[Funland] Kịch bản Hacker cướp 500tr từ tài khoản khách hàng Vietcombank từ ý kiến chuyên gia

[Khongdanhvong]

Có mà cụ, Citi Group Inc đó ạ.
Chết ở chỗ nhẹ đó cụ

Nhẹ ở chỗ:
+ Vào web fake không để ý
+ Vào web fake thấy yêu cầu gửi/nhận/nhập OTP lạ không để ý
+ Nhìn tin nhắn cũng không nghi ngờ --> đến quả này thì xong. Tất nhiên cũng rất khó có trường hợp này nhưng hacker nó gửi cả trăm ngàn người, xác suất ngu ngơ là có cụ ạ

Citibank đây, cụ chỉ giúp em dòng màu xanh ah:

https://www.citibank.com.vn/VNGCB/JSO/signon/DisplayUsernameSignon.do?locale=vi_VN

 

[boyboy1990]

Autobot làm sao identify dc là ai đăng nhập để kích hoạt smartOTP cùng thời điểm đó??

Nạn nhân nhập username + pass vào web fake -> con bot nó lấy thông tin đó đăng nhập vào VCB để bật tính năng SmartOTP -> Sẽ có tin nhắn kích hoạt SmartOTP gửi vào máy nạn nhân -> web fake lừa nạn nhân nhập mã OTP vừa nhận đc để quay trúng SHmode (VCB đang có trương trình này thật) -> nạn nhân nhập vào -> Xong con ong!

 

[richter]

Thôi để em viết lại bước 3 cho bác Là Gì Nhỉ dể hiểu hơn:

3a. Web lạ nó có 3 cái username, pass và OTP, em gái mới nhập 2 cái username và pass chắc chắn là chưa có SMS otp .

3b. Hacker nó login bằng user/pass bị lộ, nó kích hoạt SMART OTP của em gái, tất nhiên em gái nhận được SMS otp trên di động của ẻm, phỏng ạ? Nguồn đấy chứ đâu, bác hỏi gì hỏi lắm thế

3c. Nó sử dụng SMS otp để kích hoạt SMART otp và xong con ong .

Bác đã hiểu bước 3 chưa?

 

[StepUp]

Cái này lại khác, e chưa bàn tới. E đang phản biện bước 3 mà bác đề cập, nó ko logic chút nào Em đang thắc mắc về nguồn gốc mã OTP sinh ra từ đâu để nhập vào wen giả mạo khi Ms H kia chưa đăng nhập

Rồi em giải thích cụ rõ thế này nhé. Em đóng vai Hacker đi, cụ là chị Hương. Em đưa ra kịch bản phía hacker chuẩn bị, rồi người bị hại cho cụ xem nhé.

Hacker chuẩn bị:
1. Mua một tên miền đại loại vietcombank-cardcentre*.com sau đó spam email vào email của cụ. Trong đó có yêu cầu thay đổi lại mật khẩu Internet Banking hoặc đại loại trúng thưởng. Có link kiểu Click vào đây.

2. Chuẩn bị một giả lập android trên PC, viết một con bot auto click, auto nhập dữ liệu.

3. Website fake vietcombank-cardcentre*.com thiết lập các giao diện, tính năng giống VCB IB như đúc. Nhưng thực tế chỉ có 2 tính năng
3.1 Đăng nhập, nhập sai cũng được, đúng cũng ok.
3.2 Đăng nhập xong, thêm tính năng yêu cầu: Bạn cần click vào đây để lấy OTP kích hoạt hay để làm gì đó (Đại loại vậy), khi click vào nút Yêu cầu OTP sẽ ra trang nhập OTP.
Mọi thứ chờ ở đây......

Cụ bị hại:
2.Cụ thấy email cảnh báo, không để ý, thấy ghê click luôn vào, thấy nó bắt đăng nhập, ok, nhập vào nó vào trang trong --> đến trang ở bước 3.2 cụ cũng nhấn Yêu cầu ---> Ở bước Đăng nhập trước, con bot được web fake gửi U/Pass và được kích hoạt, nó mở SmartOTP, dùng user pass đăng nhập chờ đó, khi cụ nhấn Yêu cầu OTP Web fake gửi msg cho Bot kích hoạt yêu cầu active SmartOTP. --> VCB nhận yêu cầu, gửi SMS đến máy cụ. Cụ cũng ngu ngơ nhập ngay lên Web fake, web fake gửi msg về cho Bot. Bot nhập lên App --> Active thành công --> Web đẩy chị Hương khỏi quá trình đăng nhập, vào ngược lại trang IB của VCB. Chị Hương cũng thấy hợp lý vì nó bắt yêu cầu nhập xong phải đăng nhập lại...

Xong.

 

[boyboy1990]

Nếu vậy bác xem lại ảnh chụp màn hình của StepUp nhé cái yêu cầu mã OTP ở cùng trang đăng nhập trên wen fake

Hình đó ko xác thực, Username xong phải đến đến Pass chứ OTP là thế éo nào.

 

[Là Gì Nhỉ]

, em đến ạ bác, bọn hacker nó kích hoạt cái smart OTP là tự nhiên em Hương sẽ nhận được cái OTP, nguồn ở đấy chứ ở đâu, cần gì em gái kia phải đăng nhập.

Đến nản với trình đọc hiểu của bác

Bác logic 1 chút cho e nhờ. Hacker làm sao biết lúc nào em H kia đăng nhập để đăng ký smartOTP gần như đồng thời?
Đó là lý do em nói web fake này do chính VCB tung ra để đánh lạc hướng dư luận cho việc bị hack từ bên trong

 

[aotim]

Rõ như ban ngày, ngu chết, bệnh tật gì. Hồi kết đố đòi được tiền vcb đấy. Hết

 

[Khongdanhvong]

Cài malware lên máy cụ là xong. Chắc ăn thì dùng những ngân hàng có hard token như TECH cụ nhé

Vậy làm sao tránh được malware cụ, điện thoại thì em dùng kavpersky và nói chung cũng chỉ cài từ google play.

 

[luyenok]

Bác logic 1 chút cho e nhờ. Hacker làm sao biết lúc nào em H kia đăng nhập để đăng ký smartOTP gần như đồng thời?
Đó là lý do em nói web fake này do chính VCB tung ra để đánh lạc hướng dư luận cho việc bị hack từ bên trong

nói thật cụ ng... bỏ mẹ, bao nhiêu người giải thích là nó tự động mà cụ cứ lải nhải làm sao hacker nó biết.
- khi người dùng nhập user và password vào các ô tương ứng, có thể chỉ cần rời chuột khỏi ô nhập liệu thôi (chưa cần click nút đăng nhập) là cái tool của nó đã tự động lấy các thông tin đó để đăng nhập vào VCB thật và bật chức năng smart OTP, vài giấy sau user nhận đc sms có mã kích hoạt smart OTP đem nhập vào cái ô OTP có sẵn trên web giả,....

 

[boyboy1990]

Vậy làm sao tránh được malware cụ, điện thoại thì em dùng kavpersky và nói chung cũng chỉ cài từ google play.

Dùng Stupid Phone cụ nhé

 

[StepUp]

Citibank đây, cụ chỉ giúp em dòng màu xanh ah:

https://www.citibank.com.vn/VNGCB/JSO/signon/DisplayUsernameSignon.do?locale=vi_VN

Đây cụ, chỗ em bôi đỏ đó

 

[richter]

Bác logic 1 chút cho e nhờ. Hacker làm sao biết lúc nào em H kia đăng nhập để đăng ký smartOTP gần như đồng thời?
Đó là lý do em nói web fake này do chính VCB tung ra để đánh lạc hướng dư luận cho việc bị hack từ bên trong

Bác có đọc bước 1 của em không? Em đến ạ với kiểu đọc hiểu của bác đấy .

Bước 1 là sms đến máy của em gái này, khi nó sms nó ngồi luôn trên láptop rùi.

Càng ngày càng thấy nản với kiểu phản biện sai tùm lum của bác

 

[The Tank]

Bác logic 1 chút cho e nhờ. Hacker làm sao biết lúc nào em H kia đăng nhập để đăng ký smartOTP gần như đồng thời?
Đó là lý do em nói web fake này do chính VCB tung ra để đánh lạc hướng dư luận cho việc bị hack từ bên trong

Cụ ko biết 1 tí gì về Ai ti mà tranh luận như đúng dồi. E trả lời cụ nốt 1 nần lày nhé: Khi bà H kia mở web fake và oánh vào ô đăng nhập thì ngay lập tức máy tính của hacker cảnh báo có ng đang đăng nhập, và mail, phần mềm chẳng hạn của hacker sẽ nhận đc ID, Pass nhé. Web fake nó sẽ làm điều đó.

 

[juneboy]

Rồi em giải thích cụ rõ thế này nhé. Em đóng vai Hacker đi, cụ là chị Hương. Em đưa ra kịch bản phía hacker chuẩn bị, rồi người bị hại cho cụ xem nhé.

Hacker chuẩn bị:
1. Mua một tên miền đại loại vietcombank-cardcentre*.com sau đó spam email vào email của cụ. Trong đó có yêu cầu thay đổi lại mật khẩu Internet Banking hoặc đại loại trúng thưởng. Có link kiểu Click vào đây.

2. Chuẩn bị một giả lập android trên PC, viết một con bot auto click, auto nhập dữ liệu.

3. Website fake vietcombank-cardcentre*.com thiết lập các giao diện, tính năng giống VCB IB như đúc. Nhưng thực tế chỉ có 2 tính năng
3.1 Đăng nhập, nhập sai cũng được, đúng cũng ok.
3.2 Đăng nhập xong, thêm tính năng yêu cầu: Bạn cần click vào đây để lấy OTP kích hoạt hay để làm gì đó (Đại loại vậy), khi click vào nút Yêu cầu OTP sẽ ra trang nhập OTP.
Mọi thứ chờ ở đây......

Cụ bị hại:
2.Cụ thấy email cảnh báo, không để ý, thấy ghê click luôn vào, thấy nó bắt đăng nhập, ok, nhập vào nó vào trang trong --> đến trang ở bước 3.2 cụ cũng nhấn Yêu cầu ---> Ở bước Đăng nhập trước, con bot được web fake gửi U/Pass và được kích hoạt, nó mở SmartOTP, dùng user pass đăng nhập chờ đó, khi cụ nhấn Yêu cầu OTP Web fake gửi msg cho Bot kích hoạt yêu cầu active SmartOTP. --> VCB nhận yêu cầu, gửi SMS đến máy cụ. Cụ cũng ngu ngơ nhập ngay lên Web fake, web fake gửi msg về cho Bot. Bot nhập lên App --> Active thành công --> Web đẩy chị Hương khỏi quá trình đăng nhập, vào ngược lại trang IB của VCB. Chị Hương cũng thấy hợp lý vì nó bắt yêu cầu nhập xong phải đăng nhập lại...

Xong.

Nói chung nghề của cụ còn non lắm, viết thì nhiều nhưng lủng củng! Để em giải thích cho cụ Là Gì hiểu nhé. Cũng chả có con bot con biếc gì ở đây như cụ gì bên trên tưởng tượng ra, chắc do xem nhiều film của Mẽo quá nên bị nhiễm. Phising đơn giản là nó mạo danh website chủ, nhưng trong quá trình mạo danh nó vẫn có thể tương tác ngầm với website chủ mà người dùng không hay biết. Ở trường hợp này sau khi lấy user và pass của người dùng, hacker sẽ lấy hai thông tin này để đăng nhập vào website thật, nhưng dưới dạng chạy ngầm. Người dùng sẽ được cho xem dòng thông báo là đang chờ xử lý. Tiếp theo khi quá trình xử lý xong, thì hacker sẽ cho hiện ra một trang để phising tiếp cái mã này của người dùng. Đấy là về mặt lý thuyết mà nói thì là như vậy, code cũng rất đơn giản thôi chứ không phức tạp gì cả. Tuy nhiên vụ này chỉ nghe từ báo chí nên không rõ thật sự là lỗi đến từ người dùng hay là do lỗi hổng bảo mật của nhà băng.

 

[Greeno]

Ko cần chuyển tiền, khi kích hoạt SmartOTP sẽ có mã gửi vào điện thoại, nó chỉ cần bảo nhập mã đó để quay thưởng trúng SHmode chẳng hạn thì chả hăm hở nhập luôn và ngay.

Smart OTP khác OTP ở chỗ nào hả cụ?

 

[StepUp]

Nói chung nghề của cụ còn non lắm, viết thì nhiều nhưng lủng củng! Để em giải thích cho cụ Là Gì hiểu nhé. Cũng chả có con bot con biếc gì ở đây như cụ gì bên trên tưởng tượng ra, chắc do xem nhiều film của Mẽo quá nên bị nhiễm. Phising đơn giản là nó mạo danh website chủ, nhưng trong quá trình mạo danh nó vẫn có thể tương tác ngầm với website chủ mà người dùng không hay biết. Ở trường hợp này sau khi lấy user và pass của người dùng, hacker sẽ lấy hai thông tin này để đăng nhập vào website thật, nhưng dưới dạng chạy ngầm. Người dùng sẽ được cho xem dòng thông báo là đang chờ xử lý. Tiếp theo khi quá trình xử lý xong, thì hacker sẽ cho hiện ra một trang để phising tiếp cái mã này của người dùng. Đấy là về mặt lý thuyết mà nói thì là như vậy, code cũng rất đơn giản thôi chứ không phức tạp gì cả. Tuy nhiên vụ này chỉ nghe từ báo chí nên không rõ thật sự là lỗi đến từ người dùng hay là do lỗi hổng bảo mật của nhà băng.

Lạy cụ cái mà cụ nói là chạy ngầm chính là bot đấy ạ. Và em làm việc hàng ngày với nó cụ ạ Bọn em làm Social Listening cụ nhé

Nó có nhiều cơ chế, cụ đặt ở 1 Máy chủ trung gian để xử lý cho nhanh, Website fake chỉ gửi nhận yêu cầu và thông tin thôi. còn cụ bảo em không có nghề hay còn non thì em cũng nghe vì em cũng chỉ dạng tàng tàng thôi, cao thủ đọc qua chắc cũng hiểu em nói gì thôi mà

 

[luyenok]

Nói chung nghề của cụ còn non lắm, viết thì nhiều nhưng lủng củng! Để em giải thích cho cụ Là Gì hiểu nhé. Cũng chả có con bot con biếc gì ở đây như cụ gì bên trên tưởng tượng ra, chắc do xem nhiều film của Mẽo quá nên bị nhiễm. Phising đơn giản là nó mạo danh website chủ, nhưng trong quá trình mạo danh nó vẫn có thể tương tác ngầm với website chủ mà người dùng không hay biết. Ở trường hợp này sau khi lấy user và pass của người dùng, hacker sẽ lấy hai thông tin này để đăng nhập vào website thật, nhưng dưới dạng chạy ngầm. Người dùng sẽ được cho xem dòng thông báo là đang chờ xử lý. Tiếp theo khi quá trình xử lý xong, thì hacker sẽ cho hiện ra một trang để phising tiếp cái mã này của người dùng. Đấy là về mặt lý thuyết mà nói thì là như vậy, code cũng rất đơn giản thôi chứ không phức tạp gì cả. Tuy nhiên vụ này chỉ nghe từ báo chí nên không rõ thật sự là lỗi đến từ người dùng hay là do lỗi hổng bảo mật của nhà băng.

con bot với tiến trình chạy ngầm nó khác gì nhau vậy cụ ? Trong khi cụ hay em gõ mấy dòng ở ô reply thì forum này cũng có chức năng auto save lại để sang trang khác rồi quay lại thì nội dung gõ dở vẫn còn, cái đó cụ gọi nó là bot hay tiến trình ngầm thì cũng chả khác gì nhau cả.

 

[richter]

Smart OTP khác OTP ở chỗ nào hả cụ?

Bác phải viết là Smart OTP khác SMS otp chỗ nào mới chuẩn?

Smart là một ứng dụng chạy trên di động cấp cho bác OTP khi bác chuyển tiền mà không cần Sms OTP từ nhà mạng viễn thông. Lợi là bác đỡ được 8.800k/ tháng và đỡ phải chờ đợi sms từ nhà mạng. Hại là nếu bác bị hack như em gái này là bác tèo . Cái ứng dụng Smart OTP này cũng cần có Sms OTP để kích hoạt.
SMS OTP là tin nhắn từ nhà mạng viễn thông, mỗi khi bác chuyển tiền hoặc làm gì liên quan tới tài khoản là phải có cái SMS OTP về máy di động của bác. Cái này chắc bác biết rồi.

Em mới biết về 2 cái này qua vụ tiền này, hehe.

 

[StepUp]

con bot với tiến trình chạy ngầm nó khác gì nhau vậy cụ ? Trong khi cụ hay em gõ mấy dòng ở ô reply thì forum này cũng có chức năng auto save lại, cái đó cụ gọi nó là bot hay tiến trình ngầm thì cũng chả khác gì nhau cả.

giải thích cho các cụ không rõ khó quá cụ nhỉ người ta lại nghĩ mình là dư luận viên mới chán

 

[flowerhn]

Em thấy vô lý vì TK của chị kia tống có hơn 3 lít mà???? Sao có thể lấy thành 5lit đc nhể????