Cựu nhân viên UOB bị kết án vì làm rò rỉ dữ liệu của hơn 1.000 khách hàng trong vụ lừa đảo giả danh cảnh sát

Bản án đặt ra phép thử cho các biện pháp bảo vệ dữ liệu ngân hàng

Một cựu nhân viên cấp thấp tại Ngân hàng United Overseas (UOB) đã bị kết án vì tiết lộ thông tin cá nhân của hơn 1.000 khách hàng cho một người giả danh cảnh sát Trung Quốc. Vụ việc bắt đầu khi những kẻ lừa đảo tiếp cận cô vào tháng 3/2021 và khép lại bằng bản án vào tháng 10/2025, cho thấy thủ đoạn thao túng tâm lý có thể vô hiệu hóa các biện pháp kiểm soát nội bộ khi người trong cuộc bị gây sức ép buộc phải vi phạm quy định. Bị cáo Cao Wenqing, 30 tuổi, thường trú nhân Singapore và là công dân Trung Quốc, bị tuyên có tội với 14 cáo buộc theo Đạo luật Lạm dụng Máy tính và 13 cáo buộc theo Đạo luật Ngân hàng. Dự kiến tòa sẽ tuyên án vào tháng 12.

Theo kết luận của tòa, Cao truy cập hồ sơ khách hàng mật bằng tài khoản đăng nhập hợp lệ phục vụ công việc, tập hợp một số hồ sơ được chọn vào bảng tính rồi gửi hình ảnh dữ liệu qua ứng dụng nhắn tin cho một người tự xưng là đại úy cảnh sát Thượng Hải. Sau đó, cô khai với nhà chức trách rằng mình tin đang bị điều tra và cảm thấy buộc phải tuân theo. Tòa bác bỏ lập luận này, lưu ý rằng cô đã được huấn luyện về bảo mật thông tin nhưng không xác minh danh tính những người gọi cho đến khi dữ liệu đã bị rò rỉ.

Chuyện gì đã xảy ra bên trong hệ thống ngân hàng

Cao làm việc tại bộ phận cho vay thế chấp của UOB, nơi cô được quyền truy cập cơ sở dữ liệu ngân hàng chỉ nhằm phục vụ công việc. Tháng 3/2021, hai người liên lạc với cô qua điện thoại, tự giới thiệu là cảnh sát Trung Quốc và cảnh báo cô có liên quan đến một vụ án. Theo chỉ dẫn của họ, cô tìm kiếm khách hàng có các họ phổ biến của người Trung Quốc, lọc danh sách theo quốc tịch Trung Quốc rồi sao chép tên, số giấy tờ tùy thân, số điện thoại di động và số dư ngân hàng vào một tệp Excel. Sau đó, cô chụp ảnh bảng tính và gửi qua WhatsApp. Theo yêu cầu, cô còn tìm kiếm một số khách hàng cụ thể và gửi ảnh chụp màn hình hồ sơ của họ.

Cơ sở dữ liệu cô truy cập có các trường thông tin như tên, quốc tịch, địa chỉ, số giấy tờ tùy thân, số tài khoản và số dư. Ngay sau vụ việc, UOB tuyên bố số tài khoản khách hàng không bị tiết lộ và hệ thống của ngân hàng vẫn an toàn. Dù không có số tài khoản, việc kết hợp tên, số giấy tờ tùy thân, số điện thoại di động và số dư vẫn là thông tin cực kỳ nhạy cảm. Tội phạm có thể dùng những dữ liệu này để dàn dựng các vụ lừa đảo thao túng tâm lý đầy thuyết phục, chiếm quyền kiểm soát tài khoản bằng cách lừa nạn nhân hoặc kết hợp với dữ liệu bị rò rỉ khác để thực hiện hành vi gian lận.

Tháng 4/2021, sau khi đọc tin về một vụ lừa đảo tương tự và tự liên hệ với cảnh sát Thượng Hải, Cao nhận ra mình đã bị lừa. Cô trình báo với Cảnh sát Singapore ngay trong ngày bị bắt. Điều tra viên sau đó phát hiện cô đã truy cập hơn 3.000 hồ sơ khách hàng và gửi thông tin của hơn 1.000 khách hàng.

Thủ đoạn giả danh hoạt động ra sao

Những kẻ gọi điện khai thác tâm lý sợ hãi, tính khẩn cấp và lòng tin vào thẩm quyền. Các vụ lừa đảo giả danh công chức thường bắt đầu bằng lời khẳng định nạn nhân đang bị điều tra, rồi gây sức ép buộc họ hợp tác trong bí mật. Nạn nhân được yêu cầu giữ kín cuộc gọi và làm theo chỉ dẫn ngay lập tức, trong đó có thể bao gồm việc chia sẻ dữ liệu cá nhân hoặc chuyển tiền. Những thủ đoạn này nhằm khiến mục tiêu mất khả năng suy xét thấu đáo vì lo sợ hậu quả pháp lý hoặc ảnh hưởng đến việc làm.

Điều tra viên cho biết Cao làm theo vì lo sợ bị cảnh sát Trung Quốc giả danh điều tra, đồng thời không muốn mất việc hoặc bị đưa về Trung Quốc. Đây là kiểu tình huống phổ biến trong các vụ lừa đảo qua điện thoại có yếu tố cưỡng ép. Những yêu cầu dai dẳng, lời đe dọa kiện tụng và yêu cầu chỉ liên lạc qua một số ứng dụng nhất định có thể tạo cảm giác sai lệch rằng đây là quy trình chính thức. Cách phòng vệ đáng tin cậy nhất trong tình huống này là tự xác minh độc lập. Hãy cúp máy, gọi đến cơ quan thực tế bằng số điện thoại chính thức và xác nhận xem có vụ việc nào hay không.

Kết luận pháp lý và phán quyết của tòa

Tòa kết luận Cao biết dữ liệu khách hàng là thông tin mật và chỉ được phép truy cập để phục vụ công việc. Cô đã được huấn luyện về bảo mật ngân hàng và xử lý dữ liệu. Thẩm phán nhận định việc cô không xác minh danh tính những người liên lạc là không hợp lý, nhất là khi sau đó cô đã làm đúng việc đó sau khi đọc tin tức về các vụ lừa đảo tương tự. Tòa cũng chỉ ra rằng cô biết hành động của mình vi phạm quy định nội bộ và luật pháp Singapore, khiến lập luận rằng cô hành động thiện chí dưới sức ép không đứng vững. Phán quyết: có tội với 14 cáo buộc theo Đạo luật Lạm dụng Máy tính và 13 cáo buộc theo Đạo luật Ngân hàng.

Theo Đạo luật Lạm dụng Máy tính, truy cập trái phép tài liệu trên máy tính là hành vi phạm tội. Đạo luật Ngân hàng cấm nhân viên ngân hàng và nhà cung cấp dịch vụ tiết lộ thông tin khách hàng, trừ những trường hợp được quy định chặt chẽ. Hình phạt tùy theo từng cáo buộc, nhưng có thể bao gồm phạt tiền và phạt tù. Phiên tuyên án đối với Cao dự kiến diễn ra vào tháng 12.

Phản ứng của UOB và các biện pháp bảo vệ khách hàng

UOB cho biết ngân hàng đã phối hợp với Cảnh sát Singapore và các cơ quan khác sau khi phát hiện vụ rò rỉ. Ngân hàng liên hệ với tất cả khách hàng bị ảnh hưởng, vô hiệu hóa quyền truy cập ngân hàng trực tuyến và ngân hàng di động, đồng thời hỗ trợ họ đặt lại thông tin đăng nhập số. Ngân hàng tăng cường giám sát, bổ sung cảnh báo SMS cho các giao dịch chuyển tiền trực tuyến giá trị thấp và đăng cảnh báo về các vụ lừa đảo đang diễn ra tại trang đăng nhập. Ngân hàng xin lỗi và cho biết an toàn của khách hàng vẫn là ưu tiên hàng đầu.

UOB cũng cho biết hệ thống của ngân hàng an toàn và số tài khoản không nằm trong số thông tin bị tiết lộ. Dù điều này làm giảm nguy cơ bị rút tiền trái phép trực tiếp, thông tin bị lộ vẫn khiến khách hàng trở thành mục tiêu của các vụ lừa đảo giả mạo, giả số điện thoại và thao túng tâm lý. Để phòng ngừa, ngân hàng khuyến cáo khách hàng cảnh giác và nhấn mạnh cần báo ngay mọi hoạt động đáng ngờ.

Ngân hàng cho biết đang hợp tác với cơ quan thực thi pháp luật và các cơ quan hữu quan. Thông báo công khai về sự việc được đăng tải dưới dạng tuyên bố chính thức, nêu rõ những hành động tức thời của ngân hàng và hướng dẫn dành cho khách hàng. Bạn có thể đọc thông báo của ngân hàng tại đây: tuyên bố chính thức.

Vì sao khó ngăn chặn hành vi lạm dụng dữ liệu từ nội bộ

Ngân hàng đầu tư vào nhiều lớp phòng vệ nhằm ngăn chặn cả xâm nhập từ bên ngoài lẫn hành vi lạm dụng từ nội bộ. Các biện pháp kiểm soát truy cập, nhật ký kiểm tra và công cụ giám sát hạn chế đối tượng được xem thông tin và phát hiện hoạt động bất thường. Thách thức nằm ở chỗ nhân viên thường cần truy cập thông tin nhạy cảm để phục vụ khách hàng. Khi người trong cuộc cố ý vi phạm quy định hoặc bị thao túng để làm vậy, hành vi lạm dụng có thể trông giống như tác vụ công việc thông thường.

Vụ việc này cho thấy một điểm yếu phổ biến. Ngay cả khi ngân hàng triển khai bộ lọc nội dung và ngăn chặn việc xuất lượng lớn dữ liệu, một nhân viên quyết tâm vi phạm vẫn có thể ghi lại thông tin bằng cách dùng điện thoại cá nhân chụp ảnh màn hình. Giảm thiểu rủi ro đó đòi hỏi kết hợp các biện pháp bảo vệ kỹ thuật và quy trình. Những biện pháp này gồm cấp quyền truy cập có thời hạn, phân quyền chặt chẽ hơn đối với việc tìm kiếm từng trường dữ liệu, đóng dấu chìm và kiểm soát chụp màn hình, cũng như hạn chế sử dụng thiết bị tại các khu vực làm việc nhạy cảm. Cảnh báo theo thời gian thực có thể phát hiện các lượt tìm kiếm theo mẫu bất thường, chẳng hạn tra cứu hàng nghìn hồ sơ không liên quan trên nhiều chi nhánh hoặc lọc theo quốc tịch mà không có mục đích công việc được ghi nhận.

Đào tạo và văn hóa tổ chức cũng rất quan trọng. Nhân viên cần được trang bị khả năng nhận diện thủ đoạn giả danh, tạm dừng để xác minh và báo cáo yêu cầu đáng ngờ cho cấp trên hoặc đội ngũ an ninh. Các kênh rõ ràng để báo cáo việc bị cưỡng ép hoặc những cuộc gọi đáng ngờ giúp nhân viên dễ tìm kiếm trợ giúp trước khi thiệt hại xảy ra.

Lừa đảo giả danh ở Singapore vẫn là mối đe dọa dai dẳng

Lừa đảo giả danh công chức đã trở thành một trong những hình thức gian lận gây thiệt hại tốn kém nhất tại Singapore. Kẻ lừa đảo thường tự nhận là cảnh sát hoặc cơ quan thực thi pháp luật nước ngoài, đưa ra giấy tờ hoặc thẻ lệnh giả, thậm chí đứng trước phông nền trông như bối cảnh chính thức. Chúng có thể yêu cầu nạn nhân chuyển tiền để “điều tra”, cung cấp thông tin ngân hàng, gửi mật khẩu dùng một lần hoặc cài phần mềm điều khiển từ xa. Nhiều nạn nhân làm theo vì cuộc gọi nghe có vẻ chính thức và lời đe dọa có vẻ thật.

Các khuyến cáo công khai nhấn mạnh rằng công chức thực sự không yêu cầu thông tin đăng nhập ngân hàng, mật khẩu dùng một lần hoặc chuyển tiền qua điện thoại hay ứng dụng nhắn tin. Họ cũng không hướng dẫn bạn nhấp vào đường dẫn đến các trang web ngân hàng. Những cuộc gọi yêu cầu giữ bí mật, đòi quyền truy cập từ xa vào thiết bị hoặc yêu cầu chuyển tiền tiết kiệm vào “tài khoản an toàn” là dấu hiệu cảnh báo điển hình. Khi nghi ngờ, hãy cúp máy và gọi đến đường dây nóng chính thức của ngân hàng hoặc cơ quan được cho là đã liên hệ với bạn.

Trong những năm gần đây, Singapore đã đầu tư vào giáo dục phòng chống lừa đảo và các công cụ giúp công chúng sàng lọc cuộc gọi, tin nhắn. Các ngân hàng bổ sung cảnh báo giao dịch, thời gian chờ đối với người thụ hưởng mới và tính năng “công tắc khẩn cấp” cho phép khách hàng nhanh chóng tạm khóa quyền truy cập số nếu nghi ngờ tài khoản bị xâm phạm. Những biện pháp này giúp giảm rủi ro nhưng không thể loại bỏ hoàn toàn. Các nhóm tội phạm liên tục thay đổi thủ đoạn và nhắm đến cả khách hàng lẫn nhân viên.

Cách giảm thiểu rủi ro

Một số biện pháp thiết thực có thể ngăn chặn những thủ đoạn phổ biến nhất trong các vụ việc như thế này.

• Xác minh danh tính và thẩm quyền. Nếu ai đó tự nhận là cảnh sát hoặc nhân viên ngân hàng, hãy cúp máy rồi gọi cho cơ quan hoặc ngân hàng bằng số điện thoại chính thức. Đừng gọi lại các số được cung cấp trong tin nhắn.
• Bảo vệ thông tin đăng nhập. Không bao giờ chia sẻ thông tin ngân hàng, thông tin đăng nhập Singpass, số thẻ hoặc mật khẩu dùng một lần qua điện thoại hay ứng dụng nhắn tin.
• Cảnh giác với yêu cầu khẩn cấp và giữ bí mật. Yêu cầu giữ kín cuộc trò chuyện, quyết định thật nhanh hoặc chuyển tiền vào “tài khoản an toàn” là những dấu hiệu cảnh báo rõ ràng.
• Sử dụng cảnh báo của ngân hàng. Bật cảnh báo SMS cho các giao dịch chuyển tiền giá trị thấp và thay đổi hồ sơ cá nhân. Đặt hạn mức giao dịch và thường xuyên kiểm tra sao kê.
• Bảo vệ thiết bị. Cài đặt bản cập nhật, chỉ sử dụng cửa hàng ứng dụng chính thức và tránh cài công cụ truy cập từ xa, trừ khi được hướng dẫn bởi kỹ thuật viên đáng tin cậy mà bạn đã tự liên hệ.
• Báo cáo ngay. Nếu nghi ngờ dữ liệu hoặc tài khoản của mình bị xâm phạm, hãy gọi ngay cho ngân hàng và trình báo cảnh sát. Hành động nhanh có thể giúp chặn hoặc thu hồi tiền.

Vụ việc cho thấy điều gì với ngân hàng và cơ quan quản lý

Các tổ chức tài chính hoạt động theo những tiêu chuẩn nghiêm ngặt về bảo mật thông tin và rủi ro công nghệ. Tại Singapore, Đạo luật Ngân hàng yêu cầu bảo mật thông tin khách hàng, trừ những trường hợp được quy định cụ thể; Cơ quan Tiền tệ Singapore cũng đưa ra các yêu cầu chi tiết về quản lý rủi ro công nghệ. Những yêu cầu này bao gồm quản trị quyền truy cập, giám sát hoạt động, ứng phó sự cố và đào tạo an ninh. Các vụ việc có hành vi lạm dụng từ nội bộ thường dẫn đến việc rà soát quy định truy cập dữ liệu, ngưỡng giám sát và quy trình xử lý của nhân viên.

Vụ việc tại UOB cho thấy một nhân viên có thể khiến nhiều khách hàng gặp rủi ro khi nỗi sợ hãi hoặc sự cưỡng ép lấn át những gì đã được huấn luyện. Vụ việc cũng cho thấy việc nhanh chóng khoanh vùng sự cố, chủ động liên hệ với khách hàng và minh bạch về các biện pháp bảo vệ có thể giúp xây dựng lại niềm tin sau sự cố. Tiếp tục đầu tư vào văn hóa xác minh, siết chặt kiểm soát các lượt tra cứu hàng loạt và nâng cao năng lực ứng phó nhanh có thể khiến kẻ lừa đảo khó biến nhân viên thành người tiếp tay bất đắc dĩ.

Điểm chính

• Cựu nhân viên UOB bị kết án với 14 cáo buộc theo Đạo luật Lạm dụng Máy tính và 13 cáo buộc theo Đạo luật Ngân hàng vì làm rò rỉ dữ liệu của hơn 1.000 khách hàng.
• Cô tập hợp tên, số giấy tờ tùy thân, số điện thoại di động và số dư của khách hàng rồi gửi hình ảnh qua WhatsApp cho một người giả danh cảnh sát Trung Quốc.
• Thẩm phán kết luận cô biết các quy định, không xác minh danh tính người gọi và vẫn hành động dù hiểu rằng việc làm đó vi phạm quy định nội bộ và pháp luật.
• UOB đã liên hệ với các khách hàng bị ảnh hưởng, vô hiệu hóa quyền truy cập số, bổ sung cảnh báo và phối hợp với nhà chức trách; ngân hàng cho biết số tài khoản không bị tiết lộ và hệ thống vẫn an toàn.
• Phiên tuyên án dự kiến diễn ra vào tháng 12; hình phạt theo cả Đạo luật Lạm dụng Máy tính và Đạo luật Ngân hàng có thể bao gồm phạt tiền và phạt tù.
• Lừa đảo giả danh vẫn phổ biến; cơ quan chức năng và ngân hàng chính thức không yêu cầu thông tin đăng nhập ngân hàng hoặc chuyển tiền qua điện thoại hay ứng dụng nhắn tin.
• Khách hàng có thể giảm rủi ro bằng cách tự xác minh danh tính người gọi, bảo vệ thông tin đăng nhập, bật cảnh báo giao dịch và nhanh chóng báo cáo hoạt động đáng ngờ.