Nhiều nhà đầu tư là khách hàng của VPS bị đăng nhập bất hợp pháp vào tài khoản chứng khoán - Ảnh: VPS
Vừa qua một số nhà đầu tư có tài khoản ở Chứng khoán VPS đã phản ánh đến Tuổi Trẻ việc bị chiếm quyền đăng nhập tài khoản trái phép. Lạ nữa là mới đây một số đối tượng mời mua lại bằng chứng cho thấy hệ thống chứng khoán VPS đã bị "hack".
Các nhà đầu tư bị kẻ gian sử dụng cùng một phương thức xâm nhập trái phép, bán danh mục hiện có để mua vào cổ phiếu "rác" (giá cao, thanh khoản kém hoặc bị hạn chế giao dịch...) gây thiệt hại từ vài trăm triệu lên đến cả tỉ đồng mỗi người.
Trao đổi với Tuổi Trẻ Online, bà Nguyễn Thanh Nga - phụ trách kiểm soát nội bộ Chứng khoán VPS - cho biết vụ việc đang được cơ quan công an điều tra.
Nhà đầu tư bức xúc, VPS khẳng định hệ thống "không bị thâm nhập"
* Nhiều nhà đầu tư phản ánh trước khi bị kẻ xấu xâm nhập tài khoản, VPS đã cảnh báo việc lộ mật khẩu và khuyến cáo đổi mật khẩu. Điều này khiến nhà đầu tư nghi ngờ có khả năng phía VPS đã nắm bắt được lỗ hổng bảo mật, nhưng vẫn không ngăn chặn được?
- Chúng tôi thường xuyên rà soát định kỳ, nếu phát hiện bất kỳ thông tin bất thường nào sẽ chủ động thông báo khách hàng.
Với các trường hợp này, ngay khi phát hiện thông tin của một số khách hàng tại VPS được đưa lên các trang web đen, công ty đã nhanh chóng thực hiện các biện pháp nhằm ngăn chặn những thiệt hại tiềm ẩn cho khách hàng. Trong đó có việc yêu cầu khách hàng thay đổi mật khẩu.
Tuy nhiên, sau đó một vài khách hàng có phản ánh rằng tài khoản của họ bị kẻ gian truy cập trái phép. Chúng tôi nhận định điều này có thể là do khách hàng sơ suất sử dụng lại mật khẩu cũ đã dùng trước đó (mà kẻ gian đã có thông tin).
Ngoài ra, cũng có thể có nguyên nhân khác là thiết bị mà khách hàng sử dụng để truy cập tài khoản chứng khoán đã bị chiếm quyền kiểm soát. Vì vậy kể cả khi khách hàng thay đổi mật khẩu thì kẻ gian vẫn có thể truy cập được vào tài khoản.
Chúng tôi khẳng định rằng hệ thống của VPS không bị thâm nhập, dẫn tới lộ lọt thông tin của khách hàng.
* Tuy nhiên một số nhà đầu tư lại cung cấp việc mình bị một số đối tượng mời mua lại thông tin, bằng chứng cho thấy VPS đã bị "hack", gây lộ thông tin cá nhân của khách hàng, phía công ty có nắm được vấn đề này?
- Những thông tin mà phóng viên cung cấp chúng tôi đã nắm rõ và là một phần của những thông tin/bằng chứng mà chúng tôi cung cấp cho cơ quan công an trong quá trình điều tra vụ việc.
VPS có "coi nhẹ" nâng cấp công nghệ?
* Gần 3 tháng sau khi xảy ra sự việc, các khách hàng bị hại cho rằng họ rất mệt mỏi và bức xúc trước cách giải quyết chưa thỏa đáng của công ty. VPS cho biết quan điểm bảo vệ quyền lợi của khách hàng là như thế nào?
- Chúng tôi hiểu được khách hàng mong muốn sự việc được giải quyết nhanh nhất. Tuy nhiên do sự việc vẫn đang trong quá trình điều tra, VPS rất mong khách hàng kiên nhẫn, tiếp tục phối hợp chặt chẽ với VPS và cơ quan công an trong quá trình điều tra.
Về phía cơ quan điều tra cũng luôn sẵn sàng tiếp nhận thông tin của những khách hàng bị ảnh hưởng bởi vụ việc nói trên.
Chúng tôi khẳng định và cam kết sẽ thực hiện đầy đủ trách nhiệm liên quan đối với khách hàng theo quy định của pháp luật, sau khi có kết luận chính thức từ cơ quan có thẩm quyền về vụ việc.
Tôi cũng chia sẻ thêm, VPS đang rất tích cực hợp tác với cơ quan điều tra, vì thế chúng tôi rất mong các cơ quan báo chí cẩn trọng trong quá trình phản ánh vụ việc này khi chưa có kết luận chính thức từ cơ quan điều tra.
* Có thông tin cho rằng trước khi xảy ra vụ việc của các nhà đầu tư nêu trên, hệ thống của VPS không sử dụng OTP bảo mật hai lớp ở nhiều khâu. Sau đó khi xảy ra vụ việc hồi tháng 6, công ty mới kích hoạt hệ thống bảo mật hai lớp?
- Chúng tôi tin rằng chúng tôi là một trong những công ty chứng khoán đi đầu trong việc đầu tư nâng cấp hệ thống công nghệ trong những năm gần đây. Việc này cũng vẫn sẽ được chúng tôi theo đuổi trong những năm tới.
Việc một số thông tin trên các diễn đàn cho rằng trước khi xảy ra vụ việc của các nhà đầu tư nêu trên, hệ thống của VPS không sử dụng OTP bảo mật hai lớp ở nhiều khâu, sau đó khi xảy ra vụ việc hồi tháng 6, công ty mới nâng cấp, kích hoạt hệ thống bảo mật hai lớp là không chính xác.
Việc kích hoạt thêm một lớp bảo mật như hàm ý ở trên chỉ nhằm nâng cao thêm một mức độ bảo mật nữa của việc đăng nhập tài khoản…
Cần tìm ra những truy cập bất thường
Việc có nhà đầu tư là khách hàng Chứng khoán VPS phản ánh tài khoản chứng khoán bị đăng nhập bất hợp pháp khiến nhiều người đã bỏ tiền vào chứng khoán lo lắng.
Trao đổi với Tuổi Trẻ, một chuyên gia bảo mật (đề nghị không nêu tên) nhận định việc người dùng cho biết đã đổi mật khẩu nhưng hacker vẫn đăng nhập được thành công tài khoản sẽ có hai khả năng. Thứ nhất, thiết bị của khách hàng bị kiểm soát nên khi đổi mật khẩu hacker cũng có mật khẩu mới luôn. Khả năng thứ hai là thời điểm đổi mật khẩu hacker có thể vẫn nằm vùng trong hệ thống máy chủ nên hacker lại tiếp tục có mật khẩu mới của khách hàng.
Theo chuyên gia, trường hợp điện thoại của khách hàng bị kiểm soát thì có thể kiểm tra xem có phần mềm nào lạ, đòi quyền cao như quyền trợ năng, từ đó loại bỏ ra khỏi điện thoại. Nhưng nếu trường hợp máy chủ của hệ thống bị kiểm soát thì ngoài khả năng phòng vệ của khách hàng. Trường hợp này tổ chức tài chính cần thực hiện rà soát toàn bộ log (nhật ký) truy cập của hệ thống để tìm ra những truy cập bất thường, từ đó tìm ra lỗ hổng trên hệ thống và "bịt" lại.
Đức Thiện
Vì sao phải cấm công ty chứng khoán đặt lệnh tự động bằng robot tần suất lớn?Qua giám sát, Ủy ban Chứng khoán nhà nước thấy có hiện tượng sử dụng công nghệ robot để đặt lệnh giáo dịch chứng khoán trực tuyến tự động với tần suất lớn. Trong khi đó, hạ tầng hiện tại chưa đáp ứng được.