Lời tự thú của “hieupc”: hacker Việt Nam vừa mới ra tù sau 7 năm ngồi nhà giam Hoa Kỳ

Matt O’Neill là một đặc vụ thuộc Cơ quan Mật vụ Hoa Kì, người đã thành công tạo ra một mồi nhử dụ Hieupc ra khỏi Việt Nam để đến đảo Guam hồi tháng Hai năm 2013. Ở đây, hacker trẻ tuổi lập tức bị bắt và áp giải về nước Mỹ và bị truy tố. Hiện tại, ông O’Neill đứng đầu Trung tâm Nhiệm vụ Điều tra Toàn cầu (GIOC), một đơn vị trực thuộc Cơ quan Mật vụ với nhiệm vụ hỗ trợ điều tra những nhóm tội phạm xuyên quốc gia có tổ chức.

O’Neill cho biết, ông bắt đầu quan tâm và mở cuộc điều tra việc kinh doanh dữ liệu danh tính của Hieupc sau khi đọc bài “Danh tính của bạn đáng giá bao nhiêu?” (How Much is Your Identity Worth?) bởi Brian Krebs, trong đó có nhắc đến một website của Hiếu. Theo ông O’Neill, điều lạ lùng nhất về Hieupc đó là cái tên của anh này gần như không được biết tới trong “ngôi đền” của những tên tội phạm mạng bị kết án, mà phần lớn trong số này là những kẻ buôn lậu thông tin thẻ tín dụng bị đánh cắp. Những thông tin mà Hieupc bán ra đã tạo điều kiện cho nhiều tội phạm mạng khác thực hiện những phi vụ gian lận tín dụng bằng cách tạo tài khoản mới với giá trị ước tính lên tới 1 tỉ USD, và thông qua đó cũng làm xấu đi lịch sử tín dụng của vô số người Mỹ trong quá trình ấy.

Trả lời trang KrebsonSecurity, ông O’Neil cho rằng: “Tôi không biết một tên tội phạm mạng nào gây ra tổn hại tài chính thực tế tới nhiều người Mỹ hơn Hiếu. Anh ta đã bán thông tin cá nhân của hơn 200 triệu người Mỹ và cho phép bất cứ ai có thể mua chúng với giá chỉ vài xu lẻ cho một bộ.”

Mới được thả từ hệ thống nhà tù ở Mỹ và được trục xuất trở lại Việt Nam, Ngô Minh Hiếu hiện tại đang hoàn thành quá trình cách ly bắt buộc do dịch Covid-19. Trong cơ sở cách ly, Hiếu đã liên hệ với trang KrebsonSecurity với mục đích kể câu chuyện ít người biết tới của mình, đồng thời để cảnh báo những người khác không đi theo bước chân anh.

Khởi đầu

Mười năm trước, hacker 19 tuổi Hieupc thường xuyên truy cập các diễn đàn hacking tiếng Việt. Hiếu cho biết, anh ta đến từ một gia đình trung lưu, sở hữu một cửa hàng đồ điện tử. Anh ta được cha mẹ mua cho chiếc máy tính khi khoảng 12 tuổi. Ngay lập tức, chiếc máy tính đã thu hút sự chú ý của Hiếu.

Vào những năm cuối của tuổi thiếu niên, Hiếu đã sang New Zealand để học Tiếng Anh. Trong thời gian này, anh đã là admin của một vài diễn đàn hacker trên dark web, và giữa thời gian học, Hiếu đã phát hiện ra một lỗ hổng trong hệ thống của nhà trường mà sẽ làm lộ ra thông tin thẻ thanh toán. Như Hiếu nhớ lại thì: “Tôi đã liên lạc với kỹ thuật viên IT ở đó để sửa nó, nhưng chẳng có ai quan tâm nên tôi đã hack cả hệ thống luôn. Sau đó tôi dùng lỗ hổng tương tự để hack những website khác. Tôi đã lấy được rất nhiều thẻ tín dụng.”

Hiếu kể anh ta đã quyết định sử dụng dữ liệu thẻ lấy được để mua vé sự kiện và concert từ trang Ticketmaster, và rồi bán lại vé ở một trang đấu giá New Zealand tên là TradeMe. Trường Đại học sau đó phát hiện ra vụ xâm nhập và vai trò của Hiếu, và thế là cảnh sát Auckland bắt đầu điều tra. Visa du lịch của Hiếu sau đó không được gia hạn khi học kì đầu tiên kết thúc, và để trả đũa, anh này đã tấn công website của trường này, khiến nó bị sập trong ít nhất là 2 ngày.

Theo Hiếu, sau đó anh ta bắt đầu đi học lại ở Việt Nam, nhưng rồi cũng sớm nhận ra rằng mình đang dành phần lớn thời gian trên các diễn đàn tội phạm mạng. Hiếu kể: “Tôi chuyển từ hack cho vui sang hack để kiếm tiền khi thấy việc kiếm tiền bằng cách đánh cắp dữ liệu khách hàng là quá dễ dàng. Khi ấy tôi nói chuyện với vài người bạn quen trên các diễn đàn ngầm, chúng tôi đã nói về việc lên một kế hoạch phạm tội mới.”

“Các bạn tôi nói làm thẻ tín dụng và thông tin tài khoản ngân hàng thì rất nguy hiểm, nên tôi bắt đầu nghĩ về việc bán những bộ danh tính.” Hiểu kể tiếp: “Đầu tiên tôi chỉ cho rằng đó chỉ là thông tin thôi mà, có lẽ cũng không tệ lắm đâu vì có liên quan trực tiếp gì tới tài khoản ngân hàng đâu. Nhưng tôi đã sai, và số tiền tôi bắt đầu nhanh chóng kiếm được đã làm mờ mắt tôi trong rất nhiều vấn đề.”

MicroBilt: Mục tiêu lớn trong giai đoạn đầu sự nghiệp

Mục tiêu lớn đầu tiên của Hiếu là một công ty báo cáo tín dụng người tiêu dùng ở New Jersey tên gọi là MicroBilt. Hiếu kể: “Tôi đã hack vào nền tảng của họ và đánh cắp cơ sở dữ liệu khách hàng, từ đó tôi có thể đăng nhập như khách hàng của họ và truy cập các cơ sở dữ liệu về người tiêu dùng. Tôi đã ở trong các hệ thống của họ gần như cả năm trời mà họ không hề biết.”

Rất nhanh sau khi truy cập được vào hệ thống của MicroBilt, theo lời Hiếu, anh ta đã dựng trang Superget.info, một website được quảng cáo có bán bản ghi thông tin người tiêu dùng cá nhân. Theo Hiếu, ban đầu hệ thống của anh ta khá thủ công, người mua cần phải yêu cầu những trạng thái hay một tập thông tin cụ thể mà họ cần, để rồi anh ta sẽ thực hiện tìm kiếm bằng tay.

Hiếu nhớ lại: “Tôi đã cố để có nhiều bản ghi cùng lúc hơn, nhưng tốc độ internet của tôi ở Việt Nam khi đó rất chậm. Tôi không thể tải toàn bộ về bởi cơ sở dữ liệu này là quá khổng lồ. Thế nên tôi chỉ tìm kiếm một cách thủ công cho bất cứ ai cần mua danh tính.”

Nhưng sau đó, anh ta đã sớm tìm ra cách sử dụng những máy chủ mạnh mẽ hơn ở Mỹ để tự động hóa quá trình thu thập lượng thông tin người tiêu dùng lớn hơn từ hệ thống của MicroBilt, cũng như từ các công ty môi giới dữ liệu khác. Trong bài viết từ năm 2011 của KrebsonSecurity về trang web của Hiếu có đề cập:

“Superget cho phép người dùng của nó tìm những cá nhân cụ thể theo tên, thành phố và bang. Mỗi “tín dụng” trên trang web này có giá 1 USD, và một lần tìm thành công số an sinh xã hội (SSN) hay ngày sinh của ai đó sẽ có giá 3 điểm tín dụng. Bạn càng mua nhiều điểm tín dụng thì chi phí tìm kiếm sẽ càng rẻ hơn: 6 tín dụng giá 4,99 USD; 35 tín dụng giá 20,99 USD; và 100,99 USD sẽ đem về cho bạn 230 tín dụng. Những khách hàng với nhu cầu đặc biệt có thể sử dụng gói “đại lí”, với giá 500,99 USD cho 1.500 tín dụng và 1000,99 USD cho 3.500 tín dụng.

“Các cơ sở dữ liệu của chúng tôi được cập nhật HÀNG NGÀY”, chủ sở hữu của website này quảng cáo. “Khoảng 99%, gần như 100% người Mỹ có thể được tìm thấy, nhiều hơn bất cứ trang web nào trên internet hiện tại.”

Việc xâm nhập của Hiếu vào hệ thống của MicroBilt cuối cùng thì cũng bị phát hiện, và công ty này lập tức đẩy anh ta ra khỏi các hệ thống của mình. Nhưng theo hacker này thì anh ta sau đó lại xâm nhập vào thông qua một lỗ hổng khác. “Tôi đã hack vào hệ thống của họ và tình thế trở nên giằng co trong nhiều tháng”, Hiếu nói, “Họ có thể phát hiện ra (các tài khoản của tôi) và sửa chữa, nhưng tôi sẽ lại tìm ra một lỗ hổng mới và lại hack họ.”

Court Ventures và Experian

Trò chơi mèo đuổi chuột đó vẫn tiếp diễn cho tới khi Hiếu tìm được một nguồn dữ liệu người tiêu dùng ổn định và đáng tin cậy hơn: một công ty Mỹ có tên gọi Court Ventures, với khả năng tổng hợp các bản ghi công từ tài liệu của tòa án. Hiếu thì không quan tâm tới những dữ liệu kiểu này, thứ anh ta để ý về Court Ventures là thỏa thuận chia sẻ dữ liệu với công ty môi giới dữ liệu U.S. Info Search, với khả năng tiếp cận những bản ghi về người tiêu dùng còn nhạy cảm hơn nữa.

Sử dụng những tài liệu giả và những lời ngon ngọt, Hiếu đã có thể thuyết phục Court Ventures rằng anh ta là một điều tra viên tư nhân sống ở Mỹ. Anh ta kể: “Lúc đầu, khi tôi đăng ký họ đã yêu cầu một số giấy tờ để xác minh. Thế là tôi đơn giản là sử dụng một số kĩ năng social engineering và vượt qua kiểm tra an ninh một cách trót lọt.”. Sau đó, vào tháng Ba năm 2012, một điều “tuyệt vời” hơn đã xảy ra: Court Ventures được mua lại bởi Experian – một trong ba tổ chức tín dụng khách hàng lớn nhất ở Mỹ. Và sau chín tháng kể từ vụ thâu tóm này, Hiếu đã có thể duy trì truy cập vào cơ sở dữ liệu. Anh ta nói: “Sau đó, cơ sở dữ liệu được đặt dưới quyền kiểm soát của Experian. Tôi đã trả Experian kha khá tiền, hàng nghìn USD mỗi tháng.”.

Dù không thể biết được liệu có ai đó ở Experian đã từng có sự quan tâm cần thiết tới những tài khoản sáp nhập từ phía Court Ventures, nhưng có lẽ không khó khăn mấy để xác định ra điều bất hợp lý ở tài khoản như của Hiếu. Đầu tiên, phải kể đến việc anh ta thường trả hóa đơn hàng tháng cho những yêu cầu dữ liệu khách hàng qua hình thức chuyển khoản từ vô số tài khoản ngân hàng trên khắp thế giới, nhưng chủ yếu là từ những tài khoản mới lập ở các tổ chức tài chính tại Trung Quốc, Malaysia và Singapore.

Ông O’Neill cho biết, trang web bán thông tin danh tính của Hiếu đã tạo ra hàng chục nghìn truy vấn mỗi tháng. Có thể lấy ví dụ, hóa đơn đầu tiên mà Court Ventures gửi đến cho anh ta vào tháng Mười Hai năm 2010 là cho 60.000 lượt truy vấn. Tính đến trước thời điểm Experian mua lại công ty này, dịch vụ của Hiếu đã thu hút được khoảng hơn 1.400 khách hàng thường xuyên với trung bình 160.000 lượt truy vấn mỗi tháng.

Nhưng quan trọng hơn, biên lợi nhuận của Hiếu là rất lớn. Ông O’Neill nói: “Dịch vụ của anh ta kiếm bộn. Phía Court Ventures thu của anh ta 14 cent mỗi lần tìm kiếm, nhưng anh ta thu của khách hàng khoảng 1 USD cho mỗi truy vấn.”.

Tới thời điểm đó, ông O’Neill và các đồng nghiệp tại Cơ quan Mật vụ đã có được hàng tá trát của tòa có liên quan tới dịch vụ đánh cắp danh tính của Hiếu, bao gồm một cái cho phép họ quyền truy cập vào tài khoản email anh ta sử dụng để giao tiếp với khách hàng cũng như quản trị trang web của mình. Các đặc vụ khi đó đã khám phá vài email Hiếu gửi cho một đồng phạm, trong đó có hướng dẫn cách trả tiền cho Experian qua chuyển khoản từ các ngân hàng châu Á khác nhau.

TLO

Làm việc với Cơ quan Mật vụ, phía Experian đã nhanh chóng xóa sổ các tài khoản của Hiếu. Nhận thấy cơ hội, các đặc vụ đã liên hệ được với Hiếu thông qua một người trung gian ở Vương quốc Anh – một tội phạm mạng có tiếng đã bị kết án, người đã đồng ý làm theo lệnh của cơ quan này. Người này sau đó nói với Hiếu rằng chính anh ta đã ngưng quyền truy cập tới Experian của Hiếu bởi anh ta đã làm dịch vụ tương tự từ trước, và việc kinh doanh của Hiếu đã làm ảnh hưởng tới anh ta.