin sái cổ ấy chứ!

Chốt lại là kịch bản hacker dụ được chị H tự kích hoạt smart otp thì chỉ cần check với telco là SMS kích hoạt smart otp có được gửi về mobile của chị H hay không là xong cụ nhỉ? Nếu chưa gửi thì lỗi ngân hàng 100%, nếu gửi rồi thì giả thiết bị chăn gà là có cơ sở.

 

[Xe om Pro]

300 triệu là chuyển vào tài khoản, sẽ chờ đến giờ giao dịch để nhân viên thao tác {duyệt}, và gửi lên hệ thống thanh toán của NHNN, rồi lại nhập về ngân hàng bên kia. Còn 200 triệu chuyển mỗi lần 50 tr, có lẽ là vào nhiều thẻ khác nhau; là sử dụng phương thức "chuyển tiền nhanh" tức thời, chỉ có hiệu lực với 1 số thẻ và tài khoản ngân hàng tham gia phương thức này.

Bọn lừa đã nghiên cứu hệ thống ngân hàng VN rất kỹ lưỡng, chúng chọn thẻ visa Sacombank là loại lỏng lẽo khi đăng ký tên chủ thẻ (có khi chỉ cần bản photo CMND), nhưng lại có hạn mức rút tiền thẻ thuộc loại lớn nhất trong các ngân hàng.

Em làm thẻ ở Sacombank rồi, Phải mang CMT ra tận quầy làm. Ở vụ này là Hacker thuê người VN mở thẻ Visa rồi giao cho nó để lấy tiền công. Giờ thì trắng mắt ra!

 

[Xe om Pro]

Nghĩa là trong đêm chuyển 50 triệu từ VCB sang Sacombank mà vẫn đi luôn được á cụ? Em thấy hơi bất ngờ với chi tiết này.

Nó sử dụng chức năng chuyển tiền nhanh từ Thẻ sang Thẻ nên tiền nó đi ngay tức thì, đầu kia nó dùng thẻ Visa rút TM ngay.

 

[Gcar]

Em làm thẻ ở Sacombank rồi, Phải mang CMT ra tận quầy làm. Ở vụ này là Hacker thuê người VN mở thẻ Visa rồi giao cho nó để lấy tiền công. Giờ thì trắng mắt ra!

Sacombank nó có đội mở thẻ thuê đó mà tụi nó hay gọi điện thoại cho mình mời mở thẻ đó. chỉ cần gửi hồ sơ về là xong. ANZ, HSBC hình như cũng vậy nhưng không phải chổ nào cũng thuê cộng tác viên mà là nhân viên ngân hàng.

Sau đó còn khâu gửi thẻ về phải có CMND ra nhận, cái này thì mình không nhớ tụi Sacombank có đòi hỏi thế không. Nhưng nếu có thì tụi lừa đảo qua mặt nhân viên giao thư dễ thôi!

 

[Xe om Pro]

Chốt lại là kịch bản hacker dụ được chị H tự kích hoạt smart otp thì chỉ cần check với telco là SMS kích hoạt smart otp có được gửi về mobile của chị H hay không là xong cụ nhỉ? Nếu chưa gửi thì lỗi ngân hàng 100%, nếu gửi rồi thì giả thiết bị chăn gà là có cơ sở.

Trường hợp này khả năng cao là bị lừa vì ngay từ đầu chị H còn không phân biết phân biệt Web của VCB thật giả như nào.

 

[ORIJEANS]

Nó sử dụng chức năng chuyển tiền nhanh từ Thẻ sang Thẻ nên tiền nó đi ngay tức thì, đầu kia nó dùng thẻ Visa rút TM ngay.

Ok cụ. Chọn hình thức chuyển: CHUYỂN TIỀN NHANH QUA THẺ.