Group-IB: gian lận khoảng 2 triệu USD nhắm vào cổng thanh toán công tại GCC

Điều gì đã xảy ra

Group-IB, công ty chuyên về an ninh mạng, đã phát hiện một chiến dịch gian lận trị giá khoảng 2 triệu USD khai thác các cổng thanh toán của chính phủ tại khu vực GCC. Theo FF News, vụ việc cho thấy một bề mặt tấn công mới trong các dịch vụ số của khu vực công.

Thông tin hiện có chủ yếu dừng ở phần tóm tắt. Các chi tiết về phương thức khai thác, số lượng cổng bị ảnh hưởng và các cơ quan liên quan chưa được công bố trong nguồn tin, nên quy mô đầy đủ của chiến dịch vẫn chưa thể xác định.

Vì sao điều này quan trọng

Cổng thanh toán công là điểm tiếp xúc trực tiếp giữa người dân, doanh nghiệp và cơ quan nhà nước. Khi các dịch vụ này được số hóa, mỗi giao dịch trực tuyến cũng trở thành một điểm có thể bị lợi dụng. Với các lãnh đạo đang triển khai chuyển đổi số trong khu vực công, đây là lời nhắc rằng bảo mật cần được thiết kế song hành với trải nghiệm, thay vì được bổ sung sau khi hệ thống đã vận hành.

Điểm đáng lưu ý là một cổng thanh toán được thiết kế để giảm ma sát cho người dùng cũng có thể trở thành nơi kẻ xấu lợi dụng sự tin cậy đó. Điều này đặt ra yêu cầu cân bằng giữa tốc độ, tính tiện lợi và khả năng nhận diện những giao dịch bất thường.

Góc nhìn của Renascence

Phần lớn người đọc sẽ tập trung vào con số 2 triệu USD. Tuy nhiên, điều đáng chú ý hơn là vị trí của cổng thanh toán: đó là nơi người dùng ít có lý do nghi ngờ nhất, vì họ đang làm đúng việc mà một công dân cần làm.

Kẻ gian không nhất thiết phải phá vỡ hệ thống; chúng chỉ cần khai thác niềm tin mà quy trình thanh toán đã tạo ra. Các nhà vận hành dịch vụ công nên xem mỗi bước thanh toán như một hành trình hành vi, và xác định rõ nơi người dùng bị dồn ép, nơi họ dễ bỏ qua cảnh báo, và nơi một yêu cầu bất thường trông giống hệt một yêu cầu bình thường. Việc kiểm thử các điểm này bằng hành vi thực tế của người dùng sẽ hữu ích hơn nhiều so với việc chỉ thêm các lớp xác thực. Mục tiêu là giúp người dân nhận ra điều bất thường mà không khiến họ mệt mỏi vì những cảnh báo thiếu ý nghĩa.