Ai đảm bảo quyền lợi cho nh&#224; đầu tư khi c&#244;ng ty chứng kho&#225;n bị tấn c&#244;ng?
PGS.TS. Nguyễn Hữu Hu&#226;n - Giảng viện Đại học Kinh tế TPHCM chia sẻ, c&#244;ng ty chứng kho&#225;n (CTCK) phải c&#243; tr&#225;ch nhiệm bảo vệ sự an to&#224;n cho t&#224;i khoản của nh&#224; đầu tư. Thật ra, tiền vẫn nằm trong t&#224;i khoản ng&#226;n h&#224;ng, do đ&#243; nếu hacker c&#243; tấn c&#244;ng CTCK th&#236; vẫn kh&#244;ng ảnh hưởng nhiều đến tiền.

Vấn đề l&#224; th&#244;ng tin kh&#225;ch h&#224;ng sẽ bị lộ. Nguy&#234;n tắc tối thiểu l&#224; c&#244;ng ty chứng kho&#225;n phải c&#243; dữ liệu dự ph&#242;ng (backup data), nhằm ph&#242;ng ngừa những trường hợp bị tấn c&#244;ng như thế n&#224;y, th&#244;ng tin kh&#225;ch h&#224;ng vẫn được lưu trữ.

Tại Điều 20 Th&#244;ng tư 121/2020/TT-BTC quy định về hoạt động của c&#244;ng ty chứng kho&#225;n, khi cung cấp dịch vụ giao dịch trực tuyến, C&#244;ng ty chứng kho&#225;n c&#243; nghĩa vụ đảm bảo an ninh, an to&#224;n, bảo mật dữ liệu của hệ thống; c&#243; hệ thống dự ph&#242;ng, phương &#225;n thay thế trong trường hợp xảy ra sự cố.

Trong trường hợp, nếu CTCK bị tấn c&#244;ng cả hệ thống dự ph&#242;ng mới l&#224; điều rất nguy hiểm, c&#242;n nếu chỉ bị tấn c&#244;ng website th&#236; th&#244;ng tin kh&#225;ch h&#224;ng chắc chắn sẽ bị lộ. Đ&#226;y l&#224; những th&#244;ng tin c&#225; nh&#226;n, nếu như bị lộ th&#236; kh&#225;ch h&#224;ng cũng sẽ bị thiệt hại.

Đương nhi&#234;n, việc bị tấn c&#244;ng t&#224;i khoản n&#224;y, VNDIRECT sẽ bị thiệt hại nhiều nhất v&#236; c&#243; thể một lượng kh&#225;ch h&#224;ng sẽ chuyển sang c&#225;c c&#244;ng ty kh&#225;c.

C&#225;c CTCK phải c&#243; hệ thống dự ph&#242;ng, l&#250;c n&#224;o cũng phải chạy song song 2 hệ thống nhằm đảm bảo t&#237;nh li&#234;n tục của hoạt động kinh doanh trong bất kỳ t&#236;nh huống n&#224;o xảy ra. Khi hệ thống n&#224;y bị tấn c&#244;ng, sẽ d&#249;ng hệ thống dự ph&#242;ng để đảm bảo t&#237;nh li&#234;n tục của hệ thống.

Trường hợp VNDIRECT, khi bị ngắt qu&#227;ng, chắc chắn kh&#225;ch h&#224;ng sẽ bị thiệt hại v&#224; ngay ch&#237;nh CTCK đ&#243; cũng bị thiệt hại.

V&#224; đ&#226;y cũng kh&#244;ng phải lần đầu hệ thống của VNDIRECT bị tấn c&#244;ng v&#224; sau c&#225;c lần bị tấn c&#244;ng VNDIRECT vẫn kh&#244;ng c&#243; phương &#225;n dự ph&#242;ng nhằm đảm bảo t&#237;nh an to&#224;n v&#224; t&#237;nh li&#234;n tục của hệ thống. Quan trọng nhất l&#224; phải đảm bảo v&#224; tăng cường t&#237;nh bảo mật sau mỗi lần bị tấn c&#244;ng hệ thống.

Việc gần đ&#226;y c&#243; nhiều website v&#224; hệ thống của c&#225;c t&#224;i ch&#237;nh bị tấn c&#244;ng, &#244;ng Hu&#226;n cho rằng vấn đề bảo mật của c&#225;c c&#244;ng ty chưa được quan t&#226;m đ&#250;ng đắn, đặc biệt l&#224; c&#225;c c&#244;ng ty về t&#224;i ch&#237;nh. Hacker nh&#236;n ra được c&#225;c c&#244;ng ty t&#224;i ch&#237;nh Việt Nam đang c&#243; lỗ hổng bảo mật lớn như vậy n&#234;n họ sẽ tấn c&#244;ng. C&#243; thể họ chiếm quyền kiểm so&#225;t to&#224;n bộ t&#224;i nguy&#234;n của c&#244;ng ty đ&#243; nhằm đ&#242;i tiền chuộc. Đ&#226;y l&#224; một trong những h&#236;nh thức tin tặc tấn c&#244;ng nhằm tống tiền.

C&#243; thể thấy, sau những vụ việc n&#224;y, c&#225;c c&#244;ng ty t&#224;i ch&#237;nh cần tập trung hơn v&#224;o việc bảo mật. C&#225;c ng&#226;n h&#224;ng th&#236; t&#237;nh bảo mật cao hơn, nhưng cũng kh&#244;ng c&#243; nghĩa l&#224; kh&#244;ng thể bị tấn c&#244;ng. Do đ&#243;, c&#225;c ng&#226;n h&#224;ng cũng phải kiểm tra lại hệ thống core banking đ&#227; đủ bộ bảo mật chưa. V&#236; hiện nay, với sự trợ gi&#250;p của tr&#237; tuệ nh&#226;n tạo, việc t&#236;m ra lỗ hổng bảo mật của một website sẽ nhanh v&#224; dễ d&#224;ng hơn trước đ&#226;y.

Khi c&#244;ng nghệ ph&#225;t triển, c&#225;c c&#244;ng ty cũng phải tăng cường t&#237;nh bảo mật theo c&#244;ng nghệ mới, nếu kh&#244;ng sẽ ảnh hưởng đến cả hệ thống.

L&#224;m thế n&#224;o đảm bảo quyền lợi nh&#224; đầu tư?

Trong trường hợp n&#224;y ai sẽ chịu tr&#225;ch nhiệm khi quyền lợi của nh&#224; đầu tư bị thiệt hại? &#212;ng Hu&#226;n cho rằng chắc chắn l&#224; từ ph&#237;a CTCK, thế nhưng kh&#243; c&#243; thể x&#225;c minh v&#224; căn cứ để CTCK phải bồi ho&#224;n cho khoản đầu tư đ&#243;.

Với nh&#224; đầu tư chứng kho&#225;n, &#244;ng Hu&#226;n c&#243; lời khuy&#234;n kh&#244;ng n&#234;n để qu&#225; nhiều tiền trong t&#224;i khoản chứng kho&#225;n nhằm đảm bảo an to&#224;n, khi c&#243; nhu cầu giao dịch mới chuyển từ t&#224;i khoản ng&#226;n h&#224;ng sang t&#224;i khoản chứng kho&#225;n giao dịch.

Một vấn đề nữa l&#224; việc kh&#244;ng t&#225;ch bạch t&#224;i khoản của c&#244;ng ty v&#224; t&#224;i khoản của nh&#224; đầu tư. Khi c&#243; y&#234;u cầu nộp tiền, nh&#224; đầu tư nộp tiền v&#224;o CTCK. Theo quy định, nh&#224; đầu tư nộp tiền v&#224;o t&#224;i khoản ng&#226;n h&#224;ng theo chỉ định của CTCK, t&#224;i khoản chuy&#234;n dụng để giao dịch chứng kho&#225;n. Việc kh&#244;ng t&#225;ch bạch n&#224;y c&#243; thể g&#226;y rủi ro chiếm dụng vốn t&#224;i khoản của nh&#224; đầu tư.

V&#237; như trường hợp n&#224;y, khi CTCK đang nắm giữ tiền của nh&#224; đầu tư v&#224; bị tấn c&#244;ng mất hết tiền trong t&#224;i khoản, điều g&#236; sẽ xảy ra?

* Hệ thống của Chứng kho&#225;n VNDIRECT bị tấn c&#244;ng: Nh&#224; đầu tư vẫn chưa thể kết nối để đặt lệnh

* HNX ngắt kết nối tạm thời với VNDIRECT

* Nh&#224; đầu tư x&#244;n xao v&#236; VNDIRECT bị hack

* Những lần lỗi hệ thống của Chứng kho&#225;n VNDIRECT

FILI

Ai đảm bảo quyền lợi cho nhà đầu tư khi công ty chứng khoán bị tấn công?
PGS.TS. Nguyễn Hữu Huân - Giảng viện Đại học Kinh tế TPHCM chia sẻ, công ty chứng khoán (CTCK) phải có trách nhiệm bảo vệ sự an toàn cho tài khoản của nhà đầu tư. Thật ra, tiền vẫn nằm trong tài khoản ngân hàng, do đó nếu hacker có tấn công CTCK thì vẫn không ảnh hưởng nhiều đến tiền.

Vấn đề là thông tin khách hàng sẽ bị lộ. Nguyên tắc tối thiểu là công ty chứng khoán phải có dữ liệu dự phòng (backup data), nhằm phòng ngừa những trường hợp bị tấn công như thế này, thông tin khách hàng vẫn được lưu trữ.

Tại Điều 20 Thông tư 121/2020/TT-BTC quy định về hoạt động của công ty chứng khoán, khi cung cấp dịch vụ giao dịch trực tuyến, Công ty chứng khoán có nghĩa vụ đảm bảo an ninh, an toàn, bảo mật dữ liệu của hệ thống; có hệ thống dự phòng, phương án thay thế trong trường hợp xảy ra sự cố.

Trong trường hợp, nếu CTCK bị tấn công cả hệ thống dự phòng mới là điều rất nguy hiểm, còn nếu chỉ bị tấn công website thì thông tin khách hàng chắc chắn sẽ bị lộ. Đây là những thông tin cá nhân, nếu như bị lộ thì khách hàng cũng sẽ bị thiệt hại.

Đương nhiên, việc bị tấn công tài khoản này, VNDIRECT sẽ bị thiệt hại nhiều nhất vì có thể một lượng khách hàng sẽ chuyển sang các công ty khác.

Các CTCK phải có hệ thống dự phòng, lúc nào cũng phải chạy song song 2 hệ thống nhằm đảm bảo tính liên tục của hoạt động kinh doanh trong bất kỳ tình huống nào xảy ra. Khi hệ thống này bị tấn công, sẽ dùng hệ thống dự phòng để đảm bảo tính liên tục của hệ thống.

Trường hợp VNDIRECT, khi bị ngắt quãng, chắc chắn khách hàng sẽ bị thiệt hại và ngay chính CTCK đó cũng bị thiệt hại.

Và đây cũng không phải lần đầu hệ thống của VNDIRECT bị tấn công và sau các lần bị tấn công VNDIRECT vẫn không có phương án dự phòng nhằm đảm bảo tính an toàn và tính liên tục của hệ thống. Quan trọng nhất là phải đảm bảo và tăng cường tính bảo mật sau mỗi lần bị tấn công hệ thống.

Việc gần đây có nhiều website và hệ thống của các tài chính bị tấn công, ông Huân cho rằng vấn đề bảo mật của các công ty chưa được quan tâm đúng đắn, đặc biệt là các công ty về tài chính. Hacker nhìn ra được các công ty tài chính Việt Nam đang có lỗ hổng bảo mật lớn như vậy nên họ sẽ tấn công. Có thể họ chiếm quyền kiểm soát toàn bộ tài nguyên của công ty đó nhằm đòi tiền chuộc. Đây là một trong những hình thức tin tặc tấn công nhằm tống tiền.

Có thể thấy, sau những vụ việc này, các công ty tài chính cần tập trung hơn vào việc bảo mật. Các ngân hàng thì tính bảo mật cao hơn, nhưng cũng không có nghĩa là không thể bị tấn công. Do đó, các ngân hàng cũng phải kiểm tra lại hệ thống core banking đã đủ bộ bảo mật chưa. Vì hiện nay, với sự trợ giúp của trí tuệ nhân tạo, việc tìm ra lỗ hổng bảo mật của một website sẽ nhanh và dễ dàng hơn trước đây.

Khi công nghệ phát triển, các công ty cũng phải tăng cường tính bảo mật theo công nghệ mới, nếu không sẽ ảnh hưởng đến cả hệ thống.

Làm thế nào đảm bảo quyền lợi nhà đầu tư?

Trong trường hợp này ai sẽ chịu trách nhiệm khi quyền lợi của nhà đầu tư bị thiệt hại? Ông Huân cho rằng chắc chắn là từ phía CTCK, thế nhưng khó có thể xác minh và căn cứ để CTCK phải bồi hoàn cho khoản đầu tư đó.

Với nhà đầu tư chứng khoán, ông Huân có lời khuyên không nên để quá nhiều tiền trong tài khoản chứng khoán nhằm đảm bảo an toàn, khi có nhu cầu giao dịch mới chuyển từ tài khoản ngân hàng sang tài khoản chứng khoán giao dịch.

Một vấn đề nữa là việc không tách bạch tài khoản của công ty và tài khoản của nhà đầu tư. Khi có yêu cầu nộp tiền, nhà đầu tư nộp tiền vào CTCK. Theo quy định, nhà đầu tư nộp tiền vào tài khoản ngân hàng theo chỉ định của CTCK, tài khoản chuyên dụng để giao dịch chứng khoán. Việc không tách bạch này có thể gây rủi ro chiếm dụng vốn tài khoản của nhà đầu tư.

Ví như trường hợp này, khi CTCK đang nắm giữ tiền của nhà đầu tư và bị tấn công mất hết tiền trong tài khoản, điều gì sẽ xảy ra?

* Hệ thống của Chứng khoán VNDIRECT bị tấn công: Nhà đầu tư vẫn chưa thể kết nối để đặt lệnh

* HNX ngắt kết nối tạm thời với VNDIRECT

* Nhà đầu tư xôn xao vì VNDIRECT bị hack

* Những lần lỗi hệ thống của Chứng khoán VNDIRECT

FILI