Ngân hàng cho phép MFA tùy chọn khiến tài khoản dễ bị chiếm đoạt
"The article describes a bank account takeover affecting an 84-year-old customer, where attackers likely reused breached credentials and exploited the absence of mandatory multi-factor authentication to access banking and Gmail accounts, then transferred funds and hid alerts with spam filters. The stolen money was later restored, but the piece argues that optional MFA, especially SMS/email OTPs instead of phishing-resistant passkeys, leaves financial accounts vulnerable and increases fraud risk."
Vụ việc cho thấy rủi ro khi MFA không bắt buộc và khi dùng OTP qua SMS/email: kẻ tấn công có thể tận dụng thông tin rò rỉ, vượt qua lớp xác thực và che giấu cảnh báo bằng bộ lọc email.
Tác động kinh doanh gồm nguy cơ gia tăng khiếu nại gian lận, chi phí xử lý điều tra và khả năng phải hoàn tiền cho khách hàng; đồng thời làm suy giảm niềm tin khi quy trình hỗ trợ kéo dài.
Bài viết mô tả một vụ chiếm đoạt tài khoản ngân hàng đối với một khách hàng 84 tuổi, trong đó kẻ tấn công nhiều khả năng tái sử dụng thông tin đăng nhập bị rò rỉ và lợi dụng việc MFA (đa yếu tố) không bắt buộc để truy cập vào tài khoản ngân hàng và Gmail. Sau khi phát hiện giao dịch bất thường, tổ chức tài chính đã tạm thời khóa tài khoản, nhưng vẫn có hàng nghìn USD bị chuyển đi từ tài khoản vãng lai và tiết kiệm.
Theo nội dung, kẻ tấn công nắm được hạn mức rút/chuyển theo ngày và dùng các thao tác rút tiền lẫn chuyển khoản sang một tài khoản lạ. Đồng thời, chúng xâm nhập Gmail và tạo bộ lọc spam để chuyển các thông báo từ ngân hàng và nhà cung cấp hưu trí vào thư mục rác, làm chậm việc nhận cảnh báo.
Bài viết nhấn mạnh rằng MFA qua SMS/email OTP thường dễ bị vượt qua hơn do có thể bị lợi dụng social engineering hoặc lừa người dùng cung cấp OTP qua trang giả mạo. Khuyến nghị kỹ thuật là ưu tiên passkey/phishing-resistant MFA (khóa mật mã trên thiết bị và xác thực bằng PIN, khóa bảo mật hoặc sinh trắc học), đồng thời triển khai bảo vệ đồng nhất cho cả kênh web và ứng dụng, thay vì chỉ áp dụng trong app di động.