Ngày 20/05/2024, tài khoản TCBS của mình bị “hacker” đặt lệnh bán toàn bộ số cổ phiếu SHB trong tài khoản (May mắn mới chỉ khớp được 1/2). Điều đáng nói đây là lần thứ 2 tài khoản của mình gặp phải vấn đề này, trước đây vài tháng cũng xảy ra trường hợp tương tự với mã cổ phiếu VND ngay ở chân sóng (Bị bán toàn bộ)
Lần đó, mình tưởng do nhầm lẫn của mình vì khi đó mình vội có việc ra ngoài, lệnh mặc định để Max Số Lượng và thiết lập xác nhận giao dịch qua khuôn mặt nên mình nghĩ có thể trong lúc vội vã mình chạm tay nhầm đặt lệnh bán và ứng dụng quét khuôn mặt để xác thực giao dịch nên mình không tra cứu
Nhưng ngày hôm qua, sự việc lặp lại trong lúc mình đang không cầm điện thoại thì sự việc không còn là ngẫu nhiên nữa rồi. Và qua đây, bộc lộ 1 loạt sự yếu kém của TCBS trong vấn đề bảo mật tài khoản khách hàng và hỗ trợ khách hàng
TCBS Bị Có Bị Hack Không?
Để trả lời câu hỏi này, hãy đi ngược lại quá trình từ lúc bắt đầu tạo tài khoản.
- Số tài khoản chứng khoán của TCBS hiện có 10 ký tự, gồm 105CXXXXXX. Trong đó 06 ký tự cuối đang được mặc định là 06 số cuối của số điện thoại khách hàng dùng để đăng ký mở tài khoản.
Sau này, TCBS có cung cấp thêm dịch vụ số đẹp nhưng vẫn GIỚI HẠN 10 KÝ TỰ theo cấu trúc trên => USERNAME THỰC CHẤT CHỈ CÓ 6 KÝ TỰ, bao gồm Số và Chữ
Ngoài ra, TCBS còn mặc định kích hoạt việc Đăng Nhập Bằng Số Điện Thoại
=> Thể hiến sự yếu kém trong việc bảo vệ thông tin tin đăng nhập. Việc dò username là quá dễ dàng rồi
- Mật khẩu mặc định TCBS cung cấp cho người dùng khi Mở Tài Khoản Mới/Yêu Cầu Cấp Mật Khẩu Mới là 1 CHUỖI 6 KÝ TỰ, chỉ bao gồm CHỮ THƯỜNG & SỐ
=> Thể hiến sự yếu kém trong việc bảo vệ mật khẩu khách hàng khi không cung cấp Mật Khẩu Mạnh. Việc dò password là quá dễ dàng rồi
- Và bạn có tin không, 1 công ty chứng khoán hàng đầu Việt Nam lại không hề có cơ chế phòng chống Brute Force Attack (Dò Mật Khẩu). Các bạn có thể thử đăng nhập TCBS vô số lần mà không hề bị ngăn chặn
(Có phòng chống kiểu cù lần như mấy Ngân Hàng Việt Nam, cụ thể luôn là TCB đi, thì cũng có cái cơ chế đăng nhập 5 lần không được thì…khóa luôn tài khoản khách hàng haha)
Nói đến đây thì chắc các bạn đã hiểu sự yếu kém của TCBS trong vấn đề bảo mật tài khoản khách hàng. Còn việc TCBS có bị hack vào hệ thống hay không? Điều này chỉ có trời biết, đất biết, hacker biết còn mình không biết, bạn không biết và kể cả TCBS cũng chẳng biết luôn =))
Chắc chắn đã có nhiều cuộc tấn công Brute Force Attack được diễn ra và có rất nhiều tài khoản đã bị lộ thông tin. Các bạn đọc được bài viết này, vui lòng chia sẻ cho người thân, bạn bè để đồi ngay mật khẩu nhé. Và cần thiết thì đổi luôn công ty chứng khoán cho an toàn =))
- Thêm 1 sự yếu kém nữa trong bảo mật là bạn có thể đăng nhập trên mọi thiết bị mới mà không hề có bất kỳ thông báo bảo mật nào được gửi đến thiết bị cũ hoặc email/sđt được đăng ký
Lỗi ở Người Dùng?
Lúc tạo tài khoản, mình không có nhu cầu dùng nên không đổi password ngay. Sau này, khi có nhu cầu sử dụng, mình nhập thông tin qua trình Quản Lý Password nên mình cũng quên luôn việc này - Lại lộ thông 1 sự yếu kém về bảo mật tài khoản khách hàng khi không yêu cầu thay đổi password định kỳ
Do đó, việc mình bị lộ thông tin tài khoản là hoàn toàn có thể xảy ra qua các cuộc tấn công cuộc tấn công Brute Force Attack vì sự yếu kém trong việc bảo mật thông tin khách hàng như đã nói ở trên
iOTP bị lấy như thế nào?
Đầu tiên, khẳng định luôn là điện thoại mình không bị hack và không có chuyện mình bị lừa cung cấp iOTP cho ai cả. Vấn đề dường như ở cách thiết kế lấy iOTP của TCBS
Ở lần đầu tiên, mình có kích hoạt việc xác thực giao dịch bằng khuôn mặt. Nên khi xảy ra trong lúc vội vã, mình nghĩ lỗi là do mình
Ở lần thứ 2 này, mình đã tắt việc xác thực giao dịch bằng khuôn mặt. Nhưng sau khi sự việc xảy ra, mình kiểm tra thì thấy tính năng này lại bị bật lên!
Vậy tính năng này nguy hiểm như thế nào?
Khi bạn kích hoạt chức năng Xác Thực Sinh Trắc Học, nếu máy bạn chỉ hỗ trợ vân tay, khi có yêu cầu xác thực iOTP từ thiết bị khác, TCBS sẽ hiển thị thông báo “Quý khách có yêu cầu xác thực iOTP. Bấm vào đây để thực hiện”, bạn phải ấn Đồng Ý trước khi quét vân tay
Nhưng điều này dường như không xảy (Mình chưa có máy test lại nhưng theo trí nhớ thì là như vậy) nếu máy bạn hỗ trợ Xác Thực Khuôn Mặt, sẽ chẳng có thông báo nào cả mà app sẽ hiện ngay lên trang xác thực. Nếu bạn đang sử dụng điện thoại trong lúc đó, bạn rất dễ ấn nhầm vào nút quét khuôn mặt vì nó giống như thông báo quét khuôn mặt để đăng nhập lại hệ thống và thế là xong!
Ai đã bán toàn bộ số cố phiếu SHB & VND của mình? Mục đích là gì?
Ở lần bị bán trước đó, tài khoản của mình đang nắm giữ VIC và VND
Ở lần bị bán này, tài khoản của mình nắm giữ VIC và SHB
Có 1 sự trùng hợp trong cả 2 lần là mình đều đang Full Margin (ở mức an toàn nên không có chuyện bị bán giải chấp ở đây nhé) và chỉ bị kê lệnh bán toàn bộ số cổ phiếu VND & SHB ở mức giá bán thấp nhất tại thời điểm đó (Đợi Lênh Mua lên để khớp), vào những phút cuối của phiên giao dịch (trước ATC). Số cố phiếu VIC thì không hệ bị đặt lệnh bán.
Vậy ai đã làm điều này? Mục đích là gì?
Trường Hợp 1: Tài khoản của mình bị xâm nhập trái phép bởi Hacker và lệnh bán đơn giản là sự quậy phá
Vậy tại sao hacker không quậy cho bung nóc bằng việc BÁN GIẢI CHẤP TOÀN BỘ SỐ CỔ PHIẾU CỦA MÌNH VỚI MỨC GIÁ SÀN. Tại sao chỉ đặt lệnh bán ở mức giá bán thấp nhất tại thời điểm đó (Đợi Lênh Mua lên để khớp)
Trường Hợp 2: TCBS/Nhân Viên TCBS tự ý bán toàn số cổ phiếu của mình vì 1 mục đích nào đó
Xin mọi người cho ý kiến về vấn đề này
HỖ TRỢ KHÁCH HÀNG 1 CÁCH MÁY MÓC. THIẾU TÔN TRỌNG KHÁCH HÀNG. THIỆT HẠI NÀY AI CHỊU?
Ngay khi sự việc xảy ra, mình đã lập tức đổi mật khẩu và tìm mọi cách liên hệ với TCBS qua Hotline và Email. Và phải qua hàng chục cuộc gọi mới có thể liên hệ được với nhân viên TCBS
Mình có trình bày sự việc và yêu cầu kiểm tra ai là người đặt lệnh này. Mình KHÔNG HỀ YÊU CẦU TẠM KHÓA TÀI KHOẢN CỦA MÌNH vì mình biết và nhận thức được vấn đề là ở đâu. Nhưng NHÂN VIÊN TCBS sau đó thông báo ĐÃ KHÓA TÀI KHOẢN CỦA MÌNH VÌ LÝ DO BẢO MẬT. Yêu cầu mình ra trụ sở Techcombank gần nhất để mở khóa (Mình ở Đà Nẵng. TCBS chỉ có trụ sở tại Hà Nội & TPHCM)
Mình ngay lập tức chạy ra Techcombank thì bên ngân hàng nói không hỗ trợ với thái độ rất dửng dưng! Lại mất 1 khoảng thời gian để mình gọi lên TCBS và kết nối 2 bên với nhau, thì bên TCBS nhờ bên TCB hỗ trợ viết cho mình 1 cái giấy yêu cầu mở khóa tài khoản và ký vào đó. Mình làm theo. Những tưởng vậy là xong. Nhưng không, TCBS yêu cầu gửi cái giấy ra Hà Nội, khi nào nhận được thì mới mở khóa cho mình. Và gọi cái giấy yêu cầu mở khóa đấy là “Hồ Sơ Gốc” =)) Trong khi mình đã ra Techcombank xác thực đầy đủ thông tin (Ngày trước cũng mở tài khoản TCBS qua ứng dụng TCB) và yêu cầu mở khóa. Hài nữa là thông báo với mình khoảng 3-5 ngày mới nhận được trong khi chuyển phát hỏa tốc từ Đà Nằng → Hà Nội chậm nhất cũng chỉ 24h đi. Chẳng lẽ TCBS hết tiền nên yêu cầu TCB chuyển phát chậm cho mình để tiết kiệm chi phí =))
Tài khoản của mình không phải con số nhỏ và 3-5 ngày không giao dịch được thì ai sẽ đền bù cho mình thiệt hại này? Mình đã yêu cầu TCBS chỉ cần yêu cầu TCB scan hoặc fax trước và mở khóa để mình giao dịch, tạm chặn tính năng rút tiền ra khỏi hệ thống là được, nhưng lại bị từ chối 1 cách vô lý
Và trong quá trình hỗ trợ nhân viên làm việc rất máy móc và ức chế, tự ý ngắt điện thoại khi đang nói chuyện với khách hàng. Hứa gọi lại cho khách hàng nhưng không bao giờ chủ động gọi lại, toàn mình phải gọi lên. Kênh hỗ trợ qua email thì đã gửi nửa ngày trời không ai hồi đáp trong khi hỗ trợ qua điện thoại thì báo bên em sẽ kiểm tra và hồi đáp qua email ngay =))
Nói chung sau sự việc này thì bye bye TCBS nhé. NAV của mình không phải con số nhỏ mà còn bị đối xử kiểu này thì mấy anh chị em nhỏ lẻ xác định nếu xảy ra chuyện thì tha hồ bị hành nha =))
Chỉ cảnh báo cho mọi người biết mà chọn mặt gửi vàng thôi