Tài liệu của tòa án cho thấy các tin tặc đã đột nhập vào mạng ATM của ngân hàng Citibank ở các cửa hàng 7-Eleven (Mỹ) trong năm nay. Đồng thời, nó cũng tiết lộ một lỗ hổng an ninh đang xáo rộn trong phần nhạy cảm nhất của sổ sách ngân hàng.

Theo hãng tin Mỹ AP, vụ xâm nhập này được cho là đánh cắp nhân dạng giá trị hàng triệu đô la. Song quan trọng hơn đối với khách hàng là nó cho thấy những kẻ phạm tội có thể truy cập mã PIN – mật khẩu bằng các chữ số mà trên lý thuyết đó là trong số những thành phần được bảo đảm gần nhất của các giao dịch ngân hàng – bằng việc tấn công từ phía sau các máy tính chịu trách nhiệm về chấp thuận rút tiền mặt.

Vụ án ở tòa án quận Nam New York (Mỹ) dấy lên một vấn đề nghiêm trọng.

Các tin tặc đang nhắm vào hạ tầng cơ sở hệ thống thẻ rút tiền tự động ATM đang được tăng cường xây dựng trên hệ điều hành Windows của Microsoft và cho phép các cỗ máy rút tiền được chẩn đoán và sửa chữa từ xa qua Internet. Và mặc dù các tiêu chuẩn ngành có yêu cầu bảo vệ mã PIN với việc mã hóa mạnh – điều đó có nghĩa phải mã hóa PIN để che đậy với người ngoài – một số nhà điều hành ATM rõ ràng không làm một cách thích đáng. Mã PIN dường như đang bị rò rỉ trong khi chuyển ngang qua giữa các cỗ máy rút tiền tự động ở bên ngoài và các máy tính xử lý các giao dịch.

"Mã PIN giả sử là không (thể) được xâm phạm – điều này cho thấy rằng PIN không luôn luôn được mã hóa như lẽ ra phải làm như vậy”, AP trích dẫn lời chuyên gia bảo mật Avivah Litan tại công ty nghiên cứu thị trường Gartner. “Các ngân hàng cần các hệ thống đề phòng gian lận và xác thực tốt hơn rất nhiều”.

Vẫn không rõ bao nhiêu khách hàng của Citibank bị ảnh hưởng bởi vụ rò rỉ kéo dài từ ít nhất tháng 11/2007 đến tháng 3/2008. Ngân hàng này có gần 5.700 máy ATM thương hiệu Citbank trong các cửa hàng 7-Eleven khắp nước Mỹ nhưng không sở hữu hoặc vận hành bất kỳ máy ATM nào trong số đó.

Trách nhiệm của vụ việc này đổ lên hai công ty: Cardtronics có trụ sở ở Houston (Sở hữu tất cả máy ATM nhưng chỉ vận hành một số) và Brookfield vận hành một số máy ATM khác.

Vấn đề nghiêm trọng trong cuộc điều tra là làm thế nào các tin tặc đột nhập được vào hệ thống, một câu hỏi mà cho đến nay vẫn không được trả lời công khai.

Tất cả những gì được biết là họ đã đột nhập vào mạng ATM qua một máy chủ ở một bộ xử lý của bên thứ ba – có nghĩa có thể họ không phải chạm vào máy ATM chút vào để trộm tiền.

Tin tặc có thể đã giành được quyền truy cập quản trị đối với các cỗ máy này – có nghĩa đã giành được toàn quyền hành động chộp lấy thông tin – thông qua một lỗ hổng trong mạng lưới hoặc bằng các tìm ra mật khẩu của những máy tính này. Hoặc có khả năng tin tặc đã cài đặt một mẩu phần mềm mã độc trong một chiếc máy chủ của ngân hàng để giành mã PIN không được mã hóa khi chúng ngang qua.

Điều đó với khách hàng có nghĩa là mã PIN của họ bị đánh cắp từ các cỗ máy mà không có dấu hiệu nào cho thấy chúng giả mạo. Trong những vụ đánh cắp mã PIN trước đây, các tên trộm nói chung đã tiến hành những bước có thể thu hút sự chú ý – gửi các bức thư điện tử “nhử” mồi chẳng hạn, hoặc cài đặt các camera nhỏ xíu ở các máy ATM.

Giành được mã PIN là một bước cơ bản đối với đánh cắp nhận dạng. Nó để những kẻ phạm tội mã hóa thông tin tài khoản bị đánh cắp vào các thẻ ATM trống và rút hàng đống tiền mặt từ những tài khoản bị hại.

Don Jackson, Giám đốc mảng hiểm họa thông tin của công ty SecureWorks nói ông đã thấy báo động về tấn công từ phía sau máy tính đối với mạng ATM trong năm vừa qua.

Ngân hàng Citibank đã từ chối bình luận về kỹ thuật hoặc làm thế nào nhiều tài khoản của khách hàng bị hại. Họ nói đã thông báo ảnh hưởng đến khách hàng và phát hành thẻ ghi nợ mới cho khách hàng.

Cardtronics cho biết họ đang hợp tác với nhà chức trách để điều tra nhưng cũng từ chối bình luận.