Cách bảo vệ tài khoản chứng khoán trước tội phạm công nghệ cao

Gia tăng cảnh báo Tội phạm công nghệ cao

Thị trường chứng khoán Việt Nam ngày càng phát triển và hứa hẹn trở thành kênh dẫn vốn hấp dẫn cho nền kinh tế. Theo số liệu tính đến cuối năm 2022, số tài khoản nhà đầu tư cá nhân trong nước đã vượt 6,8 triệu tài khoản và các nhà đầu tư chủ yếu hoạt động giao dịch trên online. Do đó, đây có thể là "miếng bánh" mà các đối tượng tội phạm công nghệ cao hướng đến.

Vào tháng 3/2022, Công ty Chứng khoán A. (địa chỉ tại Hà Nội) có đơn trình báo về trường hợp tài khoản của khách hàng bị xâm nhập trái phép. Sau đó, Công an TP Hà Nội vào cuộc và xác định đối tượng thực hiện hành vi phạm tội là Nguyễn Trần Minh Hòa.

Đối tượng Hòa khai nhận khi phát hiện một diễn đàn về chứng khoán tại Việt Nam có lỗi SQL Injection (lỗi về cơ sở dữ liệu khiến trang web có thể bị chiếm đoạt dữ liệu người dùng) nên đã xâm nhập trái phép và thu thập được 156.000 tài khoản và mật khẩu người dùng. Sau đó, Hòa đã đăng nhập thành công được nhiều tài khoản, trong đó có tài khoản của anh Phạm Văn S. (47 tuổi, trú tại Bà Rịa - Vũng Tàu).

Đối tượng Hòa đã làm giả ảnh chứng minh nhân dân để mở tài khoản ngân hàng trùng tên với anh S. và liên kết tài khoản ngân hàng làm giả với tài khoản chứng khoán. Sau đó, Hòa đặt lệnh bán toàn bộ hàng chục mã chứng khoán của anh S., với tổng số tiền lên đến hơn 3,4 tỷ đồng. Đối tượng này đã rút tiền từ tài khoản chứng khoán của anh S. về tài khoản ngân hàng đã làm giả và sử dụng tiền chiếm đoạt để mua tiền kỹ thuật số USDT, sau đó bán USDT để lấy tiền VND.

Theo cơ quan chức năng, đối tượng đã lợi dụng các lỗ hổng bảo mật của sàn chứng khoán và ngân hàng. Dù sàn giao dịch chứng khoán có cơ chế xác thực giao dịch bán, chuyển tiền bằng mã OTP gửi về số điện thoại khách hàng đã đăng ký với sàn chứng khoán nhưng lại không giới hạn số lần nhập sai mã OTP. Lợi dụng lỗ hổng này, đối tượng đã sử dụng phần mềm dò mã OTP để xác thực thành công các giao dịch mua, bán, chuyển tiền từ tài khoản chứng khoán chiếm đoạt được.

Theo tìm hiểu, Ủy ban Chứng khoán Nhà nước cũng từng cảnh báo về việc một số đối tượng tìm cách truy cập vào hệ thống công nghệ thông tin của công ty chứng khoán thông qua các lỗ hổng bảo mật. Khi nắm được một số thông tin cụ thể của khách hàng như tên truy cập và mật khẩu đăng nhập, các đối tượng có thể chiếm quyền sử dụng tài khoản giao dịch chứng khoán của nhà đầu tư để thực hiện giao dịch chứng khoán, chuyển tiền, rút tiền và chiếm đoạt tài sản của khách hàng.

Ủy ban Chứng khoán Nhà nước đề nghị các công ty chứng khoán thực hiện rà quét lỗ hổng bảo mật hệ thống công nghệ thông tin, đặc biệt là hệ thống giao dịch chứng khoán trực tuyến và các hệ thống có kết nối mạng internet để kịp thời khắc phục các lỗ hổng bảo mật. Đồng thời, các công ty chứng khoán phải thực hiện cập nhật các bản vá bảo mật của hệ điều hành máy chủ, cơ sở dữ liệu và các thiết bị công nghệ thông tin khác.

Các công ty chứng khoán kiểm tra cần kiểm tra các quy trình khi nhà đầu tư thực hiện xác thực giao dịch trực tuyến để khắc phục các rủi ro khi giao dịch; điều chỉnh hệ thống để các giao dịch chuyển tiền, ứng tiền, thay đổi tài khoản của khách hàng phải xác thực OTP tức thời.

Sau đó, hàng loạt các công ty chứng khoán đã có những cảnh báo khách hàng về các vấn đề liên quan đến bảo mật tài khoản chứng khoán.

Cách bảo vệ tài khoản chứng khoán an toàn

Trước những thủ đoạn lừa đảo ngày càng tinh vi của tội phạm công nghệ cao, bên cạnh việc tăng cường nâng cao tính bảo mật, các công ty chứng khoán cũng đã có những khuyến cáo để nhà đầu tư có thêm kỹ năng bảo vệ tài khoản chứng khoán cũng như tài sản đầu tư của mình.

Theo Chứng khoán Techcombank, nhà đầu tư cần đề phòng với các đường link đính kèm trong email, tin nhắn điện thoại hoặc trên các trang mạng xã hội vì có thể những đường link này chính là những cuộc tấn công Phishing (giả danh những công ty lớn để đánh cắp các thông tin nhạy cảm của khách hàng, như tên đăng nhập, mật khẩu hay thông tin về các loại thẻ tín dụng của người dùng).

Nếu khách hàng muốn truy cập vào 1 trang web thì nên gõ tên web này trên thanh địa chỉ của trình duyệt thay vì nhấp vào link trong email hoặc từ trang web khác. Khi yêu cầu hỗ trợ, cần liên hệ đúng trực tiếp với hotline của công ty hoặc trên các phương tiện truyền thông xã hội chính thức.

Khi nhận email, nếu phát hiện dấu hiệu nghi ngờ, nhà đầu tư cần kiểm tra kỹ địa chỉ của người gửi có hợp pháp không. Nếu đuôi email không phải tên miền của công ty đáng tin cậy, có lỗi chính tả, ngữ pháp kém thường là những cuộc tấn công lừa đảo. Đặc biệt, không bao giờ trả lời email lạ yêu cầu thông tin cá nhân hay sử dụng các cụm từ giật gân như "khẩn cấp", "ngay lập tức", "thông báo cuối cùng".

Người dùng cũng cần cảnh giác tin nhắn giao dịch trực tuyến. Nhà đầu tư cần kiểm tra, rà soát kỹ các thông tin về giao dịch trong thông báo tin nhắn hoặc email được gửi đến. Không cung cấp mã OTP hoặc Token nếu các thông tin trong tin nhắn và email thông báo không khớp với giao dịch đã thực hiện.

Nhà đầu tư cũng cần kiểm tra lịch sử giao dịch thường xuyên để dễ dàng nhận biết các giao dịch bất thường. Nếu phát hiện các giao dịch không xác định xuất hiện trên tài khoản của mình, hãy liên hệ ngay với tổng đài công ty chứng khoán để kiểm tra.

Khi truy cập vào hệ thống giao dịch phải luôn giám sát phiên giao dịch và đăng xuất ngay sau khi sử dụng trên máy tính. Không cung cấp mã OTP hoặc Token nếu các thông tin trong tin nhắn và email thông báo không khớp với giao dịch đã thực hiện.

Nhà đầu tư cần kiểm tra, rà soát kỹ các thông tin về giao dịch trong thông báo tin nhắn hoặc email được gửi đến. Không cung cấp thông tin cá nhân qua các tin nhắn điện thoại hoặc số lạ gọi đến. Các công ty hợp pháp sẽ không bao giờ yêu cầu thông tin qua tin nhắn văn bản. Nhà đầu tư cần bỏ qua những tin nhắn đề nghị ưu đãi hấp dẫn đến đáng ngờ.

Techcom Securities cũng cho rằng, việc bảo mật thông tin cá nhân cũng rất quan trọng. Nhà đầu tư được khuyến cáo không tiết lộ ID người dùng, mã PIN và OTP cho bất cứ ai và không được cung cấp chi tiết tài khoản cho các ứng dụng tổng hợp tài chính của bên thứ ba. Việc tạo mật khẩu mạnh, khó đoán và chứa tổ hợp các chữ cái, số hoặc ký hiệu cũng cần được quan tâm.

Tránh đăng ký bằng sinh trắc học như nhận dạng khuôn mặt và dấu vân tay của người khác trên thiết bị của bạn khi truy cập vào ứng dụng của công ty chứng khoán.

Đối với thiết bị di động, người dùng cũng cần tăng cường bảo mật. Thường xuyên cập nhật thiết bị của với hệ điều hành mới nhất. Cài đặt phần mềm chống vi-rút và tránh can thiệp quá sâu vào hệ thống để tránh di động có nguy cơ lỗ hổng bảo mật và dễ bị nhiễm phần mềm độc hại. Người dùng cũng không nên cài ứng dụng lạ ngoài nguồn chính thống (CH Play và App Store) để tránh virus và các mã độc khác xâm nhập vào thiết bị di động. Nhà đầu tư cũng nên hạn chế đăng nhập các Wi-Fi không mã hóa như ở tiệm café, quán ăn hay trên phố để tránh bị đánh cắp thông tin. Đặc biệt là tăng độ khó mật khẩu, mã PIN để tránh bị các đối tượng xấu xâm nhập vào.

Nhà đầu tư nên thận trọng với những thông tin cá nhân chia sẻ trên mạng xã hội và tuyệt đối bảo mật thông tin chứng minh thư, địa chỉ nhà, số điện thoại cá nhân và chi tiết tài khoản chứng khoán. Để chế độ hồ sơ mạng xã hội thành riêng tư hoặc sử dụng cài đặt đối tượng tùy chỉnh. Đối với những khuyến mại, ưu đãi quá hời, hãy thận trọng và cân nhắc trước khi nhấp vào đường link hoặc chia sẻ về trang cá nhân.

Liên quan vấn đề bảo mật, Công ty Cổ phần Chứng khoán FPT (FPTS) cũng từng lên tiếng về việc có đối tượng đang mạo danh FPTS, liên hệ khách hàng thông qua các hình thức như: gọi điện, nhắn tin qua Zalo, Facebook... để mời chào tham gia hội thảo, truy cập vào đường dẫn không phù hợp hoặc cung cấp thông tin không chính thống dưới danh nghĩa FPTS.

FPTS khuyến cáo nhà đầu tư cần nâng cao cảnh giác, bảo mật thông tin tài khoản giao dịch chứng khoán như: Không nên lưu mật khẩu trên máy vi tính, thiết bị di động... Đổi mật khẩu đăng nhập/ giao dịch của tài khoản giao dịch chứng khoán định kỳ. Đồng thời, không nhấp vào các đường link lạ, không cung cấp thông tin bảo mật như tên đăng nhập, mật khẩu tài khoản, mã Token qua các llink, tin nhắn, chat, cuộc gọi chưa được xác thực trong bất kỳ trường hợp nào.

Nhà đầu tư không nên liên lạc, cung cấp thông tin cá nhân, số CMND, CCCD, hộ khẩu cho người lạ hoặc bên thứ ba qua mạng, qua điện thoại kể cả người tự xưng là công an, cơ quan điều tra, nhân viên công ty chứng khoán… để tránh bị kẻ gian lấy cắp thông tin cá nhân và sử dụng trái phép.

Liên quan vấn đề này, chuyên gia an ninh mạng cũng khuyến cáo nhà đầu tư về các loại tài khoản chứa tài sản có giá trị lớn như tài khoản Internet banking ngân hàng, tài khoản trên các sàn giao dịch chứng khoản, ví điện tử... nên sử dụng mật khẩu mạnh (là loại mật khẩu gồm số, chữ, ký hiệu). Đối với các tài khoản mạng xã hội thì nên thay đổi mật khẩu thường xuyên.

Một số nhà đầu tư chuyên nghiệp cho rằng, với số lượng tài sản đầu tư lớn, họ thường mở 2-3 tài khoản ở các công ty chứng khoán khác nhau để tránh tình trạng "bỏ trứng vào một giỏ" và có thể tận dụng những chính sách ưu đãi của các đơn vị khác nhau.