Vì sao kẻ tấn công ngân hàng hiện đại không cần “phá két”

Series “Trò chuyện cùng Chuyên gia bảo mật VSEC” 

Mô hình “cướp ngân hàng” trong đầu chúng ta — khoan két, mặt nạ, chuông báo động — gần như không còn đúng. Trong các vụ thất thoát mà đội ngũ chúng tôi phân tích, tiền rời hệ thống qua một lần đăng nhập hợp lệ, một lệnh middleware tin cậy, hoặc một ứng dụng giả do chính khách hàng tự cài. Không hệ thống nào reo chuông cho những thao tác “trông hợp lệ” đó.

Đây là Series “Trò chuyện cùng Chuyên gia bảo mật VSEC”. Bằng việc đi qua 5 vector tấn công tài chính nổi bật, mỗi vector được đối chiếu với chiến dịch có thật mà chuyên gia VSEC đã theo dõi — không phải lý thuyết.

5 vector nào “bòn rút” tiền từ hệ thống tài chính?

  • Vector 01: SWIFT / hệ thống chuyển tiền liên ngân hàng (Critical) 

Cơ chế lấy tiền:

  • Bước 1: Chiếm domain admin
  • Bước 2: Thao túng terminal SWIFT
  • Bước 3: Tạo lệnh chuyển giả
  • Bước 4: Xóa dấu vết trên log/printer

Câu chuyện đã diễn ra cách đây 10 năm vào tháng 2/2016 từ Ngân hàng TW Bangladesh nhưng vẫn là một trong những vụ “cướp ngân hàng” không tiếng súng với trị giá lên đến 81 triệu USD tương đương với khoảng hơn 1.800 tỷ VNĐ, và nếu quy đổi ra mệnh giá USD ngày nay nó có thể lên đến hơn 110 triệu USD.

Tin tặc đã chuyển đi 35 lệnh gian lận thông qua hệ thống SWIFT, tương đương với khoảng ~951 triệu USD cố gắng chuyển, và 81 triệu USD được chuyển thành công (5/35 lệnh thành công).

Cũng tại Việt Nam (tháng 12 năm 2015), trong một chiến dịch tấn công lớn của nhóm tin tặc Lazarus cũng có những điểm tương đồng giống các mã độc đã tấn công Ngân hàng Bangladesh. Một ngân hàng tại VN từng chặn kịp lệnh giả >1 triệu EUR.

  • Vector 02: ATM Jackpotting / Black-box (High) 

Cơ chế lấy tiền: Malware (Ploutus) chiếm tầng XFS điều khiển phần cứng của máy ATM, phát lệnh rút trực tiếp tới dispenser (bộ phận nhả tiền) ở tốc độ >100 tờ/phút; hoặc “hộp đen” cắm thẳng vào dispenser bỏ qua xác thực.

  • Vector 03: BEC / Giả mạo lệnh chuyển khoản (High) 

Cơ chế lấy tiền: Tin tặc sử dụng hình thức Social engineering và chiếm email tài chính để đổi số tài khoản thụ hưởng.

Theo báo cáo từ FBI IC3, năm 2025 có tới 24.768 khiếu nại về hình thức tấn công này và có tới 3,05 tỷ USD thiệt hại (tăng từ 2,77 tỷ năm 2024).

  • Vector 04: Mã độc / Overlay Mobile Banking (High) 

Cơ chế lấy tiền: Trojan họ GoldDigger lạm dụng Accessibility Service của Android, nhắm 51 app tài chính tại VN, đánh cắp credential và mã 2FA.

Case study: GoldFactory đợt mới giả mạo EVN qua Zalo, Xây dựng dựa trên chính ứng dụng ngân hàng gốc.

Vector 05: Tấn công chuỗi cung ứng & insider (Medium-High)

Cơ chế lấy tiền: Thông qua nhà cung cấp/ đối tác hoặc người nội bộ => truy cập hệ thống core banking

Case study: Lợi dụng kênh phân phối bản cập nhật (chiến dịch Notepad++) hoặc lỗ hổng trong thư viện (CVE-2025-11953, React Native CLI) để chạm tới hệ thống nội bộ.

  • Cách tiếp cận của VSEC: 

Theo chuyên gia, điểm chung của cả 5 vector là kẻ tấn công hiếm khi “phá” thứ gì – chúng dùng credential hợp lệ, lệnh tin cậy, hoặc kênh mà tổ chức đang phụ thuộc.

Là tổ chức đầu tiên tại Việt Nam đạt chứng nhận CREST cho kiểm thử xâm nhập (Penetration testing) và SOC (Security Operations Center) từ năm 2022, VSEC kiểm thử đúng *đường đi* của kẻ tấn công qua từng vector và đo chuỗi “tiến sát” tiền đã thực hiện tới đâu thông qua các case study thực tế.

Đọc trọn series để hiểu từng con đường, hoặc bắt đầu ngay từ vector khiến bạn lo nhất. → Talk to our Pentest team