Việt Nam là một trong những thị trường thương mại điện tử năng động ở khu vực Đông Nam Á. Theo số liệu từ Sách trắng thương mại điện tử 2021, ấn phẩm do Cục Thương mại điện tử và Kinh tế số [Bộ Công Thương] phát hành ngày 14/7/2021 thì năm 2020 tại Việt Nam, có khoảng 49,3 triệu người tiêu dùng tham gia mua sắm trực tuyến và trở thành quốc gia có tỷ lệ người tham gia mua sắm trực tuyến cao nhất trong khu vực.
Việc thanh toán và mua sắm trực tuyến thông qua các ứng dụng và ví điện tử đang dần trở thành nhu cầu tất yếu trong cuộc sống. Tuy nhiên, đi kèm với những tiện ích đó luôn là những rủi ro, nguy cơ tiềm ẩn về việc bảo mật và an toàn toàn thông tin đe dọa người dùng. Với số lượng người tiêu dùng cao như vậy, những rủi ro, nguy cơ tiềm ẩn về việc bảo mật và an toàn toàn thông tin là rất lớn. Vậy làm sao để bảo vệ bản thân an toàn khỏi những nguy cơ ấy. Trong bài viết này, sẽ đưa ra các lưu ý để chúng ta có thể áp dụng để tăng cường bảo mật cũng như kiểm tra trên thiết bị của mình trước khi thực hiện mua sắm và thanh toán điện tử.
Kiểm tra tính an toàn và các dấu hiệu để xác thực địa chỉ an toàn
Khi lần đầu tiên đăng nhập và sử dụng bất kỳ một địa chỉ website nào trong trình duyệt của mình nếu gặp những cửa sổ Pop-up tự động “nhảy lên” hay trường hợp chuyển sang trang liên kết ngẫu nhiên khác là các dấu hiệu cho thấy website có thể đã bị tấn công và chứa virus. Những virus này tự động cài đặt phần mềm ngầm trên máy và từ đó, tin tặc có thể đánh cắp thông tin dữ liệu. Vì vậy, khi truy cập đường link, nhất là trong quá trình giao dịch thanh toán điện tử, cần chú ý và áp dụng những cách dưới đây:
- Khi các cửa sổ Pop-up bất ngờ hiện ra, người dùng bấm ngay tổ hợp phím Ctrl+F4 để tắt các cửa sổ này.
- Đừng tùy ý nhấp vào các nút trên các banner, quảng cáo vì có thể vô tình truy cập một đường dẫn ngầm. Ví dụ như khi người dùng nhấp vào nút dấu “X” để tắt quảng cáo nhưng sau đó, người dùng sẽ phải truy cập một trang web khác có nội dung không liên quan.
- Trên thanh địa chỉ của trình duyệt phải bắt đầu bằng // và icon hình ổ khóa ở phía trước thanh địa chỉ [lưu ý ổ khóa phải xuất hiện trên thanh địa chỉ trình duyệt chứ không phải trong nội dung website]. Dấu hiệu này chứng tỏ website đã được bảo vệ bởi Secure Sockets Layer [SSL], một giao thức mã hóa đảm bảo thông tin được trao đổi một cách an toàn thông qua một chứng chỉ số SSL được tin cậy.
Vô hiệu hóa tính năng tự động điền thông tin [autofill] trên trình duyệt
Thói quen của chúng ta khi thực hiện đăng nhập các chương trình, mạng xã hội, các website mua sắm trực tuyến, hộp thư,… thường bấm vào tính năng lưu thông tin cho lần đăng nhập sau. Khi bật tính năng này trình duyệt sẽ lưu thông tin và mật khẩu vào một file gọi là cookie, nếu máy tính không đảm bảo an toàn thì tin tặc có thể tấn công khai thác cookie để lấy thông tin đăng nhập. Chính vì vậy, để đảm bảo an toàn, người dùng nên tắt chức năng Tự động điền thông tin trên trình duyệt. Các bước thực hiện tắt chức năng này như sau:
Hình 1. Vô hiệu hóa tính năng tự động điền thông tin trên Chrome
Hình 2: Vô hiệu hóa tính năng tự động điền thông tin trên FireFox
- Đối với trình duyệt Chrome [Hình 1], người dùng nhấn vào biểu tượng 3 dấu chấm [góc trên cùng bên phải màn hình] rồi chọn cài đặt, ở trong giao diện này chúng ta sẽ thấy tùy chọn tự động điền với 3 mục được bật tự động là: Mật khẩu, Phương thức thanh toán, Địa chỉ và các tùy chọn khác. Người dùng lần lượt truy cập vào 3 mục nêu trên thực hiện xóa bỏ các thông tin đã được lưu trữ và tắt tùy chọn tự động lưu thông tin.
Hình 3: Vô hiệu hóa tính năng tự động điền thông tin trên Cốc Cốc
- Đối với trình duyệt FireFox [Hình 2]: Nhấn chọn biểu tượng 3 gạch ngang [góc trên cùng bên phải màn hình], sau đó lần lượt truy cập tùy chọn/ riêng tư & bảo mật. Tại đây người dùng có thể kiểm soát các tính năng tự động điền thông tin và mật khẩu khi sử dụng trình duyệt FireFox.
- Đối với trình duyệt Cốc Cốc [Hình 3]: Người dùng nhấn chọn biểu tượng Cốc Cốc phía góc trên cùng bên trái màn hình và hực hiện các bước tương tự như đối với trình duyệt Chrome.
Xóa bộ nhớ cache
Đừng bao giờ đánh giá thấp mức độ mà bộ nhớ cache của trình duyệt lưu trữ thông tin của người dùng. Tại đây sẽ lưu trữ tất cả thông tin tìm kiếm và lịch sử duyệt web, từ những thông tin này tin tặc có thể trỏ đến địa chỉ nhà riêng, thông tin gia đình và các dữ liệu cá nhân khác.
Để bảo vệ tốt hơn thông tin có thể ẩn trong lịch sử web, người dùng cần xóa cookie của trình duyệt và xóa lịch sử trình duyệt một cách thường xuyên. Trong Chrome, Edge, Firefox, Internet Explorer hoặc Opera, chỉ cần nhấn tổ hợp phím Ctrl + Shift + Del để hiển thị hộp thoại cho phép chúng ta có thể chọn các dữ liệu trình duyệt muốn xóa bỏ.
Kích hoạt xác thực 2 yếu tố cho tất cả các giao dịch trực tuyến
Hiện nay, hầu hết các ngân hàng đã cung cấp tính năng xác thực 2 yếu tố để bổ sung một lớp bảo vệ cho các giao dịch nhạy cảm. Khi người dùng thực hiện việc chuyển khoản hay thanh toán mua sắm trực tuyến ngân hàng sẽ gửi đến người dùng một mã OTP thông qua một tin nhắn văn bản hoặc email mà người dùng sẽ phải xác nhận mã đó để hoàn thành giao dịch. Vì vậy, ngay cả khi tin tặc có được thông tin tài khoản của người dùng thì cũng khó có thể thực hiện giao dịch gian lận. Khi nhận được các mã xác thực không xuất phát từ yêu cầu bản thân, người dùng có thể loại bỏ giao dịch bằng cách không đồng ý xác nhận. Gần đây, bên cạnh tính năng OTP, các ngân hàng đã bổ sung biện pháp xác thực bằng vân tay. Điều này giúp bảo vệ tài khoản của người dùng tốt hơn.
Việc sử dụng xác thực 2 yếu tố có thể gấy một số khó khăn và bất tiện, tuy nhiên nếu chỉ sử dụng mật khẩu để xác thực thì bất kỳ ai biết được mật khẩu đó đều có thể sở hữu tài khoản, đặc biệt đối với tin tặc khi chúng nắm được thông tin quan trong như mật khẩu thì chúng sẽ dử dụng với nhiều mục đích khác nhau gây hậu quả mà chúng ta không thể lường trước được. Với việc xác thực hai yếu tố được kích hoạt, thì chỉ riêng mật khẩu là vô dụng. Hầu hết các ví điện tử và ứng dụng mua sắm đều hỗ trợ xác thực hai yếu tố, mặc dù một số chỉ yêu cầu khi phát hiện kết nối từ một thiết bị mới. Việc kích hoạt xác thực hai yếu tố là điều bắt buộc mà chúng ta nên sử dụng khi thực hiện mua sắm trực tuyến.
Hạn chế sử dụng Wifi công cộng
Việc sử dụng wifi công cộng được cung cấp tại sân bay, quán cafe, khu trung tâm thương mại,… là rất nguy hiểm. Chính việc miễn phí và tiện lợi khi truy cập thường làm chúng ta quên đi những rủi ro tiềm ẩn. Wifi công cộng rất dễ chứa mã độc và dễ dàng bị tấn công bởi tin tặc. Thông qua đó, tin tặc sẽ gây gián đoạn và ghi nhận lại toàn bộ dữ liệu cá nhân cũng như thông tin giao dịch của người dùng. Vì thế, nếu cần giao dịch gấp, chúng ta nên dùng mạng 4G của nhà mạng đáng tin cậy hoặc tải các ứng dụng VPN về máy như HotSpot Shield, CyberGhost VPN, ExpressVPN để nâng cao tính bảo mật và bảo vệ an toàn cho tài khoản của người dùng.
Mở một tài khoản riêng để liên kết với các ứng dụng thanh toán và không để nhiều tiền trong tài khoản
Hiện nay các ví điện tử thường cho phép chúng ra giữ một số tiền trong một khoảng thời gian không xác định và đi kèm nhiều ưu đãi khi sử dụng dịch vụ thanh toán mua sắm trực tuyến thông qua tiền được giữ trong các ví điện tử đó, nên lưu ý rằng tiền được để trong các ví điện tử thực sự không an toàn giống như người dùng gửi tiền trong ngân hàng. Chính vì vậy, chúng ta nên lập một tài khoản riêng để sử dụng cho mục đích mua sắm điện tử và không nên bỏ số tiền lớn vào một tài khoản hoặc một ví điện tử mà nên xem xét việc bản thân cần sử dụng bao nhiêu tiền cho việc mua sắm trong tháng để có thể lưu trữ một khoản tiền nhất định không quá lớn phục vu cho việc thanh toán điện tử hàng tháng. Bên cạnh đó, trong trường hợp xấu xảy ra nếu bị lộ lọt thông tin tài khoản hoặc bị tin tặc tấn công thì thiệt hại đem lại cũng không quá lớn.
Đến đây chúng ta đã biết các cách tấn công mạng điển hình hiện nay, nhưng các Hacker đã vận dụng chúng như thế nào để chiếm quyền kiểm soát các hệ thống giao dịch trực tuyến ? Chúng ta cùng xem xét các giai đoạn của quá trình một giao dịch diễn ra :
I. **Tấn công trước khi đăng nhập: **
Ngay từ trước khi người dùng đăng nhập vào các hệ thống GDTT, tin tặc đã tìm mọi cách để lây nhiễm mã độc, chiếm quyền điều khiển hệ thống. Thay vì “thụ động” đợi người dùng tải mã độc xuống thông qua thư rác hay phần mềm trò chơi, tin tặc đã chủ động lợi dụng những lỗ hổng của trình duyệt bằng cách “đầu độc” các máy tìm kiếm [để đưa người dùng đến với những trang web độc hại], tấn công gài mã độc vào các trang web nghiêm túc [website của các nhà cung cấp giải pháp bảo mật lại càng là miếng mồi “danh giá”].
II. Tấn công khi người dùng đăng nhập :
-
“Vượt mặt” bàn phím ảo:
-
Để phòng tránh các chương trình đánh cắp mật khẩu bằng cách bắt phím [keylogger], nhiều tổ chức đã triển khai giải pháp bàn phím ảo [virtual keyboard hay on - screen keyboard].
-
Ý tưởng của cách làm này là thay vì nhập mật khẩu bằng bàn phím, người dùng sẽ kích chuột vào các phím trên một hình ảnh bàn phím do ứng dụng hiển thị trên màn hình.
-
Nhưng ngay từ năm 1997, khá nhiều loại mã độc “cao cấp” đã tìm được cách bắt các vùng màn hình quanh vị trí kích chuột [ví dụ như họ W32/Dumaru].
-
Ở đây có một lưu ý nhỏ là những loại mã độc đơn giản có thể bị người dùng đánh lừa bằng cách “sửa đi sửa lại” mật khẩu.
-
Chẳng hạn mật khẩu của người dùng là “sunshine03”, để đánh lừa mã độc anh ta nhấn chuột theo thứ tự sau:
567[clear all]sun3[backspace]shine3[backspace]03
-
Mã độc “thô sơ” sẽ bỏ qua các thao tác phụ và ghi nhận mật khẩu sai [567sun3shine303]. Vì không thể trông chờ vào lỗi lập trình của tin tặc, một số kiểu bàn phím ảo cao cấp đã hoán đổi vị trí các phím để tăng cường khả năng bảo mật.
-
Nhưng tất cả các phương pháp trên đều không có giá trị khi mã độc câu móc [hook] vào IE để thực hiện các lệnh COM, giám sát trực tiếp ô User/Password trên màn hình trình duyệt. Do thao tác đăng nhập chỉ xảy ra khi có lệnh form POST, mã độc tiết kiệm được rất nhiều công sức [và dung lượng đĩa cứng] nhờ việc “bắt” mật khẩu cuối cùng trong ô Password.
-
-
Lấy cắp mã xác thực hai thành tố thời gian thực:
-
Khi những biện pháp xác thực cổ điển đã bị tin tặc vô hiệu hoá, các tổ chức bắt đầu tìm đến sự trợ giúp của phương thức xác thực hai thành tố. Trong số đó, mã dùng một lần [OTP] gửi qua SMS là phương pháp phổ biến nhất. Do thời hạn hiệu lực của OTP rất ngắn nên giới tội phạm buộc phải tìm ra phương thức ăn trộm mới.
-
Mã độc sẽ chặn mọi truy cập của người dùng tới website giao dịch sau khi đã bắt được mã OTP. Trong khi người dùng nghĩ rằng truy cập bị lỗi thì tin tặc sử dụng mã OTP để thực hiện giao dịch gian lận.
-
III. Tấn công sau khi người dùng đăng nhập : 1. **Tạo form giả để thu thập thông tin cá nhân: **
- Do xác thực bằng mật khẩu không còn đảm bảo an toàn, nhiều tổ chức đã tăng cường mức độ bảo mật bằng cách kiểm tra thêm các thông tin cá nhân như địa chỉ, số chứng minh thư.... - Trong khi hầu hết mọi người đều đã được cảnh báo về những thủ đoạn lừa đảo, thu thập thông tin cá nhân qua thư điện tử, rất ít người nghi ngờ khi thấy yêu cầu tương tự xuất phát từ website có uy tín. - Các mã độc kiểm soát trình duyệt thực hiện kiểu tấn công Man- in- the- Browser [MITB] đã lợi dụng sự tin tưởng của người dùng với các phiên làm việc đã được xác thực. - Đợi đến khi người dùng đã đăng nhập vào website đích [ví dụ như site VPN của doanh nghiệp hay trang giao dịch trực tuyến của ngân hàng], mã độc mới hiển thị một trang HTML đề nghị người dùng cung cấp thông tin cá nhân với mục đích tăng cường bảo mật. - Khi đó, người dùng sẽ sẵn lòng cung cấp thông tin mà không hề nghi ngờ. Những thông tin cá nhân sẽ có thể bị sử dụng để thực hiện các giao dịch gian lận qua những kênh khác như điện thoại, thư, để chuyển tiền, mở tài khoản mới hay đơn giản là vượt qua các hàng rào xác thực bổ sung. 2. **Chuyển hướng các tin nhắn SMS tới điện thoại của kẻ gian:** - Gửi mã OTP qua SMS được coi là biện pháp xác thực mạnh để chống lại các hành vi gian lận trực tuyến. Vì hành vi đánh cắp mã OTP thời gian thực như đã nêu ở trên tương đối khó thực hiện nên gần đây đã xuất hiện một kiểu tấn công mới, tin tặc tìm cách chuyển hướng các tin nhắn SMS. - Một số ngân hàng cho phép cập nhật số điện thoại mới với điều kiện nhập mã xác nhận do ngân hàng gửi tới số điện thoại cũ của khách. Tuy nhiên, cách làm này không khả thi trong trường hợp khách hàng đánh mất điện thoại. Một trong những cách mà chúng đã áp dụng là: - Khi khách hàng đăng nhập thành công vào trang giao dịch trực tuyến, mã độc lưu giữ thông tin đăng nhập và tự động chuyển tới trang cập nhật số điện thoại [mà không để khách hàng phát hiện và gửi yêu cầu cập nhật số điện thoại [để chuyển thành một số thuê bao trả trước không thể truy vết được]. ![clip_image002_0036.png][//images.viblo.asia/ea1d8f7f-f6ea-490d-859f-f7f1a4216f1a.png] - Để lấy mã OTP xác nhận, mã độc hiển thị một thông báo về tính năng bảo mật mới miễn phí, theo đó ngân hàng cung cấp một SIM miễn phí dành riêng cho giao dịch trực tuyến. Khách hàng phải nhập mã OTP nhận được qua SMS để xác nhận việc đồng ý nhận “quà”. 3. **Tấn công khi thực hiện giao dịch:** - Một số ngân hàng đã triển khai các hệ thống xác thực giao dịch để đảm bảo rằng ngay cả khi mã độc thay đổi nội dung giao dịch trực tuyến thì khách hàng vẫn có kênh giao tiếp khác để nhận ra giao dịch đã bị chỉnh sử - Tuy nhiên, giả thiết mã độc không thể can thiệp tới kênh giao tiếp ngoài không phải luôn luôn đúng. - Tháng 5/2011, công ty Trusteer nhận thấy loại mã độc Man in the Mobile [MitMo] đã từng tấn công Symbian, Blackberry và Windows được chuyển sang Android. - Kiểu tấn công này có thể qua mặt phương pháp xác thực và quy trình xác nhận giao dịch bằng cách gửi mã qua SMS. - Ý tưởng của việc xác thực qua một kênh giao tiếp khác [out- of- band verification] là giả thiết mã độc không thể tạo giao dịch gian lận vì người dùng không nhập mã xác nhận từ điện thoại vào màn hình giao dịch. - Mã độc MitMo phá vỡ giả định đó bằng cách sau: - Khi thiết bị của người dùng đã nhiễm mã độc mà truy cập hệ thống giao dịch trực tuyến, mã độc sẽ yêu cầu người dùng tải xuống một cấu phần bảo mật và nạp vào điện thoại di động để hoàn tất quá trình đăng nhập. - Khi người dùng đã mắc lừa [cài mã độc vào điện thoại di động], tin tặc sẽ nắm quyền kiểm soát cả máy tính và điện thoại của họ. Mã độc trên PC khởi tạo các giao dịch gian lận, mã độc trên điện thoại di động sẽ đọc các tin nhắn do ngân hàng gửi, chuyển cho mã độc trên PC để xác nhận giao dịch. - Tất nhiên, mã độc trên điện thoại sẽ xóa các tin nhắn gửi mã xác nhận, tin nhắn thông báo hoàn tất giao dịch để người dùng không thể đọc được. - Nhưng đó không phải là cách duy nhất và cũng không phải là cách hay nhất. Tin tặc có thể “đi vòng” để đánh lừa người dùng nhập mã xác nhận giao dịch. - Đã có rất nhiều kiểu lừa đảo như vậy và dưới đây là cách thức lừa mới nhất mà SpyEye đã dùng để thực hiện giao dịch gian lận tại một ngân hàng Tây Ban Nha như sau: - Mã độc đợi cho đến khi người dùng đăng nhập xong vào trang web của ngân hàng rồi hiển thị một thông báo về việc nâng cấp hệ thống bảo mật. Người dùng [khách hàng] được mời tham gia khóa đào tạo/thực tập trực tuyến. - Trong quá trình đó, họ được yêu cầu thử thực hiện một giao dịch chuyển tiền tới một tài khoản giả định và xác thực giao dịch bằng mã xác thực do ngân hàng gửi qua SMS. - Tuy người dùng được [mã độc] đảm bảo rằng đây chỉ là một giao dịch thử và số dư tài khoản sẽ không bị ảnh hưởng, nhưng đến khi họ nhận ra rằng tiền của mình thực sự bị trừ thì tin tặc đã hoàn thành công việc. 4. **Tấn công sau khi thực hiện giao dịch:** ![download.jpg][//images.viblo.asia/2c3e3225-1d80-4465-8728-83a7216adbc0.jpg] - Gửi thư điện tử và SMS thông báo hoàn tất giao dịch là phương thức phổ biến để xác nhận tính hợp lệ của giao dịch. Do một số ngân hàng chủ ý trì hoãn việc hạch toán thực sự, khách hàng có thể phát hiện giao dịch gian lận khi đọc thông báo hoàn tất giao dịch và liên hệ ngay với ngân hàng để chặn đứng hành vi gian lận. - Các thông báo thường có dạng như sau : “Bạn vừa gửi yêu cầu chuyển số tiền... đến tài khoản... Nếu giao dịch này không phải do bạn thực hiện, hãy liên hệ ngay với ngân hàng qua số điện thoại...”. - Mới đây, người ta đã phát hiện loại mã độc Zeus có thể cấu hình để chèn mã vào các hệ thống web- mail phổ biến như AOL, Yahoo! và Hotmail để che giấu các thư có chứa những thông điệp như “Payment Confirmation” hay “Payee Update”. Và như vậy, các giao dịch gian lận sẽ tiếp diễn mà không bị người dùng phát hiện. 5. **Tấn công vào những lỗ hổng trong logic của ứng dụng trực tuyến:** - Có rất nhiều lỗ hổng bảo mật trong lôgic ứng dụng mà chúng ta chưa phát hiện ra và tin tặc có thể lợi dụng chúng để thu lợi. Sau đây là một ví dụ đơn giản, trong đó bị hại có thể không phải là người dùng mà chính là chủ của website: - Một website đấu giá trực tuyến ngăn chặn việc dò mật khẩu của người dùng bằng cách tạm thời khóa tài khoản sau n lần đăng nhập sai liên tiếp. Khi tài khoản bị khóa, người dùng phải đợi ít nhất 1 giờ để tiếp tục đăng nhập. - Mặc dù đây là phương pháp hiệu quả để phòng chống việc dò mật khẩu, nó có thể bị lợi dụng để hưởng lợi bất hợp pháp. - Hãy hình dung kịch bản sau: - sau khi đăng nhập, người dùng có thể xem các món hàng đang được đấu giá và những người đang tham gia đấu giá [cùng với mức giá mà họ đặt]. Khi đặt lệnh, người dùng sẽ phải nhập mật khẩu để xác thực lại. - Mặc dù các biện pháp bảo mật có vẻ đầy đủ, hệ thống vẫn có thể bị lợi dụng một cách dễ dàng. Người dùng gian xảo sẽ đăng nhập thật sớm và đặt giá thật thấp. - Sau đó, nếu có người đặt giá cao hơn, anh ta sẽ đặt giá cao hơn một chút rồi liên tục đăng nhập bằng tên của người kia [với mật khẩu sai] để ngăn chặn họ đặt giá cao hơn. Mặc dù cách làm này không đảm bảo thắng cuộc đấu giá 100% nhưng nó cũng tăng khả năng mua hàng với giá hời của người dùng gian xảo lên rất nhiều. - Để phòng chống kiểu tấn công này, có thể thực hiện các biện pháp: Không hiện tên tài khoản tham gia đấu giá, Dùng hệ thống CAPTCHA để ngăn chặn khả năng tấn công tự động thay cho việc khóa tài khoản người dùng, Chỉ định mức giá tối thiểu để hạn chế lòng tham của những người dùng gian xảo.Thay cho lời kết:
-
Bảo mật là một cuộc chiến không có hồi kết, giới tội phạm liên tục tìm ra những phương pháp mới để vượt qua các hệ thống bảo mật.
-
Và như chúng ta đã thấy, tội phạm trực tuyến đang có thể vượt mặt các giải pháp bảo mật hiện có [ít nhất là ở một số khía cạnh, trong một số trường hợp cụ thể].
-
Để đảm bảo an ninh cho các hệ thống giao dịch trực tuyến, những người thiết kế và xây dựng hệ thống cần chú ý tuân thủ nguyên tắc phòng thủ nhiều lớp, chủ động tìm kiếm những giải pháp bảo mật mới, cập nhật các phương thức gian lận của tội phạm.
-
Về phía người dùng[ đặc biệt là người dùng mới] :
cần tìm hiểu và nắm rõ quy trình giao dịch hợp lệ của hệ thống, kịp thời phát hiện những dấu hiệu đáng ngờ và báo lại cho ban quản trị hệ thống, liên hệ để nhận được sự hỗ trợ cần thiết. Đặt và quản lý mật khẩu cá nhân đủ mức an toàn cần thiết, luôn cảnh giác để tránh rủi do có thể xảy ra.