Hàng nghìn chứng minh thư, căn cước công dân bị rao bán trên mạng, nghi vấn có liên quan đến Pi Network?

Khoảng 10.000 người bị rao bán thông tin cá nhân

Trong bài viết trên diễn đàn R*******, thành viên Ox1337xO khẳng định đang sở hữu lượng lớn dữ liệu KYC (Know Your Customer) - dữ liệu để xác minh thông tin người dùng gồm ảnh chụp chứng minh nhân dân, căn cước công dân (mặt trước, mặt sau), ảnh/video selfie, đi kèm địa chỉ, số điện thoại và email. Trong đó, riêng một tệp tin dung lượng 1,4 GB chứa thông tin của 3,6 nghìn người.

Lượng dữ liệu tương đương thông tin của 8.000 đến 10.000 người Việt. (Ảnh chụp màn hình)

Các dữ liệu này bao gồm 5 tập hợp file khác nhau. Tiêu đề của các file dữ liệu này bao gồm nhiều từ khóa nhạy cảm như “xac-minh-kyc”, “Idenfity_card_and_selfie_vietnam”. Chúng đều có ý nghĩa cho biết nội dung các tài liệu trong đó là những thông tin nhằm xác thực danh tính của một người dùng cụ thể. Lượng dữ liệu tương đương thông tin của 8.000 đến 10.000 người Việt

Để “show hàng”, người này đã chia sẻ một số ảnh chụp màn hình, trong đó bao gồm một số giấy tờ, sổ hộ khẩu của người Việt Nam và chấp nhận mua bán qua một bên trung gian nếu người mua nghi ngờ. Các dữ liệu trên được rao bán với giá 9.000 USD (207 triệu đồng) và thanh toán bằng tiền mã hóa Bitcoin hoặc Litecoin. Nếu không muốn thanh toán thông qua tiền ảo, người mua có thể trả tiền thông qua một người trung gian cũng là thành viên của diễn đàn. Trong một động thái mới đây, hacker còn cho biết "sẵn sàng bán các dữ liệu với mức giá chỉ 4,3 ngàn USD".

Theo các chuyên gia bảo mật, căn cước công dân (CCCD) là một trong những thông tin quan trọng của người dùng bởi trên đó có số thẻ, đặc điểm nhận dạng, ngày tháng năm sinh và địa chỉ. Nếu kẻ xấu có được những dữ liệu này, chúng có thể sử dụng để đăng ký tài khoản trực tuyến, tài khoản viễn thông, tài khoản vay vốn ở tổ chức tài chính có quy trình lỏng lẻo, khiến người dùng gặp nhiều rắc rối. Trong trường hợp này, người dùng không thể làm gì hơn để bảo vệ thông tin cá nhân. Trách nhiệm thuộc về các công ty nắm dữ liệu mà người dùng đã cung cấp.

Trước đó, các dữ liệu như số điện thoại, email, vị trí, được lấy từ Facebook người dùng Việt Nam cũng nhiều lần được chia sẻ công khai trên diễn đàn của hacker.

Thành viên "nickname" Ltianyi chia sẻ tệp tin có khoảng 1 triệu dòng, chứa các trường dữ liệu như tên tài khoản, vị trí, số điện thoại, email, mã định danh (UID), số lượng bạn bè. Không giống các tệp dữ liệu khác, vốn yêu cầu người xem trả phí để sở hữu, tệp dữ liệu của thành viên Ltianyi được chia sẻ miễn phí. Thử nghiệm với một số UID và số điện thoại trong tệp dữ liệu trên, các thông tin về email, vị trí, tài khoản, hầu hết trùng khớp. Các dữ liệu bị lộ được cập nhập mới nhất đến tháng 5/2019. Theo các chuyên gia, việc rò rỉ này có thể đến từ bên thứ ba, như các ứng dụng game, các trang mua sắm online, dịch vụ giải trí, diễn đàn... Bởi các tiện ích này thường cho phép người dùng đăng nhập bằng cách liên kết tài khoản Facebook.

Không lâu sau bài chia sẻ của Ltianyi, một thành viên khác trên Raidforum cũng cho biết đang nắm dữ liệu của 2 triệu người dùng Facebook Việt Nam.

Hồi tháng 3/2019, thông tin về quê quán, nơi làm việc, ngày sinh... được cho là của 41 triệu người dùng Facebook Việt Nam bị chia sẻ trên một diễn đàn trực tuyến. Đại diện Facebook khi đó cho biết "đó có thể là những thông tin có được từ trước khi Facebook thực hiện những thay đổi để bảo vệ thông tin của người dùng".

Raidforums từng nhiều lần chia sẻ các tài liệu nhạy cảm của nhiều công ty, dịch vụ trực tuyến như thông tin của hai triệu khách hàng từ một ngân hàng Việt Nam, 160 triệu tài khoản Zing ID, 31.000 giao dịch thẻ ngân hàng và hơn 5 triệu email được cho là của khách hàng Thế Giới Di Động...

Mới đây, người dùng Facebook trong nước lại gặp vấn nạn bị "tag" vào các bài viết có nội dung giật gân, gây sốc để dụ nhập mật khẩu và chiếm tài khoản Facebook.

Nghi vấn thủ phạm chính là Pi Network?

Những thông tin cá nhân bị rò rỉ trên được nhiều người cho rằng có liên quan đến Pi Network, ứng dụng "cày tiền ảo" trên điện thoại di động đã liên tục được cảnh báo thời gian qua.

Đây có thể là những dữ liệu từ quá trình KYC (Know Your Customer – Xác thực danh tính) của Pi Network. KYC là một thủ tục thông thường đối với các ứng dụng tài chính, khi mà các bên cung ứng dịch vụ sẽ yêu cầu người dùng cung cấp thông tin cá nhân nhằm xác định danh tính.

Hiện vẫn chưa thể khẳng định dữ liệu trên bị lộ bởi chính Pi Network, hay hacker đã lợi dụng một lỗ hổng nào đó của Pi Network và Yoti để đánh cắp dữ liệu. (Ảnh: Internet)

 

Với trường hợp của Pi Network, để tham gia đào Pi và chiếm quyền sở hữu các đồng Pi đào được, bên cạnh thông tin về tên, tuổi, ngày sinh, số điện thoại người dùng sẽ cần tải lên các file ảnh chụp chân dung hay chứng minh thư. Thay vì trực tiếp thực hiện công đoạn KYC, Pi Network đang hợp tác với một ứng dụng khác mang tên Yoti để xác thực danh tính người dùng.

Hiện vẫn chưa thể khẳng định dữ liệu trên bị lộ bởi chính Pi Network, hay hacker đã lợi dụng một lỗ hổng nào đó của Pi Network và Yoti để đánh cắp dữ liệu. Cũng không thể khẳng định chắc chắn rằng dữ liệu này đến từ Pi Network, bởi Pi Network và Yoti chưa cho chứng minh thư làm hình thức KYC, mà chỉ chấp nhận bằng lái xe hoặc hộ chiếu.

Bất chấp những cảnh báo liên tục , nhóm Pi Network vẫn đang hoạt động sôi nổi với hơn 120.000 thành viên người Việt. Nhiều người dùng còn hồ hởi chia sẻ việc KYC và thực hiện các khảo sát hàng ngày, vốn dĩ chính là dùng thông tin cá nhân của bản thân để đổi lấy tiền ảo.

Trong một diễn biến khác, một chuyên gia bảo mật nước ngoài đã cảnh báo ứng dụng Pi Network lưu trữ toàn bộ chi tiết danh bạ.

Trong điều khoản bảo mật đi kèm với ứng dụng iOS của mình, đội ngũ Pi Network có nhắc đến hành vi này. Cụ thể mục “Thông tin được tự động thu thập khi bạn sử dụng dịch vụ của chúng tôi” của điều khoản bảo mật, có đoạn: “Danh bạ trên thiết bị. Nếu bạn đang sử dụng ứng dụng di động của chúng tôi, chúng tôi có thể - với sự cho phép của bạn - thu thập thông tin từ danh bạ trên thiết bị của bạn”.

Quyền truy cập danh bạ trên ứng dụng Pi Network trên phiên bản iOS và cả Android nhằm phục vụ một tính năng quan trọng trong ứng dụng với tên gọi Security Circle. Tính năng này cho phép bạn mời người trong danh bạ vào “circle” của mình, với lợi ích cho người dùng là tăng tốc độ “đào” tiền điện tử Pi. Bạn cũng có thể biết được có ai trong danh bạ của mình đang sử dụng Pi Network nếu cho phép ứng dụng truy cập danh bạ.

Trên thực tế, việc cho phép truy cập danh bạ để tìm những người quen cùng sử dụng ứng dụng không phải mới mẻ. Nhưng theo vị chuyên gia, người ta có thể làm được điều này sử dụng một số tham chiếu gán với từng người dùng đã đăng ký, chứ không cần bộ thông tin đầy đủ với tất cả các trường như Pi Network đang làm.

Theo thông tin mới cập nhật, bài đăng bán số dữ liệu trên đã bị xoá khỏi diễn đàn với lý do không xác định. Tài khoản rao bán cũng bị khoá bởi Ban quản trị diễn đàn do có hành vi lừa đảo trong một giao dịch khác.