(CATP) Tháng 5/2011, một cảnh báo nội bộ được gửi đi từ trụ sở của GIE Cartes Bancaires - đơn vị vận hành hệ thống thẻ nội địa của các ngân hàng Pháp. Nội dung cảnh báo nghe có vẻ đơn giản, khoảng một chục thẻ EMV từng bị đánh cắp tại Pháp vài tháng trước đó, giờ đang được dùng để giao dịch bên kia biên giới (Bỉ). Cuộc điều tra mở ra đã dẫn tới vụ làm giả thẻ thông minh tinh vi nhất từng được ghi nhận.
Hai con chíp trên một thẻ
Vì các giao dịch gian lận đều diễn ra tại những địa điểm và thời điểm xác định, Cảnh sát Pháp đã dùng một phương pháp đơn giản nhưng hiệu quả. Họ thống kê dữ liệu "giao nhau" về số nhận dạng thuê bao di động quốc tế (IMSI) của các SIM điện thoại xuất hiện gần hiện trường tại đúng những thời điểm giao dịch xảy ra. Cách xác định phép giao dữ liệu này nhanh chóng thu hẹp danh sách nghi phạm xuống còn vài SIM cụ thể, từ đó lần ra danh tính những kẻ đứng sau đường dây.
Quá trình điều tra trong 2 năm 2011 và 2012 dẫn đến việc bắt 5 công dân Pháp. Trước khi bị phát hiện, nhóm này đã thực hiện trót lọt khoảng 7.000 giao dịch gian lận, chiếm đoạt tổng cộng khoảng 600.000 euro, tương đương gần 680.000USD theo tỷ giá thời điểm đó. Số tiền không phải là điều khiến vụ án này được nhắc lại nhiều năm sau trong giới nghiên cứu bảo mật thẻ. Điều khiến đặc biệt là nằm ở chính những tấm thẻ giả mà cảnh sát thu giữ được.
Khi các chuyên gia kỹ thuật hình sự bắt đầu xem xét khoảng 40 tấm thẻ giả bị tịch thu, họ phát hiện một cấu trúc chưa từng thấy trong thực tế. Mỗi tấm thẻ giấu bên trong không phải một, mà là 2 con chíp được nối với nhau theo kiểu đầu - đuôi. Con chíp thứ nhất được cắt lấy nguyên vẹn từ một tấm thẻ thật đã bị đánh cắp trước đó. Con chíp thứ hai đóng vai trò một thiết bị trung gian, giao tiếp trực tiếp với máy đọc thẻ tại điểm bán hàng (POS). Toàn bộ cụm 2 chíp này được nhúng vào thân nhựa của một tấm thẻ bị đánh cắp khác, để bên ngoài trông không khác gì một chiếc thẻ ngân hàng bình thường.
Một con chíp từ thẻ tín dụng bị đánh cắp được kẹp cùng với một con chíp khác vào thân của một thẻ giả
Để xác định được cấu trúc phức tạp này mà không phá hủy bằng chứng, nhóm nghiên cứu gồm Houda Ferradi, Rémi Géraud, David Naccache (Khoa khoa học máy tính, École Normale Supérieure, Paris) và Assia Tria (Centre Microélectronique de Provence) đã phải dựa vào chụp X-quang cấu trúc chíp, phân tích kênh biên (side-channel), phân tích giao thức truyền dữ liệu, cùng soi quang học dưới kính hiển vi. Ảnh X-quang mà nhóm công bố sau đó cho thấy rõ con chíp bị đánh cắp - hiển thị màu xanh lá trong ảnh chụp - cùng các vệt keo dán tại nơi module chíp giả được lắp ghép vào thân thẻ.
Câu hỏi lớn nhất mà nhóm nghiên cứu phải trả lời là cụm 2 chíp ấy dùng để làm gì? Câu trả lời nằm ở đúng khâu được xem là an toàn nhất của một giao dịch chíp - và - PIN: bước xác thực mã PIN.
Trong một giao dịch bình thường, khi khách hàng cắm thẻ và nhập mã PIN, máy POS sẽ hỏi ngược lại chính con chíp trên thẻ xem mã vừa nhập có đúng hay không. Với tấm thẻ giả trong vụ án này, con chíp đóng vai trò trung gian sẽ chặn đúng câu hỏi ấy, rồi tự trả lời "đúng" cho máy POS - bất kể mã PIN mà kẻ gian nhập vào là gì. Nhà nghiên cứu Rémi Géraud mô tả đây chính là cốt lõi của toàn bộ cuộc tấn công.
Trong khi con chíp trung gian đang "nói dối" máy POS thì con chíp thật - vốn được cắt từ thẻ bị đánh cắp - vẫn đảm nhiệm 2 giai đoạn còn lại của giao thức EMV, khiến toàn bộ giao dịch trông hoàn toàn hợp lệ dưới góc nhìn của ngân hàng phát hành. Do đó, tiền vẫn được thanh toán dựa theo thông tin tài khoản ngân hàng của con chíp thật. Nói cách khác, kẻ gian không cần biết mã PIN thật của chủ thẻ. Chúng chỉ cần một tấm thẻ bị đánh cắp còn nguyên chíp, gắn thêm một con chíp giả đóng vai kẻ nói dối là có thể gõ bất kỳ dãy số nào vào bàn phím POS và vẫn được chấp nhận như một giao dịch thật.
Điều khiến vụ án ở Pháp trở nên đáng chú ý hơn nữa là nguồn gốc của kỹ thuật tấn công. Năm 2010, một nhóm nghiên cứu tại Đại học Cambridge gồm: Steven J.Murdoch, Saar Drimer, Ross Anderson và Mike Bond công bố một bài báo mang tên "Chíp and PIN is Broken", mô tả về mặt lý thuyết chính kiểu tấn công trung gian (man-in-the-middle), minh họa bằng một bo mạch FPGA đa năng. Nhóm nghiên cứu khi đó đã cảnh báo rằng việc thu nhỏ thiết bị tấn công xuống kích thước có thể giấu trong một tấm thẻ chỉ còn là một thách thức về mặt cơ khí, hoàn toàn nằm trong tầm với của các băng nhóm tội phạm có tổ chức.
Từ trái sang: chíp EMV của thẻ giả; thẻ giả bị cảnh sát thu giữ; ảnh chụp X-quang của thẻ giả
Phản ứng của ngành ngân hàng Pháp
Đúng một năm sau, lời cảnh báo ấy trở thành hiện thực với khoảng 40 vụ làm giả thẻ tinh vi xuất hiện trong năm 2011. Theo phân tích của nhóm nghiên cứu Pháp, các tấm thẻ giả bị tịch thu trong vụ án cho thấy dấu hiệu rõ ràng rằng thủ phạm đã tiếp cận và áp dụng gần như nguyên vẹn kỹ thuật được mô tả trong bài báo khoa học nói trên, chỉ khác là thu nhỏ nó xuống đủ để nhét vừa vào thân một tấm thẻ nhựa. Giáo sư an ninh mạng Alan Woodward (Đại học Surrey) khi bình luận về vụ việc từng lưu ý rằng dù giao thức EMV đã được vá lỗi sau vụ này, kinh nghiệm cho thấy hễ có một kiểu tấn công bị chặn, kiểu khác sẽ xuất hiện thay thế.
Sau khi hoàn tất phân tích pháp y các tấm thẻ giả, GIE Cartes Bancaires đã bổ sung một chế độ xác thực dữ liệu mới mang tên Combined Data Authentication (CDA) để kiểm tra giao dịch chặt chẽ hơn, cùng các biện pháp phòng ngừa ở cấp độ mạng lưới thanh toán nhằm chặn những vụ làm giả tương tự trong tương lai. Nhóm nghiên cứu Pháp cũng cho biết thêm 4 biện pháp đối phó khác - đều có thể triển khai qua cập nhật phần mềm - đã được phát triển và thử nghiệm, nhưng chưa từng được đưa vào sử dụng thực tế, được giữ lại cho nhu cầu kiểm soát gian lận trong tương lai nếu cần thiết.
Bài học mà nhóm nghiên cứu Pháp rút ra và cũng là kết luận chung của giới bảo mật thẻ sau vụ án này: để chíp EMV thực sự an toàn, cần phải tồn tại một kênh mã hóa không thể bị thay đổi giữa thẻ và máy đọc thẻ. Nhưng chính những cuộc tấn công trung gian như của nhóm tội phạm Pháp lại là dạng tấn công khó phát hiện nhất, bởi nạn nhân và cả hệ thống ngân hàng đều tin rằng kênh giao tiếp ấy vẫn nguyên vẹn, trong khi trên thực tế nó đã bị chèn vào giữa một kẻ nói dối im lặng.
Ba thủ đoạn từ bóc tách chíp tại các điểm giao dịch ở Việt Nam, chặn thẻ giữa đường bưu điện tại Mỹ và vụ án 2 chíp chấn động ngành ngân hàng Pháp đều có cùng một nguyên lý: Một con chíp vật lý, dù được mã hóa chặt chẽ đến đâu vẫn có thể bị lấy ra khỏi thẻ và đặt vào một nơi khác. Khác biệt giữa các vụ việc chỉ nằm ở mức độ tinh vi, từ việc đơn giản là cấy nguyên con chíp thật sang một phôi thẻ khác, cho đến việc chế tạo hẳn một thiết bị trung gian đủ nhỏ để đánh lừa cả bước xác thực được xem là an toàn nhất của toàn bộ hệ thống.
Để kịp thời phòng ngừa, ngăn chặn các hành vi vi phạm pháp luật phát sinh từ các phương thức, thủ đoạn nêu trên và bảo đảm quyền lợi của khách hàng trong quá trình phát hành, sử dụng thẻ, Ngân hàng Nhà nước yêu cầu các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài và các tổ chức cung ứng dịch vụ trung gian thanh toán rà soát việc các tổ chức nước ngoài cung ứng dịch vụ thanh toán, dịch vụ trung gian thanh toán cho khách hàng là người không cư trú và người nước ngoài cư trú tại Việt Nam, bảo đảm việc thực hiện đúng quy định tại khoản 3 Điều 5 Nghị định số 52/2024/NĐ-CP về thanh toán không dùng tiền mặt. Đồng thời, các đơn vị được yêu cầu tăng cường truyền thông, cảnh báo khách hàng về thủ đoạn bóc tách, đánh tráo chip trên thẻ để nâng cao cảnh giác và có biện pháp sử dụng thẻ an toàn; nghiên cứu các giải pháp kỹ thuật nhằm ngăn ngừa việc bóc tách chip khỏi phôi thẻ vật lý.
Về phía khách hàng, cần nhận biết những dấu hiệu thẻ bị tráo chip như: thẻ vẫn có thể thực hiện giao dịch bằng phương thức cắm thẻ tại POS, nhưng chức năng thanh toán không tiếp xúc (Contactless/chạm) không hoạt động; chip trên thẻ có dấu hiệu bong tróc, dán đè, trầy xước hay bị lệch vị trí so với thiết kế ban đầu; hoặc thông qua kiểm tra biến động giao dịch trên ứng dụng ngân hàng thì thấy xuất hiện giao dịch bất thường. Ngoài ra, cần bảo mật thông tin thẻ (nên che mã CVC/CVV trên thẻ ngân hàng để tránh bị kẻ gian đánh cắp thông tin thanh toán trực tuyến), bảo mật các thông tin cá nhân, đặc biệt là mã OTP/Smart OTP; không cung cấp thông tin bảo mật cá nhân, tên truy cập, mật khẩu, mã OTP/Smart OTP, thông tin thẻ/tài khoản cho bất kỳ ai, kể cả người tự xưng là nhân viên ngân hàng; trực tiếp giám sát quá trình nhân viên quẹt thẻ qua máy POS; kiểm tra bề mặt thẻ xem con chip trên thẻ có dấu hiệu bị trầy xước, bong tróc hoặc dán lệch hay không; ưu tiên các phương thức thanh toán không tiếp xúc (contactless) và sử dụng ví điện tử khi giao dịch; chủ động khóa thẻ trên ứng dụng ngân hàng hoặc gọi số hotline ngân hàng nơi mở thẻ để báo khóa thẻ khi phát hiện dấu hiệu bất thường trên thẻ hoặc phát sinh giao dịch nghi ngờ không do mình thực hiện...
(CATP) Cuối tháng 7/2026, Ngân hàng Nhà nước Việt Nam ban hành Công văn số 6608/NHNN-TT, cảnh báo thủ đoạn bóc tách, đánh tráo chip (chip swapping) trên thẻ ngân hàng để chiếm đoạt tiền. Với nhiều người, đây là lần đầu họ nghe đến thông tin một con chíp có thể bị "mổ" ra khỏi tấm thẻ. Nhưng đây chỉ là chương mới nhất trong một cuộc rượt đuổi đã kéo dài gần 3 thập niên giữa ngành ngân hàng và tội phạm thẻ - một hành trình đi từ dải từ đến con chíp…