First Horizon đang đối mặt với hai vụ kiện liên quan đến việc kẻ giả danh khách hàng doanh nghiệp lấy lý do đổi iPhone để xin cấp lại mã bảo mật, sau đó thực hiện các lệnh chuyển tiền lớn. Tổng số tiền trong hai vụ vượt 24 triệu USD, trong đó một phần vẫn chưa được thu hồi. Các vụ kiện đặt ra câu hỏi về cách ngân hàng xác minh người gọi, thiết lập bảo mật cho tài khoản doanh nghiệp và xử lý những dấu hiệu gian lận tương tự.
Hai doanh nghiệp mất khoảng 6,5 triệu USD trong hai ngày
Tháng 5 năm nay, K&A Rosario Holdings và MJR Fund, hai doanh nghiệp tại khu vực Orlando, Florida, kiện First Horizon lên tòa án liên bang ở Orlando. Theo đơn kiện, ngày 3/3, một người gọi tự nhận là Misael Rosario, người quản lý K&A và phụ trách MJR, nói rằng ông vừa “đổi sang iPhone 14” và cần cấp lại mã bảo mật để truy cập tài khoản doanh nghiệp.
Nhân viên dịch vụ khách hàng của First Horizon sau đó cấp lại mã. Hướng dẫn về tài khoản doanh nghiệp của ngân hàng cho biết mã bảo mật được tải vào ứng dụng trên điện thoại và thay đổi sau mỗi 60 giây. Khách hàng doanh nghiệp phải sử dụng cả mã này lẫn mật khẩu để thực hiện thanh toán.
Khoảng 80 phút sau, một trong các tài khoản phát sinh sáu lệnh chuyển khoản, tổng cộng 4,85 triệu USD. Đến ngày 5/3, hai doanh nghiệp có tổng cộng 12 lệnh chuyển tiền, trị giá khoảng 6,5 triệu USD. Đơn kiện cho biết hơn 4,5 triệu USD đến nay vẫn chưa được thu hồi.
Luật sư Victor Velarde, đại diện K&A và MJR, cho biết hai doanh nghiệp không rõ người gọi lấy được thông tin đăng nhập ngân hàng trực tuyến bằng cách nào. Đơn kiện cũng nêu số điện thoại gọi đến có mã vùng California, trong khi các quản lý doanh nghiệp sống tại Florida và trước đó chỉ đăng ký số điện thoại ở bang này với ngân hàng. Người gọi còn phát âm tên Rosario theo hai cách khác nhau.
Hãng luật bị chuyển khoản 17,3 triệu USD
Khoảng năm tuần trước đó, hãng luật Rabideau Klein ở Palm Beach, Florida, gặp sự cố tương tự. Theo một đơn kiện khác, người gọi cũng viện lý do vừa đổi iPhone để yêu cầu cấp lại mã bảo mật. Trong vài giờ, 13 lệnh chuyển khoản tổng cộng khoảng 17,3 triệu USD được thực hiện từ tài khoản ký quỹ của hãng luật.
Tài khoản này chứa tiền ký quỹ cho các giao dịch bất động sản. Hãng luật đã thu hồi khoảng 10,7 triệu USD, nhưng vẫn còn khoảng 6,55 triệu USD chưa lấy lại được.
Vụ việc bắt đầu ngày 27/1, khi một email lừa đảo giúp kẻ tấn công truy cập vào một tài khoản Microsoft 365 của hãng luật. Ngày hôm sau, người này thuyết phục nhà cung cấp dịch vụ điện thoại chuyển hướng cuộc gọi của hãng sang số do mình kiểm soát. Tối cùng ngày, kẻ tấn công dùng chức năng “Quên ID người dùng hoặc mật khẩu” trên ngân hàng trực tuyến của First Horizon để đặt lại mật khẩu của Guy Rabideau và lấy được ID người dùng của ông.
Sau đó, người này gọi cho ngân hàng, tự nhận là Rabideau và yêu cầu cấp lại mã. Khi được hỏi số tài khoản, người gọi nói đang tìm số tài khoản “của họ”, rồi cung cấp thông tin liên quan. Người này cũng đưa ra tên doanh nghiệp không khớp hoàn toàn với hồ sơ ngân hàng, bốn số cuối trong số An sinh xã hội của Rabideau và ID người dùng vừa xuất hiện trên trang web của ngân hàng.
Sau khi cuộc gọi được chuyển đến bộ phận quản lý tiền mặt, một nhân viên khác yêu cầu xác nhận ID người dùng, họ tên, email và bốn số cuối của tài khoản. Nhân viên đề nghị gửi mã xác minh đến số điện thoại hãng luật đã đăng ký. Người gọi yêu cầu nhận mã qua cuộc gọi thoại; nhân viên đồng ý và cuộc gọi cung cấp mã bị chuyển hướng đến kẻ tấn công. Ngân hàng sau đó gửi email kèm liên kết kích hoạt mã bảo mật, nhưng kẻ tấn công cũng chặn được liên kết này.
Theo đơn kiện, nhật ký ngân hàng ghi nhận các lần đăng nhập từ Chicago trong những giờ tiếp theo. Kẻ tấn công còn tạo ID người dùng thứ hai dưới tên Rabideau, gắn email và số điện thoại của mình, đồng thời khóa quyền truy cập ngân hàng trực tuyến của bốn nhân viên khác tại hãng luật.
Cả hai vụ đều có lệnh chuyển tiền đến cùng một doanh nghiệp là Shaoxing Fanshun Import and Export. Đơn kiện của K&A cho biết tài khoản doanh nghiệp này có bốn khoản chuyển đến công ty, tổng cộng 2,29 triệu USD. Hồ sơ kiện tụng chưa làm rõ liệu hai doanh nghiệp có mối liên hệ nào khác hay không.
First Horizon nói các biện pháp kiểm soát đã hoạt động như dự kiến
First Horizon, có trụ sở tại Memphis, bang Tennessee, phủ nhận việc không ngăn ngừa hiệu quả rủi ro trong vụ Rabideau Klein và đang đối mặt với cả hai vụ kiện. Người phát ngôn ngân hàng cho biết các “hệ thống, biện pháp kiểm soát và cơ chế bảo vệ đều hoạt động như dự kiến”. Với vụ K&A và MJR, ngân hàng nói sẽ tích cực bảo vệ mình trước các cáo buộc.
Trong vụ Rabideau Klein, First Horizon quy trách nhiệm về tổn thất cho các vấn đề bảo mật của hãng luật. Ngân hàng cho rằng email lừa đảo là điểm khởi đầu, đồng thời hãng luật đã từ chối biện pháp phê duyệt chuyển khoản bởi hai người mà ngân hàng từng đề xuất. Theo cơ chế này, người dùng thứ hai phải xác nhận trước khi mỗi lệnh chuyển tiền được thực hiện. Hồ sơ do hãng luật nộp cho thấy họ đã ký văn bản từ chối kích hoạt tính năng.
Velarde cho biết K&A và MJR không chủ động từ bỏ bất kỳ biện pháp bảo mật nào, nhưng không nói rõ hai doanh nghiệp có sử dụng cơ chế phê duyệt hai người hay không. First Horizon chưa công khai cách ngân hàng xác minh người gọi yêu cầu cấp lại mã bảo mật, cũng như liệu quy trình có được điều chỉnh sau vụ việc hồi tháng 1 hay không.
Ngân hàng có biết trước thủ đoạn tương tự?
Trong đơn kiện, K&A và MJR cho rằng First Horizon có thể đã biết về thủ đoạn này trước tháng 3. Theo hồ sơ, sau khi Rabideau Klein báo cáo vụ gian lận ngày 29/1, ngân hàng đã “biết trên thực tế” rằng có người dùng lý do đổi iPhone để truy cập tài khoản khách hàng, đồng thời các khoản chuyển đến Shaoxing Fanshun bị nghi là gian lận.
Phía K&A cho rằng những tình tiết này có thể ảnh hưởng đến việc đánh giá các quy trình bảo mật của ngân hàng có “hợp lý về mặt thương mại” theo Điều 4A của Bộ luật Thương mại thống nhất (UCC) hay không. Điều khoản này thường được áp dụng khi phân định trách nhiệm đối với chuyển khoản điện tử: ngân hàng nhìn chung có thể phải chịu tổn thất nếu giao dịch không được ủy quyền, nhưng cách phân bổ trách nhiệm có thể khác nếu ngân hàng hành động thiện chí và tuân thủ quy trình bảo mật hợp lý về mặt thương mại mà khách hàng đã chấp thuận.
First Horizon đã đề nghị tòa xóa các cáo buộc liên quan khỏi đơn kiện của K&A, lập luận rằng luật sư nguyên đơn đã đưa nội dung từ những vụ kiện không liên quan vào hồ sơ và cho rằng chúng không phù hợp với vụ việc này. K&A viện dẫn một phán quyết của tòa năm 2012, lập luận rằng việc ngân hàng không xử lý cảnh báo gian lận mà mình đã nắm được có thể ảnh hưởng đến đánh giá về tính hợp lý của quy trình bảo mật.
Hướng dẫn của cơ quan liên bang lưu ý việc xác minh số điện thoại
Hội đồng Kiểm tra các Tổ chức Tài chính Liên bang (FFIEC) trong hướng dẫn ban hành năm 2021 đã cảnh báo ngân hàng về nguy cơ bộ phận chăm sóc khách hàng và hỗ trợ công nghệ thông tin bị lợi dụng bằng kỹ thuật thao túng tâm lý. Các biện pháp được đề cập gồm gửi mã dùng một lần đến thiết bị liên lạc đã đăng ký trước, gọi lại số điện thoại khách hàng đã đăng ký, đánh dấu số gọi đến không nhận diện được và thiết lập quy trình riêng khi có thay đổi số điện thoại hoặc nhà mạng.
Trong vụ Rabideau Klein, ngân hàng thực sự gửi mã xác minh đến số điện thoại đã đăng ký của hãng luật. Tuy nhiên, trước đó kẻ tấn công đã thuyết phục nhà cung cấp dịch vụ chuyển hướng số này sang thiết bị do mình kiểm soát. Vụ việc cho thấy gửi mã đến số đã đăng ký chưa chắc xác nhận được người thực tế nhận mã vẫn là khách hàng.
Jim Mortensen, cố vấn chiến lược phụ trách mảng gian lận và chống rửa tiền tại Datos Insights, cho rằng các câu hỏi dựa trên thông tin như cách viết tên hoặc bốn số cuối của số An sinh xã hội không còn đáp ứng các thông lệ tốt nhất hiện nay. Với yêu cầu cấp lại mã bảo mật cho khách hàng doanh nghiệp, ông khuyến nghị ngân hàng gọi lại số đã đăng ký và yêu cầu một quản trị viên thứ hai của khách hàng xác nhận.
Mortensen nhận định các cuộc tấn công thao túng tâm lý dễ thành công hơn khi việc phê duyệt đặt lại mã chủ yếu dựa vào phán đoán của nhân viên dịch vụ khách hàng thay vì quy trình xác minh danh tính do hệ thống thực hiện. Tranh chấp trong hai vụ kiện sẽ phụ thuộc vào cách tòa đánh giá biện pháp xác minh First Horizon đã áp dụng, thiết lập bảo mật của khách hàng và mức độ ngân hàng nắm được các dấu hiệu về thủ đoạn gian lận lặp lại.