OTP驗證可有漏洞?

銀行賬戶的存款“不翼而飛”,而客戶肯定沒有登入任何陌生的鏈結網頁,也沒有向其他人提供賬戶資訊,但銀行卻通知交易符合規定的情況令多人焦慮不安。

  銀行賬戶持有人在手機上下載應用程式、 軟件時要謹慎。

  銀行賬戶持有人在手機上下載應用程式、 軟件時要謹慎。

間諜軟件盜取資訊

家住守德郡,透過Digibank應用程式被盜取在越南外貿商業股份銀行(Vietcombank)銀行賬戶中4億零600萬元的陳越論告知,在媒體報導這一事件後,銀行對他沒有登入賬戶及沒有轉賬這筆款項的事宜未有任何回覆。他說:“在向客戶答覆信中,Vietcombank 銀行只通知服務單位以短信給我發送一次性密碼(OTP),而沒有提供可證明的資訊,而我已說過我沒有收到任何關於OTP碼的短信。真的太累!我將報警及已委託律師代為處理。”

OTP是一次性密碼,僅在一定的短時間存在,通常在60秒後將不再有效,獲視為最有效的賬戶安全保護措施。因此,OTP碼也可能被盜取一事令用戶焦慮不安。越南Whitehat(白帽)駭客論壇分析說,漏洞在於以手機短信發送OTP 碼(SMS OTP)的方式中技術缺陷。歹  徒已利用該漏洞以實施網路釣魚(Phishing)攻擊,而受害者一無所知。Whitehat指出兩種情況。第一,歹徒誘騙受害者在某冒充銀行、匯款服務等網站輸入OTP碼,以佔用該密碼,從而建立假冒轉賬交易。第二,歹徒誘騙受害者在手機上安裝間諜軟件,以掌握所有資訊,包括含有OTP 碼的短信和用於登入Mobile Banking應用程式的資訊。

關於OTP驗證方式的保密弱點,Bkav 技術集團最近發出有關VN84App間諜軟件的警報。該軟件竊取越南用戶的數據,尤其是集中竊取SMS OTP碼。按統計數據,僅在短時間內,越南約有300多名受害者。VN84App間諜軟件通過假冒各職能機關網站散發。當用戶登入這些網站,將把在.apk檔案形式下的VN84App應用軟件下載到手機。當時,VN84App將暗中收集短信、電話號碼、IMEI資料等,並將這些資訊發送到駭客的控制主機。經分析VN84App後,專家發現控制主機內有從手機收集到的短信是有關價值為數十億元的銀行交易。
許多惡意代碼

保密專家阮明德分析說,為了盜取銀行賬戶中的存款,騙子須盜取關於銀行賬戶的全部資訊,然後盜取OTP碼。對於上述客戶的場合,騙子在另一台設備上啟動銀行賬戶。當時,騙子需有OTP碼,才能安裝。OTP碼被盜的可能很多。例如,當OTP碼發送到,並在用戶的手機熒幕上顯示時,會有人窺視並立即輸入以啟動賬戶。或類似上述場合的通過引到Vietcombank 假冒網站的鏈接,導致用戶以為自己正在銀行的正式網站上交易,便輸入OTP碼,因此被駭客竊取,同時在其他設備上進行賬戶設置。或用戶的設備已被安裝惡意代碼,因此所有資訊、交易都被偷竊。

網絡安全培訓中心經理武杜勝對上述觀點表示贊同,並認為,該單位已見證許多客戶被盜取電子信箱、Zalo帳戶等的個人資訊,甚至在移動設備上的銀行賬戶也遭間諜軟件的攻擊。間諜軟件多種多樣,有的應用程式只集中盜取與財政交易有關的資訊,例如:銀行賬戶、手機銀行;也有的應用程式只專注記錄電話交換資訊等。一旦手機上被安裝間諜軟件,則所有透過手機進行的活動、交易的資訊,包括在轉賬交易中含有OTP碼的短信都被盜取。武杜勝經理說:“一旦設備不安全,則無論是採取銀行的任何交易安全措施,例如: SMS OTP、透過應用程式的OTP碼等,都可能被盜取,金錢損失的風險很高。”◆
保密專家阮明德認為,若SMS OTP方式存在“漏洞”,則已成為嚴重的問題,因為任何人都可能失去存款,但   此事故很罕見。但SMS OTP的不足之處  是不能使用於跨境服務。或存在從電信網絡被窺視的風險,但實際上並不容   易發生。現在,許多單位已轉向透過如Google Authenticator的應用程式進行 OTP驗證,因為此方式比較便利。

清 春

相關閱讀

最多點擊

(圖源:互聯網)

2021 辛丑年春節休假 7 天

〔本報消息〕政府辦事處昨(27)日剛向勞動與榮軍社會部發出文本通告,政府總理已同意該機關此前呈遞2021辛丑年春節休假方案的建議。

焦點新聞

阮文年同志當選本市市委書記

[本報消息]今(17)日晚上新聞發佈會發出通報,阮文年同志以百分百比例票數當選2020-2025年任期本市市委書記。

海外同胞暫時不要回國

〔本報消息〕旨在防控新冠肺炎疫情,不少國家及地區已採取各種強硬措施,以能監控疫情,其中有暫停出入境、不准予過境事宜。多家航空公司已停運、取消各航班。落實外交部的指導,越南各代表機關雖竭盡全力輔助在國外國際機場過境時受困的越南公民早日回國,但仍無法把一切問題全部解決。有鑒於此,外交部勸喻越南公民現階段暫不要回國。有必要時請聯繫越南駐外機構,瞭解商業包機問題。

黨中央書記處工作團視察安江省

〔本報消息〕由黨中央政治局委員、黨中央書記、中央民運部長張氏梅率領的黨中央書記處工作團,昨(23)日與安江省省委常務處舉行會議,以討論有關黨中央政治局對各級黨部大會,邁向黨“十三大”的2019年5月30日第35號《指示》落實結果。

確保防控疫情應急藥物供應

〔本報消息〕衛生部藥物管理局最近向各藥物進口、生產單位發出有關確保向1萬例新冠肺炎確診病例治療藥物供應事宜公文。此前,在診治病管理局的新冠肺炎疫情防控需求計劃中,制定了為1萬例確診病例的治療必需藥物目錄。

簡訊

2020年11月30日國內時政簡訊

*昨(29)日上午,胡志明共青團中央所屬越南年輕人才輔助基金與《前鋒報》配合,在市委會場推崇並向從承天-順化省至金甌省大學入學成績名列榜首的85名大學生頒授“2020年提攜榜首”助學金,每份助學金包括1000萬元和許多有價值禮物。此活動舉辦目的是推崇並向全國各所大學、學院的入學成績榜首和貧困優秀大學生頒授助學金。

殘疾人士可考取汽車駕照

〔本報消息〕市交通運輸廳駕照考核與簽發管理科長武仲仁表示,交通運輸部第12號《通知》(自6月1日開始生效)有關培訓和駕照簽發方面有許多新亮點。

2020年11月29日國內時政簡訊

*越南國際法協會昨(28)日上午在河內舉行2020-2025年任期第二屆大會。政府常務副總理張和平會上評價,在過去5年來,越南國際法協會為維護我國在東海主權以及其他問題做出貢獻,引起國內外輿論關注和支持我國的正義立場。

2020年11月28日國內時政簡訊

*越南國防部長吳春歷大將昨(27)日下午與印度國防部長拉吉納特‧辛格舉行視頻通話。據此,吳春歷大將祝賀印度當選2021-2022年任期聯合國安理會非常任理事國。