Cảnh báo thủ đoạn đánh tráo chíp thẻ ngân hàng: Bài 2: Từ tráo chíp đến 'thủy tổ' copy thẻ từ

Ngành "công nghiệp đen" triệu đô

Ong Teng Koye chỉ là một mắt xích nhỏ được trả 200USD cho mỗi thiết bị lắp thành công, làm việc cho một đường dây lừa đảo xuyên quốc gia có trụ sở tại Malaysia với sự tham gia của cả người Malaysia lẫn người Đông Âu. Thủ đoạn của Ong đơn giản hơn về công nghệ, nhưng đã từng hoành hành khắp Đông Nam Á trong suốt gần 2 thập niên. Đó là tội phạm skimming, hay sao chép dữ liệu từ dải băng từ phía sau tấm thẻ ngân hàng.

Về bản chất, dải từ phía sau mỗi tấm thẻ ngân hàng đời cũ lưu trữ dữ liệu ở dạng tĩnh, không mã hóa - nghĩa là ai có thiết bị đọc phù hợp cũng có thể sao chép lại y nguyên. Từ tháng 12/2002, Đài CBS (Mỹ) đã đưa tin về sự xuất hiện của một loại thiết bị khi đó còn được xem gần như viễn tưởng: máy skimmer có thể ghi lại tên, số tài khoản và các thông tin định danh khác từ dải từ, rồi tải xuống máy tính cá nhân để xử lý sau. Đến cuối thập niên 2000, các thiết bị skimming đã phát triển thành cả một hệ sinh thái tinh vi: từ máy đọc dải từ giả hình khe cắm thẻ, camera siêu nhỏ giấu trong giá để tờ rơi để quay lại thao tác nhập mã PIN, cho đến bàn phím giả lắp đè lên bàn phím thật của máy ATM.

Cơ chế vận hành của một vụ skimming điển hình, theo mô tả trong hồ sơ vụ án đầu tiên tại Singapore bao trùm toàn bộ chuỗi tội phạm ATM - từ khâu skimming, sang thẻ đến rút tiền - gồm 2 thiết bị phối hợp: một đầu đọc dữ liệu (skimmer) gắn ngay trên khe cắm thẻ để sao chép thông tin từ dải từ và một camera lỗ kim giấu phía trên màn hình ATM để ghi lại mã PIN khách hàng gõ vào, hình ảnh sau đó được truyền không dây đến một thiết bị lưu trữ giấu gần đó, theo cáo trạng do Tòa án Singapore công bố.

Malaysia - quốc gia sau này trở thành nơi xuất phát của nhiều đường dây skimming lớn nhất khu vực - chính là một trong những nước đầu tiên trên thế giới từ bỏ thẻ ngân hàng dùng dải từ. Từ năm 2001, nước này bắt đầu chuyển đổi từ thẻ từ sang công nghệ chíp nhằm giảm gian lận và củng cố niềm tin công chúng vào thẻ thanh toán. Cùng thời điểm đó, Nhật Bản và Hàn Quốc cũng đã hoàn tất chuyển đổi sang thẻ chíp.

Việc chuyển sang thẻ chíp không diễn ra đồng loạt trên thế giới nên tội phạm skimming di cư sang các nước còn dùng thẻ từ. Hàng loạt vụ án được cảnh sát các nước triệt phá cho thấy rõ điều này. Tại Philippines - nơi thẻ từ vẫn phổ biến, vào năm 2018 Cảnh sát tỉnh Iloilo bắt giữ 3 nghi phạm quốc tịch Malaysia, thu giữ thiết bị skimming, gần 11.000 peso tiền mặt cùng nhiều loại ngoại tệ, 3 thẻ ATM và 5 điện thoại di động. Cũng tại nước này, cuối năm 2015, Cảnh sát thành phố Quezon bắt giữ cặp đôi quốc tịch Indonesia và Romania khi đang lấy lại thiết bị skimming đã gắn tại một chi nhánh ngân hàng; thu giữ 1 chíp nhớ và 3 thẻ ATM giả.

Tại Indonesia, tháng 7/2014, Cảnh sát khu vực Jakarta bắt 3 nghi phạm trong một đường dây lừa đảo quốc tế, sau khi Ngân hàng Mandiri báo cáo các giao dịch bất thường tổng cộng lên tới 3,9 tỷ rupiah bị rút qua thẻ giả trong tháng 5. Đường dây này có sự tham gia của 2 công dân (Sri Lanka, Indonesia) và được cung cấp thiết bị - bao gồm cả chip điện tử chuyên dùng để sao chép dữ liệu thẻ - từ 2 người Canada gửi sang, với các điểm lắp đặt thiết bị trải khắp bệnh viện, trung tâm thương mại và khu nghỉ dưỡng tại Jakarta và Bogor.

Các thiết bị đánh cắp dữ liệu thẻ bị phát hiện

Ở Thái Lan, theo tường thuật của Bangkok Post, trong giai đoạn đầu, mục tiêu chủ yếu là thẻ tín dụng, do một đường dây bị tình nghi có nguồn gốc Malaysia thực hiện, với các thiết bị skimming thường được gắn tại nơi có mật độ giao dịch thẻ cao như cây xăng. Khi ngân hàng khuyến cáo khách hàng dùng tay che bàn phím lúc nhập mã PIN, các đối tượng lập tức chuyển sang dùng bàn phím giả để tiếp tục ghi lại mã số.

Riêng đợt bùng phát được bài báo ghi nhận đã khiến các nạn nhân thiệt hại tổng cộng hơn 1,3 triệu baht, trong khi dữ liệu và mã PIN đánh cắp được rao bán với giá khoảng 3.000baht cho mỗi thẻ. Còn tại Singapore, ngoài vụ Ong Teng Koye năm 2017, một phán quyết của Tòa Thượng thẩm nước này từ năm 2007 - được xem là vụ án đầu tiên bao quát toàn bộ chuỗi tội phạm về ATM tại đảo quốc này - đã ghi nhận một đường dây do một công dân Malaysia cầm đầu, thực hiện trót lọt các giao dịch mua sắm gian lận trị giá hơn 140.000SGD bằng thẻ tín dụng giả mạo trước khi bị phát hiện.

Cuộc đua chưa kết thúc

Việt Nam không đứng ngoài vòng xoáy này. Trước khi thẻ chip trở nên phổ biến, dải từ phía sau thẻ ATM nội địa cũng là mục tiêu quen thuộc của bọn tội phạm, với thủ đoạn được cơ quan chức năng mô tả gần như giống hệt khu vực: gắn thiết bị nhỏ vào khe đọc thẻ để sao chép dữ liệu dải từ, kết hợp camera siêu nhỏ hoặc bàn phím giả để đánh cắp mã PIN, sau đó tạo thẻ giả để rút tiền. Nhằm chặn đứng lỗ hổng này, Ngân hàng Nhà nước yêu cầu toàn bộ ngân hàng chuyển đổi thẻ thanh toán nội địa từ dải từ sang chíp, hạn chót ban đầu được đặt ra là năm 2020.

Cuối tháng 12/2024, Chi hội Thẻ Ngân hàng thuộc Hiệp hội Ngân hàng Việt Nam vẫn phải gửi văn bản đến các ngân hàng thành viên, cảnh báo tình trạng đối tượng xấu tiếp tục lắp đặt thiết bị skimming đánh cắp dữ liệu thẻ tại ATM để làm thẻ giả rút tiền, đặc biệt trong dịp Tết Dương lịch và Tết Nguyên đán 2025 - thời điểm giao dịch tăng cao. Cũng trong giai đoạn này, một loạt ngân hàng như Eximbank, VPBank, ACB, Sacombank, BVBank, SCB đã chủ động ngừng chấp nhận giao dịch bằng thẻ từ, yêu cầu khách hàng chuyển hẳn sang thẻ chíp để tiếp tục sử dụng dịch vụ.

Đến ngày 01/7/2025, giao dịch bằng thẻ từ tại ATM trên toàn hệ thống ngân hàng Việt Nam chính thức chấm dứt, do đó người dùng còn lại phải chuyển sang thẻ chíp. Nói cách khác, chưa đầy một năm trước khi Ngân hàng Nhà nước phải ban hành công văn cảnh báo về thủ đoạn bóc tách, đánh tráo chíp, Việt Nam mới vừa khép lại chương skimming dải từ kéo dài suốt gần 2 thập niên.

Nhìn lại toàn cảnh, thẻ chíp EMV ra đời chính là câu trả lời trực tiếp cho vấn nạn skimming. Dữ liệu mã hóa động trên chíp khiến việc sao chép dữ liệu tĩnh như với dải từ gần như bất khả thi. Những vụ án tại Singapore, Indonesia, Philippines, Thái Lan hay Việt Nam kể trên chính là lý do khiến cả khu vực buộc phải từ bỏ công nghệ dải từ.

Từ dải từ đến con chíp, từ chiếc máy đọc thẻ giấu trong khe ATM đến con chíp bị bóc bằng nhiệt giữa đường bưu điện hay ngay trên bàn thu ngân, cốt lõi tội phạm không thay đổi. Mỗi khi ngành ngân hàng dựng lên một lớp bảo mật mới, bọn tội phạm có tổ chức sẽ luôn dành thời gian để tìm ra khe hở từ chính lớp bảo mật đó để lách qua.