[Funland] Vụ 'bốc hơi' 5 tỷ trong tài khoản gửi tiết kiệm online

crYztaL nói:

Hiện tại bỏ SMS OTP cũng có những cái bất tiện. Trc tài khoản nào to nhà em chơi kiểu cài app 1 máy, sms otp ở máy khác ko internet. Có hack đc máy chính thì cũng chịu.

Nhấn vào đây để mở rộng...

jackycandy1412 nói:

Cụ thể, dữ liệu xác nhận từ nhà mạng Viettel cho thấy, tại thời điểm xảy ra sự việc, chỉ có duy nhất một tin nhắn SMS được gửi đến số điện thoại của ông vào lúc 01h19 ngày 13/12/2025. Trong khi đó, theo nguyên tắc bảo mật thông thường, mỗi giao dịch chuyển tiền đều phải đi kèm một mã OTP riêng biệt. Với 11 giao dịch, lẽ ra phải có 11 mã OTP tương ứng.

“Không có OTP thì không thể thực hiện giao dịch. Nhưng ở đây, tiền vẫn bị rút gần như không cần OTP nào được gửi đến tôi”, ông C.S. cho biết.

______
Nếu bank này vẫn để OTP là sms gửi về điện thoại (và có 1 sms về điện thoại thật) để rút tiền thì 10 lần sau sao ko có nhỉ
Vậy là chắc chắn chỗ này của bank có hổng phải ko cccm (ko chỉ từ mỗi thiết bị của người dùng nếu có)

Nhấn vào đây để mở rộng...

binhnq2 nói:

bậy quá cụ, h cho smart OTP rồi mà cụ
chỉ cần nó cấp OTP qua dthoai là dùng được smart OTP (ko cần OTP gửi qua sms nữa) nhưng ở VCB thì nó bắt dùng 2 giao dịch sms OTP thì smart OTP mới có hiệu lực! còn KLB thì ko biết

Nhấn vào đây để mở rộng...

jackycandy1412 nói:

em biết là tuỳ bank có smart otp hoặc sms otp, nhưng đang nói phạm vi KLB và vụ việc này mà
cụ tỉ là tại sao rút 11 lần lại chỉ có 1 lần có sms otp gửi về, những lần còn lại thì ko có ấy

Nhấn vào đây để mở rộng...

volts nói:

Gửi online xong có nhu cầu ra chi nhánh họ vẫn đóng dấu giấy xác nhận bản cứng cho mà

Nhấn vào đây để mở rộng...

trinhhunghb nói:

Em gửi online nhưng ra quầy lấy sổ giấy …và yêu cầu tất toán tại quầy cho yên tâm Cụ ạ

Nhấn vào đây để mở rộng...

crYztaL nói:

Hiện tại bỏ SMS OTP cũng có những cái bất tiện. Trc tài khoản nào to nhà em chơi kiểu cài app 1 máy, sms otp ở máy khác ko internet. Có hack đc máy chính thì cũng chịu.

Nhấn vào đây để mở rộng...

alongcamepolly nói:

Cháu oánh dấu hóng cụ thể, đọc thì thấy thông tin ko rõ ràng ngoài việc khổ chủ bị mất tiền ạ

Nhấn vào đây để mở rộng...

Lee Saker nói:

Ra phòng giao dịch làm cái sổ giấy là yên tâm nhất cụ ạ, không có sổ không tất toán được.

Nhấn vào đây để mở rộng...

volts nói:

Ơ khác gì đâu nhỉ, cụ chọn in sổ giấy và tất toán tại quầy thì có khác gì nhau nhỉ

Nhấn vào đây để mở rộng...

vingraux nói:

Nó cướp số đt của bác lun.0

Nhấn vào đây để mở rộng...

wildness nói:

Cách an toàn em nghĩ là ra quầy gửi, và không mở tài khoản tại ngân hàng đó. ra đấy ck rồi lấy sổ giấy về. như vậy không thể hack được.

Nhấn vào đây để mở rộng...

crYztaL nói:

Hiện tại bỏ SMS OTP cũng có những cái bất tiện. Trc tài khoản nào to nhà em chơi kiểu cài app 1 máy, sms otp ở máy khác ko internet. Có hack đc máy chính thì cũng chịu.

Nhấn vào đây để mở rộng...

wildness nói:

Cách an toàn em nghĩ là ra quầy gửi, và không mở tài khoản tại ngân hàng đó. ra đấy ck rồi lấy sổ giấy về. như vậy không thể hack được.

Nhấn vào đây để mở rộng...

1762249 nói:

Vẫn phải mở tài khoản ngân hàng đó cụ ơi. Nhưng mà ở trong app giờ cũng thông minh lắm, trong app sẽ hiện ra mục Tiết kiệm riêng. Ở trong mục này liệt kê những khoản nào cụ gửi, ko thể rút ra đc online, chỉ có thể ra quầy tất toán thì mới có thể làm thủ tục rút đc nên cũng khá là an toàn cụ ạ.

Nhấn vào đây để mở rộng...

muachieukyniem nói:

Ông này bị chiếm quyền điện thoại lâu rồi.
Cái sinh trắc học cũng chỉ hoạt động theo app thôi, có thể nó đã lưu những lần sinh trắc trước đó của ông ở ngân hàng khác.

Nhấn vào đây để mở rộng...

itnd nói:

Trường hợp này thì không phải hack, nếu hack thì sẽ rất nhiều tài khoản khác cùng ngân hàng này sẽ bị mất tiền. Nhưng về bảo mật thì rõ ràng ngân hàng này yếu kém, và có bug. Trường hợp 2 thiết bị cùng đăng ký và đặc biệt đăng ký rất gần nhau thì phải phát hiện được đây là hành vi bất thường, cần block ngay tài khoản, và đưa vào diện audit ngay. Khả năng sign của clientapp đã bị giả mạo, khả năng việc đăng ký này được thực hiện từ app giả mạo (nên các cụ đừng soi tên thiết bị là iphone làm gì, khi đã sign được client thì muốn gửi lên tên thiết bị là gì cũng được). Em đoán là ông chủ "mất tiền" không thể vô can. Nhưng bảo mật của ngân hàng này có vấn đề nghiêm trọng

Nhấn vào đây để mở rộng...