Lời thú tội của “hieupc” – Hacker Việt Nam từng kiếm 3 triệu USD nhờ đánh cắp danh tính – Phần 2
Hình ảnh Ngô Minh Hiếu tại một trung tâm cách ly ở Việt Nam (29 tuổi) Đọc phần 1 của câu chuyện: Lời thú tội của “hieupc” – Hacker Việt Nam từng kiếm 3 triệu USD nhờ đánh cắp danh tính – Phần 1
Bài đăng trước kể về câu chuyện của Ngô Minh Hiếu , một hacker được Sở Mật vụ Hoa Kỳ mô tả như một kẻ gây ra thiệt hại về tài chính cho nhiều người Mỹ hơn bất cứ tội phạm mạng nào khác từng bị kết án. Giờ đây sau hơn bảy năm lãnh án tại Mỹ vì điều hành một một đường dây đánh cắp danh tính siêu lợi nhuận , Hiếu đã trở về nước với hy vọng có thể sử dụng kinh nghiệm của mình để thuyết phục những tội phạm mạng khác sử dụng khả năng máy tính của mình vào những việc tốt. Còn sau đây sẽ là những gì đã xảy ra sau khi anh bị bắt.
Phần I của bài viết này kết thúc với cảnh Hiếu bị còng tay ngay sau khi đáp chuyến bay từ Việt Nam đến đảo Guam, nơi anh nghĩ rằng mình sẽ gặp một tội phạm mạng khác, kẻ đã hứa sẽ trả anh quyền truy cập vào tất cả các bộ lưu trữ dữ liệu người tiêu dùng.
Hiếu đã từng kiếm được hơn 125.000 đô la mỗi tháng khi bán lại quyền truy cập này cho một số công ty môi giới dữ liệu lớn nhất hành tinh. Nhưng rồi Sở Mật vụ đã phát hiện ra nhiều tài khoản khác nhau của anh tại các công ty môi giới dữ liệu và đã nhanh chóng gỡ tất cả các tài khoản đó. Hiếu trở nên ám ảnh với việc khởi động lại công việc kinh doanh và duy trì thu nhập trước đây của mình. Tại thời điểm đó, dịch vụ đánh cắp ID của anh đã kiếm được khoảng 3 triệu USD.
Cũng trong khoảng thời gian này, các mật vụ Mỹ đã sử dụng một kẻ trung gian và lừa Hiếu tin rằng anh đã chạm trán với một tội phạm mạng khác. Từ Phần I:
Để dụ Hiếu sa lưới, Sở mật vụ đã bắt tay với một kẻ trung gian ở Anh, và cũng là một tội phạm mạng đã bị kết án trước đó. Kẻ trung gian này đã liên hệ và nói với Hiếu rằng anh ta đã tự tay chặn quyền truy cập của Hiếu vào Experian vì anh ta đã xâm nhập vào hệ thống trước và Hiếu đang can thiệp vào công việc kinh doanh của anh ta.
“Chúng tôi đã bảo anh chàng người Anh nhắn cho Hiếu là: “Này, mày đang đoạt miếng ăn của tao đấy, thế nên tao sẽ chặn quyền truy cập của mày. Nhưng nếu mày trả phí cho tao trước, thì tao sẽ suy nghĩ trả quyền lại cho mày,” O’Neill nhớ lại.
Sau vài tháng trò chuyện dai dẳng với kẻ trung gian ở Anh, Hiếu đã đồng ý gặp anh ta ở đảo Guam để hoàn tất thỏa thuận. Nhưng ngay sau khi bước xuống máy bay ở Guam, anh đã bị mật vụ bắt giữ.
“Tên của một trong những dịch vụ đánh cắp danh tính của anh ta là findget[.]me (tìm và bắt tôi đi). Chúng tôi đã cân nhắc điều đó một cách nghiêm túc, và như bạn thấy đấy, chúng tôi đã làm theo yêu cầu của anh ta,” O’Neill nói.
Trong một cuộc phỏng vấn với KrebsOnSecurity, Hiếu cho biết anh đã chịu 2 tháng tù tại Guam trong thời gian chờ bị chuyển đến Mỹ. Và phải một tháng sau, Sở Mật vụ mới cho phép anh gọi điện về nhà trong 10 phút và thông báo với gia đình về tình trạng hiện tại của mình.
“Đó là khoảng thời gian rất khó khăn,” Hiếu nói. “Mọi người trong gia đình tôi đều rất buồn và và họ đã khóc rất nhiều.”
Điểm dừng chân đầu tiên trong hành trình truy tố của anh là ở New Jersey. Tại đây, anh đã đã nhận tội danh xâm nhập vào MicroBilt , mục tiêu lớn đầu tiên của Hiếu và cũng là nguồn cung cấp cơ sở dữ liệu cho dịch vụ đánh cắp danh tính của anh trong nhiều năm liền.
Tiếp đến là New Hampshire, nơi Hiếu đã nhận tội danh của mình và buộc phải đứng ra làm chứng chống lại những kẻ trộm danh tín từng sử dụng dịch vụ của anh trong nhiều năm. Trong số đó có Lance Ealy , một siêu trộm ID từ Dayton, Ohio, người đã sử dụng dịch vụ của Hiếu để mua hơn 350 “ fullz ” – một thuật ngữ dùng để chỉ một gói thông tin gồm tất cả những gì cần thiết để đánh cắp danh tính của bất kỳ ai, bao gồm số an sinh xã hội, tên thời con gái của mẹ, ngày sinh, địa chỉ, số điện thoại, địa chỉ email, thông tin tài khoản ngân hàng và mật khẩu.
Ealy chủ yếu sử dụng dịch vụ của Hiếu để thực hiện các hành vi gian lận hoàn thuế với Sở Thuế vụ Hoa Kỳ (IRS). Anh ta đã lợi dụng những ID đánh cắp được từ nạn nhân để yêu cầu những khoản hoàn thuế khổng lồ nhằm thu lợi bất chính. Và những nạn nhân này chỉ phát hiện hành vi gian lận khi họ đi nộp thuế, để rồi nhận ra rằng kẻ nào đó đã cuỗm hết tiền hoàn thuế của họ.
Kết quả là sự hợp tác của Hiếu với chính phủ Hoa Kỳ đã dẫn đến 20 vụ bắt giữ, trong đó, hàng chục bị cáo bị O’Neill và các nhân viên Sở Mật vụ khác dụ sa lưới bằng cách giả mạo Hiếu để bàn công việc làm ăn.
Cơ quan Mật vụ cho biết họ gặp khó khăn trong việc xác định chính xác thiệt hại về tài chính mà các dịch vụ đánh cắp danh tính của Hiếu gây ra trong suốt những năm qua. Chủ yếu là do các dịch vụ đó chỉ lưu giữ hồ sơ về những gì khách hàng đã tìm kiếm, chứ không hề ghi lại những hồ sơ danh tính họ đã mua.
Tuy nhiên, dựa trên những hồ sơ có được, chính phủ Mỹ ước tính dịch vụ của Hiếu đã gây thiệt hại khoảng 1,1 tỷ đô la liên quan đến các chiêu trò gian lận tài khoản mới tại nhiều ngân hàng và nhà bán lẻ trên khắp nước Mỹ. Đồng thời gây ra tổn thất lên tới khoảng 64 triệu đô la do các hành vi gian lận hoàn thuế tại các tiểu bang và Sở Thuế vụ Hoa Kỳ.
“Chúng tôi đã thẩm vấn một số khách hàng của Hiếu và những người này đều khá cởi mở về lý do họ sử dụng dịch vụ phi pháp của cậu ta. Nhiều người trong số họ chia sẻ những điều tương tự: mua bán danh tính tốt hơn nhiều so với việc đánh cắp thông tin thẻ thanh toán, bởi lẽ dữ liệu thẻ chỉ có thể sử dụng được một hoặc hai lần và nó sẽ không còn hữu ích nữa. Nhưng danh tính thì khác, nó có thể được sử dụng lặp đi lặp lại nhiều lần trong nhiều năm,” O’Neill cho biết.
O’Neill cho biết ông vẫn rất ngạc nhiên khi tên của Hiếu thực tế không được biết đến rộng rãi như những tên trộm thẻ tín dụng khét tiếng khác. Một số kẻ trong đó đã bị buộc tội đánh cắp hàng trăm triệu thẻ thanh toán từ các nhà bán lẻ lớn.
“Tôi không biết bất kỳ tội phạm mạng nào gây ra nhiều thiệt hại về tài chính cho người Mỹ hơn Hiếu. Vậy mà hầu hết mọi người lại chưa bao giờ nghe nói về cậu ta,” O’Neill nói.
Hiếu cho biết anh đã không ngạc nhiên khi dịch vụ trái phép của mình lại gây ra nhiều thiệt hại về tài chính đến vậy. Nhưng anh hoàn toàn không ngờ đến những tổn hại lâu dài mà dịch vụ của anh đã gây ra cho nhiều nạn nhân vô tội khác. Trong suốt quá trình tố tụng tại tòa, Hiếu đã chứng kiến hết câu chuyện đau lòng này đến câu chuyện thương tâm khác của chính những nạn nhân rơi vào đường cùng do bị hủy hoại cuộc sống tài chính, mà tất cả bắt nguồn từ dịch vụ phi pháp mà anh điều hành.
“Khi tôi điều hành dịch vụ, tôi không thực sự nhận thức được những hậu quả sau này. Bởi lẽ, tôi không biết rõ khách hàng của mình cũng như những gì họ làm với các dữ liệu đó. Nhưng trong suốt quá trình tố tụng, tòa án liên bang đã nhận được khoảng 13.000 lá thư từ các nạn nhân kể rằng họ bị mất nhà, mất việc làm hoặc không còn khả năng mua nhà hay duy trì cuộc sống tài chính, mà tất cả là do tôi. Điều đó khiến tôi cảm thấy thực sự tồi tệ, và tôi nhận ra mình là một người đáng trách như thế nào,” Hiếu nói.
Ngay cả khi Hiếu được luân chuyển từ cơ sở giam giữ của bang này sang cơ sở của bang khác, thì dường như anh luôn gặp phải những nạn nhân liên đới từ bất cứ nơi nào anh đến, từ người quản ngục cho đến nhân viên y tế và tư vấn viên.
“Khi tôi bị giam ở Beaumont, Texas, tôi đã nói chuyện với một trong những nhân viên cải huấn ở đó. Người này đã chia sẻ với tôi câu chuyện về một người bạn của cô ấy, người đã bị đánh cắp danh tính và sau đó mất hết tất cả. Toàn bộ cuộc sống của cô ấy dường như đi vào ngõ cụt. Tôi không biết liệu người phụ nữ đó có phải là một trong những nạn nhân của tôi hay không, nhưng câu chuyện đó khiến tôi cảm thấy vô cùng tội lỗi. Điều đó khiến tôi nhận ra những gì tôi làm tai hại đến mức nào,” Hiếu nhớ lại.
Dịch vụ đánh cắp danh tính của Hiếu usearching[.]info
Hiếu đã được ra tù cách đây vài tháng và hiện đang hoàn thành đợt cách ly COVID-19 bắt buộc trong ba tuần tại một cơ sở gần thành phố Hồ Chí Minh. Trong những tháng cuối cùng tại nhà giam, Hiếu đã bắt đầu đọc lại các tài liệu về bảo mật máy tính và internet. Anh thậm chí còn viết một hướng dẫn bảo mật , đưa ra lời khuyên cho người dùng Internet về cách tránh bị tấn công và tránh bị trở thành nạn nhân của các vụ đánh cắp thông tin cá nhân.
Hiếu cho biết anh muốn có một công việc trong ngành an ninh mạng nhưng sẽ không vội vàng tìm việc ngay. Hiện anh đã nhận được ít nhất một lời mời làm việc tại Việt Nam nhưng cũng đã từ chối. Anh nói rằng mình chưa sẵn sàng làm việc bởi muốn dành thời gian cho gia đình, và đặc biệt là bố của anh, người vừa được chẩn đoán mắc ung thư giai đoạn 4.
Về lâu dài, Hiếu muốn cố vấn cho những người trẻ tuổi, giúp họ đi đúng hướng, và tránh xa con đường tội phạm mạng. Hiếu không hề giấu giếm quá khứ của mình. Trên trang LinkedIn vừa mới lập, anh công khai rằng mình là một tội phạm mạng từng bị kết án.
“Tôi hy vọng mình có thể giúp mọi người thay đổi suy nghĩ, và dù chỉ một người thay đổi, chuyển sang làm những điều tốt đẹp thì tôi cũng đã rất hạnh phúc”, Hiếu nói. “Đã đến lúc tôi cần phải làm điều gì đó đúng đắn, để trả lại cho thế giới mà tôi đã từng phá hoại.”
Tuy nhiên, tỷ lệ tái phạm của tội phạm mạng là khá cao và sẽ thật dễ dàng để quay trở lại vết xe đổ của mình. Sau cùng thì, chỉ có Hiếu và một số ít người mới biết rõ làm thế nào để khai thác tối ưu quyền truy cập vào các dữ liệu danh tính.
O’Neill nói ông tin rằng Hiếu có thể giữ mình tránh khỏi những rắc rối. Ông cũng cho biết dịch vụ của Hiếu, nếu tồn tại đến ngày nay thì có lẽ sẽ còn thành công và sinh lời gấp bội. Đó là bởi tình trạng dịch bệnh hiện nay đã làm cho số lượng tội phạm đánh cắp danh tính gia tăng đột biến. Chúng sử dụng những dữ liệu nhận dạng đánh cắp được để lừa một loạt tiểu bang và chính phủ liên bang nhằm chiếm đoạt các khoản vay hỗ trợ đại dịch và trợ cấp bảo hiểm thất nghiệp .
“Cậu ta có vẻ không muốn quay trở lại cuộc sống tội phạm đó. Tuy nhiên, tôi tin chắc rằng những kẻ lừa đảo các khoản vay doanh nghiệp và trợ cấp thất nghiệp hiện nay đã có được “bài học vỡ lòng” từ các website của cậu ta. Và cậu ta chắc hẳn sẽ trở thành một nhân vật giá trị trong mạng lưới mới nổi này,” O’Neill nói.
Hiếu nhấn mạnh anh sẽ không làm bất cứ điều gì có thể khiến anh trở lại nhà tù một lần nữa.
“Nhà tù là một nơi khó chịu, nhưng nó đã cho tôi thời gian để suy nghĩ thêm về cuộc sống và những lựa chọn của mình.Tôi đã tự hứa với bản thân sẽ làm nhiều điều tốt và cố gắng trở nên tốt đẹp hơn mỗi ngày. Bây giờ, tôi đã hiểu rằng tiền chỉ là một phần của cuộc sống. Nó không phải là tất cả và không thể mang lại hạnh phúc thực sự cho bạn. Tôi hy vọng những tên tội phạm mạng ngoài kia có thể nhìn vào vết xe đổ của tôi và dừng lại những hành vi xấu xa, đồng thời sử dụng kỹ năng của họ để giúp thế giới tốt đẹp hơn,” Hiếu nói.
Bài gốc: https://krebsonsecurity.com/2020/08/confessions-of-an-id-theft-kingpin-part-ii/
Translator: Hà Nguyễn
Reviewer: Nguyen Dang
The post Lời thú tội của “hieupc” – Hacker Việt Nam từng kiếm 3 triệu USD nhờ đánh cắp danh tính – Phần 2 appeared first on SecurityDaily .
