Hoàn thiện chính sách pháp luật phòng, chống tội phạm công nghệ cao trong lĩnh vực chứng khoán, ngân hàng

Lĩnh vực ngân hàng, chứng khoán - đích ngắm của tội phạm công nghệ cao (Ảnh minh hoạ)

Cảnh báo nhiều vụ lừa đảo, tấn công mạng vào tài khoản ngân hàng, hệ thống chứng khoán

Thời gian vừa qua, tình hình tội phạm công nghệ cao, đặc biệt liên quan đến lĩnh vực tài chính, ngân hàng diễn biến phức tạp, gia tăng nhanh về số vụ, số tiền thiệt hại.

Điển hình như mới đây nhất vụ bà Nguyễn Thị Giang Hương, Chủ tịch UBND huyện Nhơn Trạch (tỉnh Đồng Nai) nghi bị lừa số tiền khoảng 100 tỉ đồng. Thông tin trên một số báo cho hay trước đó, nhóm lừa đảo công nghệ cao đã yêu cầu Chủ tịch UBND huyện Nhơn Trạch mở tài khoản. Sau đó, bà Hương huy động tiền từ người thân nạp vào tài khoản. Bằng nhiều cách khác nhau, nhóm lừa đảo qua mạng đã chiếm đoạt tài khoản lấy đi số tiền trên. Hiện cơ qua chức năng đang tích cực điều tra làm rõ

Đáng nói, ngay cả các chuyên gia tài chính, những người tưởng chừng biết rõ các thủ đoạn lừa đảo trên mạng, cũng không ngoại lệ. Chuyên gia tài chính, TS Nguyễn Trí Hiếu cũng đang là nạn nhân của một vụ hack tài khoản và vẫn chưa lấy lại được số tiền gần 500 triệu đồng.

Tương tự là câu chuyện của bà Trần Thị Chúc bị mất 12 tỉ đồng trong tài khoản. Phía máy chủ của Vietcombank đã xác định các giao dịch đều thực hiện trên số tài khoản, password, OTP đã cung cấp cho khách hàng, nhưng khách hàng đã bị đối tượng lừa đảo thao túng tâm lý, đe dọa, ép buộc nên đã tự cài phần mềm giả mạo vào máy điện thoại, không thực hiện đúng theo các hướng dẫn về giao dịch an toàn của ngần hàng nên đã bằng hành vi của mình tự cung cấp cho các đối tượng lừa đảo toàn bộ các thông tin bảo mật được ngần hàng cung cấp dành riêng cho khách hàng. Từ các thông tin bảo mật được cung cấp đó, đối tượng lừa đảo đã thực hiện các hành vi chiếm đoạt tài sản của khách hàng.

Đáng chú ý, các đối tượng tội phạm công nghệ cao không chỉ nhắm đến những tài khoản ngân hàng của các cá nhân mà chúng còn tấn công cả vào hệ thống của các các ngân hàng, công ty chứng khoán.

Hệ thống mạng của Công ty Chứng khoán VNDIRECT bị “tin tặc” tấn công ngày 24/3 (ảnh minh hoạ)

Theo đó, sáng ngày 25/3, trên website và trang Facebook của Công ty cổ phần chứng khoán VNDIRECT (VND), đơn vị này đã thông báo xác nhận việc hệ thống thông tin của đơn vị bị tấn công. Thông tin này khiến thị trường chứng khoán rúng động. Hàng trăm ngàn nhà đầu tư mở tài khoản giao dịch tại công ty này suốt tuần đã phải chịu cảnh không thể giao dịch được.

Sau thời gian khắc phục sự cố bị tấn công, đến ngày 1/4 Công ty Chứng khoán VNDIRECT mới chính thức được Sở Giao dịch Chứng khoán Việt Nam cấp phép để mở lại hoạt động hệ thống giao dịch. Hiện, Cục An ninh mạng và phòng chống tội phạm công nghệ cao (A05) Bộ Công an đang phối hợp các cơ quan chức năng điều tra vụ việc.

Nhận diện loạt thủ đoạn của tội phạm

Thời gian vừa qua, cùng với khối cơ quan nhà nước, hệ thống ngân hàng, tổ chức tài chính là những mục tiêu chịu nhiều tấn công mạng nhất. Đáng chú ý, lừa đảo trực tuyến liên quan đến lĩnh vực này cũng bùng nổ trong thời gian gần đây. Các vụ lừa đảo qua mạng với nhiều hình thức khác nhau, mục đích cuối cùng là kẻ xấu yêu cầu nạn nhân chuyển tiền (hoặc cung cấp tài khoản, mật khẩu, mã OTP…) để chiếm đoạt tiền qua tài khoản ngân hàng.

Nghiên cứu một số vụ việc xảy ra trong thời gian gần đây cho thấy các đối tượng thường sử dụng rất nhiều chiêu thức, thủ đoạn rất tinh vi, xảo quyệt, có tổ chức và hoạt động xuyên quốc gia. Tuy nhiên, tựu chung lại chúng tôi nhận thấy 3 nhóm chính gồm: Lợi dụng không gian mạng dùng nhiều thủ đoạn để lừa đảo chiếm đoạt tài sản; Tấn công tài khoản ngân hàng, tài khoản chứng khoán chiếm đoạt tiền; Tấn công mạng vào hệ thống thông tin ngân hàng, công ty chứng khoán.

- Ðiểm chung của hầu hết các vụ việc lừa đảo là các đối tượng thu thập được thông tin cá nhân của nạn nhân như tên tuổi, ngày sinh, số căn cước, thông tin tài khoản ngân hàng... Các thông tin này do nạn nhân sơ ý để lộ hoặc các đối tượng tự thu thập được. Sau khi lấy được thông tin cá nhân, các đối tượng lừa đảo sẽ mạo danh cơ quan, tổ chức liên hệ với chủ thể của thông tin đó đề nghị chuyển tiền hoặc mạo danh chủ nhắn tin đề nghị chuyển hộ tiền, vay tiền…

- Các đối tượng còn sử dụng rất nhiều chiêu thức, thủ đoạn rất tinh vi, xảo quyệt khác như khai thác điểm yếu của người bị hại, tác động vào tâm lý con người để tạo niềm tin và dẫn dắt theo kịch bản mà các đối tượng này dàn dựng từ trước.

Trong đó nổi lên một số phương thức, thủ đoạn như: sử dụng combo du lịch giá rẻ; sử dụng chiêu bài khoá sim vì chưa được chuẩn hoá thuê bao; sử dụng cuộc gọi Deepfake; giả mạo biên lai chuyển tiền thành công; giả mạo trang thông tin điện tử cơ quan, doanh nghiệp (BHXH, ngân hàng…); sử dụng SMS Brandname phát tán tin nhắn giả mạo; rao bán hàng giả, hàng nhái; đánh cắp thông tin CCCD đi vay nợ tín dụng, ngân hàng; sử dụng chiêu thức chuyển nhầm tiền vào tài khoản ngân hàng; sử dụng dịch vụ lấy lại tiền khi đã bị lừa; lấy cắp Facebook, Zalo, Telegram OTP…; sử dụng dịch vụ lấy lại Facebook; giả danh cơ quan Công an, Quân đội, Viện Kiểm sát, Toà án, cơ quan chức năng, người ảnh hưởng… gọi điện hăm doạ bị hại, yêu cầu chuyển tiền sau đó chiếm đoạt tài sản; lôi kéo đầu tư, kinh doanh, giao dịch, tiền ảo, đầu tư bất động sản; tuyển CTV bán hàng online, nhận việc làm tại nhà, chốt đơn hàng…; gửi các đường link giả mạo, giả tin nhắn nhà mạng, quảng cáo các trò chơi giải trí… để đánh cắp thông tin cá nhân, chiếm đoạt quyền điều khiển tài khoản mạng xã hội, sim điện thoại; kết bạn làm quen, gợi ý gửi tặng quà và nhờ bị hại nhận, cất giữ; giả danh nhân viên hải quan, sân bay yêu cầu đóng phí và chiếm đoạt; dụ dỗ cho vay tiêu dùng, thủ tục đơn giản, nhanh chóng…

- Tấn công, chiếm quyền truy cập thiết bị di động, “hack” tài khoản ngân hàng, tài khoản chứng khoán để trộm tiền trong tài khoản.

Theo đó, các đối tượng thường sử dụng các ứng dụng di động, trang web giả mạo hoặc gửi các đường link có chứa mã các mã độc. Khi người dùng nhấn vào đường link và tải ứng dụng giả mạo có chứa mã độc và nếu đồng ý cấp quyền trợ năng (Accessibility) cho ứng dụng trong khi cài đặt thì ứng dụng giả mạo sẽ tiến hành theo dõi để thu thập toàn bộ thông tin trên điện thoại, máy tính, thiết bị di động… thu thập thông tin tên đăng nhập, mật khẩu, mã xác thực giao dịch ngân hàng được gửi đến trên điện thoại (OTP SMS/OTP Safekey)...

Sau khi chiếm quyền truy cập điện thoại, máy tính, thiết bị di động… các đối tượng có thể điều khiển điện thoại, thiết bị di động, máy tính của nạn nhân từ xa để soạn, gửi tin nhắn SMS, mở khóa thiết bị, bật tắt mạng Internet, truy cập WiFi, đọc, ghi danh bạ, lịch sử cuộc gọi, thực hiện cuộc gọi… Nguy hiểm hơn, kẻ xấu còn có thể tự thực hiện khôi phục mật khẩu tài khoản, tự đăng ký các dịch vụ Internet Banking, Smart Banking, thay đổi hạn mức giao dịch của tài khoản ngân hàng, đánh cắp thông tin đăng nhập, truy vấn thông tin tài khoản ngân hàng, tài khoản chứng khoán...

Sau đó, kẻ gian sẽ đợi thời điểm thích hợp để ra tay chiếm quyền điều khiển thiết bị và truy cập các ứng dụng ngân hàng, tài khoản để chuyển tiền, chiếm đoạt tiền trên tài khoản ngân hàng, tài khoản chứng khoán của người dùng. Đặc biệt, các tin nhắn xác thực mã OTP, chuyển tiền đều bị phần mềm gián điệp ẩn và chuyển cho các đối tượng mà chủ tài khoản không hề hay biết…

Vụ tài khoản ngân hàng của chuyên gia tài chính, TS Nguyễn Trí Hiếu bị “hack” hơn 500 triệu đồng hay vụ tài khoản ngân hàng Vietcombank của bà Trần Thị Chúc (Bắc Ninh) mất gần 12 tỷ đồng là những ví dụ điển hình.

Chiếm quyền điều khiển điện thoại, máy tính,…để trộm tiền trong tài khoản ngân hàng, tài khoản chứng khoán là một trong những thủ đoạn phổ biến của tội phạm công nghệ cao hiện nay

Đáng chú ý, tài khoản ngân hàng, tài khoản chứng khoán còn bị tấn công khi thông tin cá nhân bị rò rỉ và được buôn bán trên các trang web đen chuyên mua bán thông tin. Theo thống kê từ Báo cáo Viettel Threat Intelligence của Công ty An ninh mạng Viettel, trong năm 2023 Việt Nam có 12 triệu tài khoản bị xâm nhập và 48 triệu bản ghi dữ liệu cá nhân, tổ chức bị rò rỉ và được rao bán trên không gian mạng.

- Lợi dụng các lỗ hổng bảo mật của các hệ thống thông tin ngân hàng, công ty chứng khoán để tấn công mạng bằng một số hình thức phổ biến như: tấn công mạng bằng phần mềm độc hại, tấn công giả mạo, tấn công từ chối dịch vụ, tấn công cơ sở dữ liệu…

Theo ghi nhận của cơ quan chức năng, năm 2023 có hơn 13.900 vụ tấn công mạng vào các tổ chức tại Việt Nam. Chỉ tính riêng trong tháng 2/2024 có đến 862 vụ tấn công mạng gây ra sự cố các hệ thống thông tin tại Việt Nam đã được ghi nhận, cảnh báo và hướng dẫn xử lý; có hơn 432.437 địa chỉ máy tính (IP) nằm trong mạng máy tính nhiễm virus (mạng botnet).

Gần đây nhất, sự kiện Công ty cổ phần Chứng khoán VnDirect bị tấn công vào hệ thống giao dịch trực tuyến, gây gián đoạn dịch vụ; rồi trang web của Công ty cổ phần Bảo hiểm bưu điện (PTI) bị tấn công; trang ipa.com.vn của Công ty Đầu tư IPA cũng không thể truy cập được… là những vụ việc điển hình.

Người dân, nhà đầu tư, doanh nghiệp cần làm gì để phòng tránh

Trong thời đại công nghệ ngày càng phát triển như hiện nay, tội phạm sử dụng công nghệ cao nhằm mục đích lừa đảo, chiếm đoạt tài sản càng ngày càng phức tạp, với nhiều chiêu thức thủ đoạn ngày một tinh vi, xảo quyệt. Do đó để phòng tránh lừa đảo, tấn công mạng vào tài khoản ngân hàng, hệ thống chứng khoán đối với người dân, nhà đầu tư cần cảnh giác và tỉnh táo trong mọi tình huống.

- Cụ thể, người dân cần đề cao cảnh giác khi nhận cuộc gọi điện thoại từ người lạ, tự xưng là cán bộ các cơ quan nhà nước và các cơ quan tư pháp, tiến hành tố tụng hình sự, để thông báo, yêu cầu điều tra vụ án qua điện thoại hoặc giả danh nhân viên ngân hàng, bưu điện, bảo hiểm, thanh tra, hải quan... yêu cầu nhận tiền, quà bưu phẩm có giá trị lớn hoặc đóng các khoản phí, trả các khoản nợ không xác định.

- Người dân cần đề phòng với các đường link đính kèm trong email, tin nhắn điện thoại hoặc trên các trang mạng xã hội vì có thể những đường link này chính là những cuộc tấn công Phishing để đánh cắp các thông tin nhạy cảm của khách hàng, như tên đăng nhập, mật khẩu hay thông tin về các loại thẻ tín dụng của người dùng. Tuyệt đối không cung cấp thông tin cá nhân, số điện thoại, số chứng minh thư (căn cước công dân), địa chỉ nhà ở, số tài khoản ngân hàng, mã OTP trên điện thoại cá nhân... cho bất kỳ ai không quen biết hoặc khi chưa biết rõ nhân thân, lai lịch.

- Ngoài ra đối với người sử dụng tài khoản ngân hàng, tài khoản chứng khoán nên sử dụng mật khẩu mạnh, xác thực đa yếu tố, thường xuyên cập nhật phần mềm và hệ điều hành để vá các lỗ hổng bảo mật, sao lưu dữ liệu thường xuyên để có thể khôi phục trong trường hợp bị tấn công. Đặc biệt, nên trang bị cho mình những hiểu biết về các hình thức tấn công mạng phổ biến như lừa đảo email, số điện thoại, tấn công mạng và phần mềm độc hại...Đặc biệt, khi có bất kỳ nghi vấn liên quan đến các hành vi lừa đảo, cần liên hệ ngay với cơ quan chức năng (công an, ngân hàng,…) để được hỗ trợ kịp thời.

- Về phía các doanh nghiệp đặc biệt là ngân hàng, công ty chứng khoán, bên cạnh việc thường xuyên khuyến cáo khách hàng, nhà đầu tư, hướng dẫn họ có thêm kỹ năng bảo vệ tài khoản ngân hàng, tài khoản chứng khoán cũng như tài sản của mình. Các ngân hàng, công ty chứng khoán cần tuân thủ các quy định của pháp luật về đảm bảo an toàn thông tin và triển khai đầy đủ các biện pháp đảm bảo an toàn thông tin theo quy định của cơ quan quản lý nhà nước.

Thường xuyên rà soát, đảm bảo an toàn hệ thống, đặc biệt cần tăng cường bảo mật cho hệ thống giao dịch trực tuyến. Thường xuyên cập nhật, thay đổi các phần mềm cũ, hết hạn, không còn tính bảo mật. Sử dụng phần mềm quét virus và cập nhật phần mềm virus thường xuyên để phát hiện kịp thời các lỗ hổng bảo mật, tấn công mạng.

- Đồng thời, ngân hàng, công ty chứng khoán phải thực hiện quy trình mô hình “4 lớp” của Bộ TT&TT gồm Lực lượng tại chỗ, tổ chức hoặc doanh nghiệp giám sát, bảo vệ chuyên nghiệp, tổ chức hoặc doanh nghiệp độc lập kiểm tra, đánh giá định kỳ; Kết nối, chia sẻ thông tin với hệ thống giám sát quốc gia.

- Ngoài ra, ngân hàng, công ty chứng khoán cần chủ động xây dựng quy trình ứng cứu sự cố khi bị tấn công; chú trọng đào tạo nâng cao nhận thức cho cán bộ nhân viên về tầm quan trọng của bảo mật thông tin, bao gồm cả rủi ro và hậu quả của các cuộc tấn công…

Kiến nghị hoàn thiện chính sách pháp luật liên quan

Nghiên cứu cho thấy các quy định pháp luật liên quan đến việc khai thác, sử dụng công nghệ thông tin, công nghệ máy tính, mạng Internet và môi trường mạng xã hội vào các hoạt động kinh doanh tài chính chứng khoán đã tương đối đầy đủ.

Điển hình như, Luật Các tổ chức tín dụng sửa đổi 2024 vừa được Quốc hội thông qua hồi tháng 1/2024 đã có hàng loạt quy định về triển khai hoạt động ngân hàng thông qua phương tiện điện tử được bổ sung và luật hóa. Một số quy định điển hình như: (i) quy định nguyên tắc về giao dịch điện tử trong hoạt động ngân hàng; (ii) quy định điều chỉnh riêng đối với hoạt động cấp tín dụng bằng phương tiện điện tử liên quan đến xét duyệt, thẩm định, kiểm tra sử dụng vốn vay và lưu trữ hồ sơ tín dụng; (iii) quy định về trách nhiệm ban hành quy định nội bộ trong việc thực hiện hoạt động nghiệp vụ bằng phương tiện điện tử; (iv) sửa đổi, bổ sung làm rõ quy định về yêu cầu bảo đảm an toàn giao dịch điện tử trong hoạt động ngân hàng; (v) quy định trách nhiệm của TCTD trong trường hợp ngừng giao dịch bằng phương tiện điện tử.

Hay, Luật Chứng khoán 2019 cũng đã quy định cụ thể nghĩa vụ của công ty chứng khoán, chi nhánh công ty chứng khoán nước ngoài tại Việt Nam trong đó có quy định phải đảm bảo hệ thống công nghệ thông tin, cơ sở dữ liệu dự phòng hoạt động an toàn và liên tục.

Các quy định mới được sửa đổi, bổ sung sẽ tạo nên nền tảng pháp lý khá cơ bản để các ngân hàng mạnh dạn hơn trong việc đẩy mạnh số hóa các hoạt động kinh doanh, qua đó thúc đẩy sự phát triển của mô hình ngân hàng số bên trong các ngân hàng truyền thống.

Cùng với các quy định cụ thể Luật Chứng khoán, Luật Các tổ chức tín dụng các quy định trong pháp luật liên quan như Luật Công nghệ thông tin, Luật An toàn thông tin mạng, Luật An ninh mạng và các Nghị định, Thông tư hướng dẫn thi hành,…  đặc biệt Luật Giao dịch điện tử (sửa đổi) được Quốc hội thông qua vào tháng 6/2023 đã tạo hành lang pháp lý, thúc đẩy giao dịch điện tử, tạo đột phá cho chuyển đổi số hoạt động đầu tư kinh doanh cũng như hệ thống ngân hàng, chứng khoán.

Tuy nhiên từ thực tiễn công tác đấu tranh, phòng, chống tội phạm công nghệ cao trong lĩnh vực ngân hàng, chứng khoán hiện nay còn tồn tại không ít khó khăn, vướng mắc. Nguyên nhân một phần xuất phát từ những hạn chế của chính sách pháp luật liên quan

Thứ nhất, Bộ luật Tố tụng hình sự năm 2015 quy định về thu thập bí mật dữ liệu điện tử là một biện pháp điều tra tố tụng đặc biệt (Điều 223) liên quan đến quyền con người, quyền công dân nhưng chưa có văn bản hướng dẫn chi tiết về vấn đề này để các cơ quan tiến hành tố tụng thống nhất về nhận thức và áp dụng.

Thứ hai, dù Điều 11 Luật giao định điện tử (sửa đổi) mới nhất có quy định: “Thông điệp dữ liệu có giá trị dùng làm chứng cứ theo quy định của Luật này và pháp luật về tố tụng”. Tuy nhiên, chưa có những quy định cụ thể về các quy trình cần thiết xử lý chứng cứ điện tử; thiếu quy định, quy trình về thu giữ, bảo quản, phục hồi dữ liệu điện tử nhằm bảo vệ tính an toàn, toàn vẹn dữ liệu, giữ nguyên giá trị chứng cứ điện tử; thiếu những quy định đặc thù về bảo quản, sử dụng loại chứng cứ đặc thù này.

Còn tồn tại không ít hạn chế trong các quy định pháp luật dẫn đến khó khăn đối với công tác đấu tranh, phòng, chống tội phạm công nghệ cao trong lĩnh vực ngân hàng, chứng khoán (ảnh minh hoạ)

Thứ ba, về chế tài đối với các hành vi vi phạm liên quan đến tấn công mạng hiện nay còn tương đối thấp, chưa tương xứng với thiệt hại vô cùng lớn có thể gây ra, chưa đảm bảo tính giáo dục răn đe và phòng ngừa chung. Điển hình như, về chế tài hành chính đối với hành vi “tạo ra hoặc cài đặt hoặc phát tán chương trình vi rút máy tính hoặc phần mềm gây hại vào thiết bị số của người khác” bị phạt tiền từ 30-50 triệu đồng (Theo khoản 3 Điều 77 Nghị định 15/2020/NĐ-CP).

Về chế tài xử lý hình sự, trong Bộ luật Hình sự (BLHS) 2015 đã quy định “Tội sản xuất, mua bán, trao đổi hoặc tặng cho công cụ, thiết bị, phần mềm để sử dụng vào mục đích trái pháp luật” (Điều 285), “Tội phát tán chương trình tin học gây hại cho hoạt động của mạng máy tính, mạng viễn thông, phương tiện điện tử” (Điều 286), “Tội cản trở hoặc gây rối loạn hoạt động của mạng máy tính, mạng viễn thông, phương tiện điện tử” (Điều 287); “Tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác” (Điều 289)… mức cao nhất của khung hình phạt với các tội danh liên quan đến tội phạm công nghệ cao là 12 năm tù.

Tuy nhiên, trong bối cảnh hiện nay, các hành vi vi phạm liên quan đến tội phạm công nghệ cao có xu hướng ngày càng tinh vi phức tạp, tiềm ẩn nguy cơ gây ra những hậu quả vô cùng nghiêm trọng cho xã hội. Do đó, nâng cao hiệu quả thực thi pháp luật cũng như công tác đấu tranh, phòng, chống tội phạm công nghệ cao liên quan đến tội phạm công nghệ cao nói chung, lĩnh vực tài chính ngân hàng nói riêng trong tình hình mới, cơ quan chức năng cần tiếp tục hoàn thiện cơ sở pháp lý về phòng, chống tội phạm trong lĩnh vực tài chính ngân hàng. 

Đồng thời, tiếp tục nghiên cứu hoàn thiện hệ thống các văn bản và quy phạm pháp luật liên quan đến bảo vệ dữ liệu, dữ liệu cá nhân, các quy định về xử lý tội phạm mạng, tội phạm thương mại điện tử, tội phạm ngân hàng số… Đặc biệt rà soát, cân nhắc bổ sung quy định thêm các hành vi và biện pháp xử lý đối các hành vi liên quan đến tấn công mạng…cũng như tăng cường chế tài nghiêm khắc hơn để đảm bảo tính răn đe, phòng ngừa cần thiết.