Singapore đứng thứ hai thế giới về thẻ thanh toán bị đánh cắp khi giao dịch trên dark web gia tăng

Mức độ phổ cập kỹ thuật số cao khiến Singapore phơi nhiễm nhiều hơn, chứ không phải yếu kém

Singapore đứng thứ hai thế giới về tỷ lệ thẻ thanh toán bị đánh cắp được rao bán trên các chợ dark web, sau Mỹ và trước Tây Ban Nha. Kết quả này dựa trên phân tích khoảng 50.700 hồ sơ thẻ thu thập vào tháng 5/2025 bởi một nền tảng theo dõi mức độ phơi nhiễm trước các mối đe dọa. Hơn 60% số thẻ bị đánh cắp trong mẫu thuộc về người dùng Mỹ, khoảng 11% thuộc về người dùng Singapore và khoảng 10% thuộc về người dùng Tây Ban Nha.

Các chuyên gia an ninh cảnh báo thứ hạng này phản ánh quy mô và mức độ số hóa, chứ không cho thấy hệ thống ngân hàng Singapore đặc biệt thiếu an toàn. Singapore có tỷ lệ thanh toán trực tuyến, sử dụng ví điện tử và thương mại điện tử xuyên biên giới thuộc hàng cao nhất châu Á. Dấu chân kỹ thuật số lớn hơn tạo thêm cơ hội cho tội phạm thu thập dữ liệu thẻ, ngay cả khi ngân hàng và đơn vị bán hàng duy trì các biện pháp kiểm soát chặt chẽ.

Giá bán trên các thị trường này đã tăng trong hai năm qua. New Zealand ghi nhận mức tăng mạnh nhất, hơn 444%, trong khi Argentina và Ba Lan cũng có mức tăng lớn. Dù giá cao hơn, dữ liệu thẻ bị đánh cắp vẫn có giá rẻ đối với tội phạm cấp thấp. Một thẻ thường chỉ có giá tương đương một vé xem phim. Mức giá trung bình toàn cầu vào khoảng 9 USD, nhưng chênh lệch đáng kể giữa các nước. Tại châu Á, thẻ Nhật Bản có giá trung bình cao nhất, khoảng 22,80 USD, tiếp theo là Kazakhstan với 16,87 USD và Thái Lan với 15,08 USD. Thẻ phát hành tại Singapore có giá trung bình khoảng 13,19 USD, tăng gần 29% so với năm 2023. Tại châu Âu, giá ở Tây Ban Nha, Pháp và Thụy Sĩ dao động quanh mức 11-12 USD.

Thị trường thẻ bị đánh cắp hoạt động ra sao

Dark web là tập hợp các dịch vụ ẩn sử dụng phần mềm ẩn danh để che giấu danh tính và vị trí. Nơi đây có các chợ trực tuyến, nơi người bán đăng số thẻ bị đánh cắp, ngày hết hạn và đôi khi cả bộ dữ liệu đầy đủ gồm mã CVV, địa chỉ thanh toán và dấu vân tay thiết bị. Dữ liệu có thể bị lấy từ phần mềm độc hại trên thiết bị người dùng, trang lừa đảo giả mạo website ngân hàng và đơn vị bán hàng, các vụ xâm nhập hệ thống của doanh nghiệp bán lẻ, cũng như các đơn vị xử lý thanh toán bên thứ ba bị xâm phạm.

Trên các thị trường này, thẻ được bán theo lô hoặc từng chiếc. Người bán thường gắn nhãn tin rao theo ngân hàng phát hành, quốc gia và việc thẻ có hỗ trợ xác thực 3D Secure hay không. Người mua thử giao dịch nhỏ, sau đó tìm cách thực hiện giao dịch lớn hơn để mua thẻ quà tặng, vé máy bay hoặc hàng hóa dễ bán lại. Nghiên cứu trong ngành cho thấy tỷ lệ cao thông tin thẻ được rao bán vẫn có thể sử dụng trong nhiều tháng, giúp tội phạm có nhiều thời gian rút tiền nếu các giao dịch thử ban đầu không kích hoạt quy tắc chống gian lận.

Nguồn cung, nhu cầu và giá cả

Giá cả vận động theo quy luật cung cầu đơn giản. Ở nơi nguồn cung dồi dào hoặc ngân hàng áp dụng biện pháp kiểm soát gian lận quyết liệt, thẻ có giá thấp hơn. Ở nơi nguồn cung khan hiếm và quy trình chống gian lận nghiêm ngặt, thẻ đắt hơn vì muốn gian lận thành công cần chuẩn bị kỹ và kiên nhẫn hơn. Điều này lý giải vì sao thẻ Nhật Bản thuộc nhóm đắt nhất, cũng như vì sao một nước có nhiều thẻ được rao bán như Singapore vẫn có giá trung bình ở mức vừa phải dù chiếm tỷ trọng lớn trong toàn bộ mẫu.

Vì sao thẻ bị đánh cắp chiếm tỷ trọng lớn ở Singapore

Singapore là trung tâm tài chính và hậu cần, có tỷ lệ sở hữu thẻ cao và gần như mọi nơi đều chấp nhận thanh toán không tiếp xúc. Người dân mua sắm trực tuyến tại các nhà bán hàng trong nước và quốc tế, thanh toán đi lại và ăn uống bằng ví điện tử, đồng thời thường xuyên đi du lịch. Điều này tạo ra lượng giao dịch hợp pháp khổng lồ và nhiều hồ sơ thẻ được lưu trên các dịch vụ khác nhau. Tội phạm thu thập dữ liệu trên diện rộng thông qua các bộ công cụ lừa đảo nhắm vào ngân hàng trong khu vực và phần mềm độc hại quét thông tin đăng nhập cùng dữ liệu tự động điền được lưu trong trình duyệt.

Mức độ phổ cập cao của thanh toán di động mã hóa cũng làm thay đổi các phương thức gian lận. Khi ngân hàng và nhà bán hàng chặn gian lận trong giao dịch không hiện diện thẻ, tội phạm chuyển sang các cách khác, trong đó có việc đưa thẻ bị đánh cắp vào ví điện thoại hoặc lừa nhân viên bán lẻ trong giao dịch trực tiếp. Tỷ trọng thẻ phát hành tại Singapore xuất hiện trên các chợ ngầm phản ánh bề mặt tấn công rộng, chứ không phải sự thiếu hụt biện pháp bảo vệ.

Hệ thống chống gian lận hạn chế khả năng trục lợi

Các ngân hàng ở Singapore áp dụng nhiều lớp bảo vệ. Hệ thống giám sát giao dịch tìm kiếm danh mục đơn vị bán hàng hoặc địa điểm bất thường. 3D Secure yêu cầu nhiều giao dịch mua sắm trực tuyến thực hiện xác thực bổ sung. Cảnh báo được gửi trong vài giây, giúp chủ thẻ và ngân hàng nhanh chóng khóa thẻ. Những biện pháp này, cùng với quyền yêu cầu hoàn tiền mạnh mẽ, làm tăng chi phí và rủi ro cho tội phạm. Đó là một lý do khiến thẻ phát hành tại Singapore, dù phổ biến trên dark web, không nằm trong nhóm có giá cao nhất thị trường.

Từ lừa đảo trực tuyến đến “chạm ma”: cách kẻ gian rút tiền

Lừa đảo trực tuyến vẫn là điểm khởi đầu của nhiều vụ việc. Kẻ tấn công gửi thông báo giao hàng giả hoặc tin nhắn giả mạo cảnh báo bảo mật của ngân hàng, dụ nạn nhân vào trang đăng nhập để lấy thông tin thẻ và tài khoản. Các dòng mã độc đánh cắp thông tin như Racoon, Azorult cùng những loại khác âm thầm thu thập thông tin đăng nhập đã lưu và dữ liệu biểu mẫu từ trình duyệt. Danh tính bị đánh cắp, trong đó có số căn cước và ảnh selfie thu thập để phục vụ quy trình xác minh khách hàng, được mua bán trên các diễn đàn ngầm. Những dữ liệu này giúp tội phạm mở tài khoản trung chuyển, rửa tiền và tìm cách chiếm quyền truy cập tài khoản.

Lạm dụng ví điện tử và gian lận tại cửa hàng

Một thủ đoạn ngày càng phổ biến là liên kết dữ liệu thẻ bị đánh cắp với Apple Pay hoặc Google Pay trên điện thoại dùng một lần để mua hàng tại cửa hàng. Các nhà phân tích gọi một phần hệ sinh thái này là “chạm ma” vì tội phạm có thể chuyển tiếp tín hiệu thanh toán không tiếp xúc hoặc cài sẵn thẻ bị đánh cắp vào ví rồi đưa điện thoại cho người mua hàng được tuyển mộ. Các đường dây phối hợp mọi khâu hậu cần, từ tuyển người đứng tên hộ, lên kịch bản mua sắm đến tiêu thụ hàng qua Telegram hoặc các nền tảng thương mại điện tử. Các bản tin mô tả những vụ thất thoát lớn tại các cửa hàng bán lẻ ở Singapore, trong đó người đứng tên hộ giả làm khách du lịch và nhanh chóng di chuyển giữa các cửa hàng. Cuối năm 2024, cảnh sát ghi nhận ít nhất 656 vụ việc và thiệt hại 1,2 triệu SGD do lừa đảo lấy thông tin thẻ tín dụng và lừa đảo ví điện tử trong ba tháng.

Các vụ việc gần đây ở Singapore cho thấy thủ đoạn được sử dụng

Tòa án đã xét xử một số vụ việc có phương thức tương tự. Trong một vụ, một công dân Trung Quốc 29 tuổi bị phạt tù 30 tháng vì dùng dữ liệu thẻ bị đánh cắp để mua 20 chiếc iPhone 16 trị giá hơn 40.000 SGD trong ba ngày. Người này được đưa cho một chiếc điện thoại có ứng dụng từ xa nạp thông tin thẻ bị đánh cắp lấy qua hoạt động lừa đảo. Các giao dịch được thực hiện tại những cửa hàng điện tử lớn, số điện thoại được bán lại lấy tiền mặt và tiền thu được do những kẻ điều hành đường dây thu gom.

Trong một vụ khác, một phụ nữ Malaysia 25 tuổi bị kết án vì giúp bán iPhone mua bằng thông tin thẻ được nạp vào ví điện tử. Bạn trai cô thực hiện nhiều giao dịch tại các cửa hàng Apple bằng thẻ ảo liên kết với thẻ của nạn nhân. Cảnh báo từ ngân hàng đã thông báo cho các nạn nhân và cảnh sát can thiệp trước khi hai người kịp rời Singapore cùng số tiền thu được còn lại. Các vụ truy tố này cho thấy những đường dây xuyên biên giới điều người thực hiện các vụ mua sắm nhanh, giá trị cao.

Rủi ro từ nội bộ và xử lý dữ liệu yếu kém

Rủi ro cũng phát sinh bên trong các tổ chức. Một cựu nhân viên ngân hàng ở Singapore bị kết án vì tiết lộ thông tin của hơn 1.000 khách hàng sau khi bị những người gọi điện tự xưng là cảnh sát nước ngoài lừa gạt. Dù số thẻ tín dụng và thẻ ghi nợ không bị liên quan trong một sự cố riêng tại một nhà phân phối ô tô lớn, vụ rò rỉ làm lộ 147.000 hồ sơ khách hàng cho thấy thông tin cá nhân có thể bị phát tán ra sao khi kẻ tấn công xâm nhập được hệ thống. Tài liệu và dữ liệu định danh tiếp tay cho hành vi gian lận, giúp tội phạm vượt qua bước xác minh hoặc các câu hỏi kiểm tra bằng kỹ thuật thao túng tâm lý.

Ngân hàng, nhà bán lẻ và cơ quan quản lý đang ứng phó ra sao

Các ngân hàng tiếp tục siết chặt kiểm soát việc thêm thẻ vào ví điện tử. Hệ thống phân tích rủi ro thiết bị kiểm tra xem điện thoại yêu cầu cấp mã token đã từng được ghi nhận hay chưa, có bị bẻ khóa hay không và yêu cầu có phù hợp với hồ sơ khách hàng hay không. Một số đơn vị phát hành yêu cầu khách hàng xác nhận liên kết ví mới qua ứng dụng ngân hàng thay vì tin nhắn SMS để giảm nguy cơ bị thao túng tâm lý. Công cụ phân tích thời gian thực và mô hình học máy giúp chặn giao dịch đáng ngờ ngay ở khâu cấp phép.

Các nhà bán lẻ đang tăng cường kiểm tra tại điểm bán. Hoạt động đào tạo nhân viên chú trọng nhận diện dấu hiệu đáng ngờ, chẳng hạn nhiều lần thanh toán thất bại, khách hàng liên tục đổi điện thoại hoặc thẻ, hay tìm cách chia một giao dịch giá trị cao thành nhiều giao dịch nhỏ. Cửa hàng có thể yêu cầu kiểm tra giấy tờ tùy thân khi bán đồ điện tử đắt tiền, phối hợp chặt chẽ với ngân hàng thanh toán và lưu sẵn dữ liệu camera giám sát để phục vụ điều tra nhanh. Các nhà cung cấp dịch vụ thanh toán điều chỉnh quy tắc nhằm đánh dấu những tổ hợp đơn vị bán hàng và thiết bị đáng ngờ, có thể cho thấy một nhóm đang tổ chức đi mua sắm.

Thực thi pháp luật và hợp tác xuyên biên giới

Các chiến dịch phối hợp giữa ngân hàng, mạng lưới thẻ, hãng hàng không và cảnh sát đã chứng tỏ hiệu quả trong việc xử lý một số loại gian lận cụ thể. Trong một chiến dịch Airport Action Days trước đây, cảnh sát tạm giữ hàng chục hành khách tìm cách dùng thông tin thẻ bị đánh cắp để mua vé máy bay. INTERPOL điều phối hoạt động trên khắp châu Á từ trung tâm đổi mới tại Singapore. Hiện nay, các nỗ lực phối hợp tương tự với cảnh sát các nước được sử dụng để triệt phá bộ công cụ lừa đảo, mạng lưới tuyển người đứng tên hộ và các chợ ngầm mua bán thẻ bị đánh cắp.

Người tiêu dùng có thể làm gì ngay lúc này

Phần lớn đơn vị phát hành hoàn tiền cho các giao dịch thẻ trái phép, nhưng tốc độ xử lý rất quan trọng. Phát hiện sớm giúp hạn chế thiệt hại và rút ngắn khoảng thời gian tội phạm có thể thử rồi tái sử dụng thông tin của bạn. Những bước dưới đây giúp giảm nguy cơ bị xâm phạm và phát hiện gian lận nhanh chóng.

• Bật cảnh báo giao dịch theo thời gian thực trong ứng dụng ngân hàng cho mọi thẻ, bao gồm giao dịch qua ví điện tử và mua sắm trực tuyến.
• Kiểm tra sao kê hằng tuần và lập tức khiếu nại mọi khoản phí không nhận ra.
• Dùng mật khẩu mạnh, riêng biệt cho tài khoản ngân hàng và thẻ, đồng thời lưu mật khẩu trong một ứng dụng quản lý mật khẩu đáng tin cậy.
• Không lưu số thẻ hoặc mật khẩu trong trình duyệt web. Mã độc đánh cắp thông tin nhắm vào dữ liệu tự động điền được lưu trong trình duyệt.
• Bật xác thực hai yếu tố cho tài khoản ngân hàng, email và mua sắm. Ưu tiên xác thực qua ứng dụng ngân hàng thay vì SMS.
• Dùng số thẻ ảo hoặc mã token dùng cho từng giao dịch nếu ngân hàng có cung cấp, nhất là khi thanh toán tại những nơi bạn ít mua sắm.
• Khóa thẻ, tạm ngừng thẻ hoặc đặt hạn mức giao dịch trong ứng dụng ngân hàng khi không mua sắm. Tắt giao dịch ở nước ngoài hoặc giao dịch không hiện diện thẻ nếu không cần dùng.
• Cập nhật điện thoại và máy tính, cài đặt bản vá bảo mật kịp thời, tránh cửa hàng ứng dụng hoặc nội dung tải xuống không chính thức.
• Bảo vệ tài khoản định danh số quốc gia, chẳng hạn SingPass. Đổi mật khẩu nếu nghi bị lừa đảo và nhanh chóng báo cáo khi phát hiện tài khoản bị xâm phạm.
• Thận trọng với tin nhắn về giao hàng, hoàn tiền hoặc cảnh báo bảo mật. Truy cập ngân hàng bằng cách tự nhập địa chỉ web chính thức hoặc mở ứng dụng, không nhấn vào liên kết trong tin nhắn.

Điểm chính

• Singapore chiếm khoảng 11% số thẻ thanh toán bị đánh cắp được giao dịch trong bộ dữ liệu tháng 5/2025, đứng sau Mỹ và trước Tây Ban Nha.
• Giá trung bình của thẻ phát hành tại Singapore bị đánh cắp vào khoảng 13,19 USD, tăng gần 29% so với năm 2023; thẻ Nhật Bản có giá khoảng 22,80 USD.
• Các chuyên gia cho rằng thứ hạng của Singapore xuất phát từ mức độ phổ cập kỹ thuật số và lượng giao dịch lớn, chứ không phải do ngân hàng kiểm soát yếu.
• Thủ đoạn gian lận gồm lừa đảo trực tuyến, mã độc đánh cắp thông tin và lạm dụng ví điện tử để người đứng tên hộ được tuyển mộ mua hàng tại cửa hàng.
• Các vụ truy tố trong nước cho thấy những đường dây xuyên quốc gia dùng dữ liệu thẻ bị đánh cắp để mua iPhone và hàng hóa khác rồi bán lại lấy tiền mặt.
• Ngân hàng và nhà bán lẻ đang siết chặt xác thực khi thêm thẻ vào ví điện tử và tăng cường kiểm tra tại điểm bán, trong khi lực lượng thực thi pháp luật phối hợp triển khai các chiến dịch xuyên biên giới.
• Người tiêu dùng có thể giảm rủi ro bằng cách bật cảnh báo, sử dụng mật khẩu cẩn trọng, bật xác thực hai yếu tố và không lưu dữ liệu thẻ trong trình duyệt.