Tháng trước, tin tức về lỗ hổng bảo mật của thẻ thành viên Starbucks lan truyền. Lỗ hổng được phát hiện và khai thác bởi Egor Homakov, một hacker làm việc cho công ty kiểm tra xâm nhập, kiểm tra mã nguồn và đánh giá lỗ hổng Sakurity.
Lỗ hổng cho phép Egor nhân bản số dư trên thẻ quà tặng Starbucks, sau đó anh dùng được tại cửa hàng mà không bị nghi ngờ hay cảnh báo công ty.
Tin tức gây chấn động toàn cầu, không chỉ vì sự tồn tại của lỗ hổng mà còn vì phản ứng thiếu thân thiện của Starbucks — ông khổng lồ cà phê không cảm ơn hacker mà gọi hành động của anh là "gian lận" và "hành vi độc hại".
Mặc dù thất bại PR của Starbucks có vẻ hài hước, nhưng với tư cách người tiêu dùng, nó cũng đáng báo động.
Vấn đề phổ biến đến đâu?
Khi tội phạm tìm cách ngày càng tinh vi để đánh cắp dữ liệu và lay Hände trên bất kỳ thứ gì có giá trị, thẻ thành viên và thẻ quà tặng đang trở thành công cụ mới trong cuộc chiến liên tục này.
Cuối năm ngoái, American Airlines và United Airlines đều bị tấn công tương tự — hơn 10.000 hành khách thấy dặm bay bị đánh cắp. Tội phạm dùng dặm bay của nạn nhân để nâng cấp chuyến bay và đặt nghỉ miễn phí, và trong các trường hợp người dùng dùng chung mật khẩu cho nhiều trang web — truy cập thêm các dịch vụ khác.
Starbucks từng bị nhắm mục tiêu trước đây. Ngoài vụ "cà phê miễn phí" của Egor Homakov, tội phạm thường xuyên chiếm đoạt tài khoản thành viên, rút sạch số dư, sau đó dùng tính năng nạp tự động để đánh cắp thông tin thẻ ghi nợ và thẻ tín dụng liên kết.
Chuyên gia bảo mật Gartner Avivah Litan cho biết toàn bộ thủ đoạn này là một xu hướng mới. "Gian lận đang chuyển từ ngân hàng sang các công ty thương mại điện tử lớn," bà nói. "Tội phạm đang học cách biến chương trình thưởng, điểm và thẻ trả trước thành tiền mặt."
Tại sao chúng dễ bị tấn công?
Các công ty như Starbucks thường có hệ thống và biện pháp bảo mật dễ bị hack hơn so với ngân hàng, thẻ tín dụng và các tổ chức tài chính khác.
Litan lấy ví dụ phần mềm chống gian lận của ngân hàng và bán lẻ. Phần mềm này thường phát hiện mẫu mua lạ (như mua hàng giá trị lớn ở nước ngoài), nhưng nạp tự động thẻ quà tặng sẽ không kích hoạt cảnh báo nào.
Đối với tội phạm, đây là mỏ vàng tiềm năng. Hệ thống thanh toán di động của Starbucks có hơn 16 triệu người dùng và xử lý hơn 2 tỷ USD giao dịch di động chỉ trong năm ngoái.
Tại sao tội phạm muốn truy cập thẻ thưởng?
Dễ hiểu tại sao tội phạm nhắm đến thẻ có tính năng nạp tự động hoặc liên kết trực tiếp với thẻ ghi nợ/tín dụng. Như thẻ Starbucks, chúng dễ bị khai thác để trục lợi tài chính — nhưng điểm thưởng thì sao?
Tội phạm muốn truy cập thẻ thưởng chủ yếu vì thông tin khách hàng.
Thông tin khách hàng thực sự có giá trị cho tội phạm hơn cả thông tin thẻ tín dụng. Mặc dù doanh nghiệp bị hack luôn vội trấn an khách hàng "không có dữ liệu cá nhân bị đánh cắp", thực tế đây là sự an ủi sai lệch.
Nếu hacker có thông tin thẻ tín dụng, họ chỉ có thể mua sắm trực tuyến và bán lại cho tội phạm khác — đó là mức thiệt hại tối đa. Nhưng nếu hacker có tên, địa chỉ, ngày sinh và thông tin chính thức khác, họ có thể gian lận trực tuyến, xin thẻ tín dụng, vay mượn, hợp đồng điện thoại, thậm chí thế chấp atas tên bạn. Cuối cùng, họ có thể làm bất cứ việc nào cần xác thực danh tính.
Bạn có nên lo lắng?
Câu trả lời ngắn gọn là "có". Đó là lý do phản ứng nhạt nhòa của Starbucks với Egor Homakov đáng báo động. Họ nên quan tâm hơn và cảnh giác hơn trong bảo vệ khách hàng.
Tất nhiên, các mẹo bảo mật trực tuyến thông thường như dùng mật khẩu khác nhau, cẩn thận trên mạng công cộng, chạy phần mềm diệt virus đều áp dụng — nhưng chưa đủ bảo vệ bạn.
Việc kiểm soát thông tin cá nhân bị đánh cắp cực kỳ khó, và gần như không thể hạn chế thiệt hại nếu đã xảy ra. Con người không thể đổi tên, địa chỉ, số an sinh xã hội dễ dàng như hủy thẻ tín dụng.
Thẻ thành viên có đáng rủi ro?
Nếu cân nhắc rủi ro và lợi ích, có lập luận cho rằng bạn nên bỏ hết thẻ thành viên.
Chương trình thành viên rất giá trị cho công ty vận hành. Chúng tiết lộ thói quen mua sắm, giữ chân khách hàng, tạo người ủng hộ thương hiệu, giảm chi phí quảng cáo.
Tuy nhiên, ngày càng nhiều nghiên cứu cho thấy chúng không còn hấp dẫn với người tiêu dùng. Tại Costa Coffee (Anh), khách hàng phải mua 39 ly Americano để đủ 195 điểm đổi ly cà phê miễn phí — tức chi £76,05 (trên 100 USD) để tiết kiệm chỉ £1,95 (khoảng 3 USD).
Trung bình tiết kiệm 5 xu mỗi ly. Nếu bạn là người tiêu dùng khôn ngoan, việc thông minh nhất là xem có quán cà phê nào gần đó bán giá dưới £1,90 không.
Câu hỏi bạn cần tự hỏi: "Tất cả thông tin cá nhân, email, số thẻ tín dụng có đáng giá hơn 5 xu tiết kiệm?", và "Có đáng để rủi ro gia tăng tội phạm mạng và gian lận (và trao toàn bộ sở thích mua sắm cho doanh nghiệp) để đổi lấy lợi ích nhỏ như vậy?"
Câu trả lời nên là không.
BẠN CÓ SỬ DỤNG THẺ THÀNH VIÊN?
Trải nghiệm của bạn với thẻ thành viên như thế nào? Bạn từng mất tiền qua chúng? Hoặc bạn ở phía đối lập và thấy tiết kiệm lớn?
Chúng tôi rất muốn nghe ý kiến của bạn. Hãy để lại bình luận và phản hồi ở khung bên dưới.