Nếu chuyện này xảy ra ở Mỹ, công ty này đã phá sản.

Đã xảy ra một vụ án trong đó các đối tượng chở một trạm phát sóng di động cỡ nhỏ (femtocell) trên ô tô và di chuyển quanh các khu chung cư, thu thập
thông tin cá nhân và
thông tin thanh toán bằng thẻ tín dụng
của khoảng 20.000 người.

Không dừng lại ở đó, chúng còn sử dụng những thông tin này để mua phiếu quà tặng và các sản phẩm khác,
sau đó biến chúng thành tiền thu được từ hoạt động phạm tội.

Hiện tại, có 13 người được xác định là đã bị bắt giữ.

Bốn nhân vật chủ chốt A, B, C và D đều được xác định là công dân Trung Quốc.

A là người trực tiếp thực hiện, chở thiết bị trên ô tô và di chuyển để thu thập thông tin.
B là người cất giữ và chuyển giao thiết bị trạm phát sóng di động cỡ nhỏ.
C là người chuyển đổi tiền thu được từ phạm tội thành tiền mặt rồi chuyển sang Trung Quốc.
D tham gia đổi ngoại tệ và chuyển tiền.

Đây là một tổ chức được chuẩn bị một cách chuyên nghiệp và có hệ thống.

Trong quá trình điều tra, các đối tượng khai rằng họ hoạt động theo mệnh lệnh của cấp trên tại Trung Quốc,
qua đó cũng xuất hiện khả năng có những nhân vật cấp cao hơn tại Trung Quốc đứng sau điều khiển toàn bộ hoạt động này.


Vụ án đã được xét xử đến cấp phúc thẩm tại Hàn Quốc.
Vẫn phải chờ xem vụ án có được kháng cáo lên Tòa án Tối cao hay không.

Dưới đây là nội dung phán quyết cho đến cấp phúc thẩm.

A: Chở femtocell bất hợp pháp trên ô tô và đi quanh các khu chung cư ở khu vực thủ đô Seoul để thực hiện hành vi phạm tội → 4 năm 6 tháng tù
B: Cất giữ và chuyển giao thiết bị femtocell bất hợp pháp → 3 năm 6 tháng tù
C: Chuyển đổi tiền thu được từ phạm tội thành tiền mặt và chuyển sang Trung Quốc → 2 năm 6 tháng tù
D: Tham gia đổi ngoại tệ và chuyển tiền từ tiền thu được do phạm tội → 8 tháng tù, cho hưởng án treo 2 năm

Vậy hãy cùng xem A đã thực hiện hành vi phạm tội như thế nào.

Trước tiên, chúng ta cần hiểu trạm phát sóng di động cỡ nhỏ (femtocell) là gì.

Điện thoại thông minh mà chúng ta sử dụng vừa phát vừa nhận sóng vô tuyến.
Các tín hiệu này sau khi kết nối với mạng thông tin Internet sẽ được truyền đến đích.

Khi nhận dữ liệu thì quá trình diễn ra theo chiều ngược lại.

Tuy nhiên, một thiết bị nhỏ như điện thoại thông minh rõ ràng có giới hạn về công suất phát sóng
cũng như khoảng cách mà nó có thể nhận hoặc truyền tín hiệu.

Trạm phát sóng chính là thiết bị hỗ trợ ở giữa.

Trạm phát sóng nhận tín hiệu vô tuyến từ điện thoại thông minh
và truyền thông tin vào mạng thông tin Internet.


Ở những khu vực nằm trong phạm vi phủ sóng của trạm phát sóng, điện thoại thông minh có thể sử dụng dịch vụ một cách ổn định.

Ngược lại, tại những nơi hẻo lánh và địa hình hiểm trở như sâu trong núi hoặc trên đỉnh núi, nơi không có trạm phát sóng ở gần hoặc trạm phát sóng ở quá xa,
tín hiệu có thể yếu đi hoặc điện thoại thậm chí mất hoàn toàn dịch vụ.

Nói cách khác, khi phạm vi phủ sóng và cường độ tín hiệu của trạm phát sóng mạnh thì kết nối cũng sẽ tốt hơn.


Chính vì vậy, điện thoại thông minh được thiết kế để tự động kết nối với tín hiệu mạnh hơn nếu đó là tín hiệu từ một trạm phát sóng đã được xác thực.

Xin đừng hỏi tại sao điện thoại thông minh lại được thiết lập tự động kết nối và vì thế khiến thông tin của người dùng bị đánh cắp.

Bởi vì

Nhà mạng	Số trạm phát sóng 5G
SK Telecom	121.252
KT	114.552
LG U+	109.991
Tổng cộng	345.795

Bạn có thấy số lượng trạm phát sóng không?

Đúng vậy, bất kể nhà mạng của bạn là công ty nào,

khi bạn di chuyển từ khu vực này sang khu vực khác và trạm phát sóng mà điện thoại kết nối thay đổi,

chẳng lẽ bạn lại có thể nhấn
“Bạn có muốn kết nối với trạm phát sóng này không?”
Có / Không?

Đương nhiên là không thể.

Đó là lý do điện thoại thông minh tự động bắt tín hiệu mạnh nhất,
giúp người dùng sử dụng dịch vụ một cách thuận tiện.


Vì vụ việc lần này liên quan đến việc thu thập thông tin trái phép thông qua một trạm phát sóng di động,

nếu bạn hoàn toàn chặn kết nối di động bằng cách bật chế độ máy bay
và chỉ sử dụng WIFI,
thì có lẽ thông tin của bạn đã được bảo toàn.

Nhưng tại sao khách hàng lại phải làm như vậy?

Tại sao khách hàng phải trả tiền cho dịch vụ mà còn phải chịu sự bất tiện này?
Tại sao về đến nhà lại phải bật chế độ máy bay?
Bạn là phi công à?

Trách nhiệm về vụ việc lần này hoàn toàn thuộc về nhà mạng.
Đó là KT.

Khách hàng trả tiền để được sử dụng dịch vụ một cách thuận tiện.

Tất nhiên, khách hàng cũng không thể yêu cầu nhà cung cấp bảo vệ mình trước mọi tình huống có thể xảy ra.

Nhưng nếu vấn đề cốt lõi xảy ra do hệ thống an ninh của nhà cung cấp dịch vụ bị xâm phạm,
thì đây rõ ràng không phải là vấn đề mà khách hàng phải tự chịu trách nhiệm phòng tránh.

Vậy chính xác thì hệ thống an ninh của KT đã bị xâm phạm như thế nào?

Trước hết, nếu mở rộng phạm vi mua bán thiết bị trạm phát sóng di động cỡ nhỏ ra toàn thế giới,

thì dù thế nào đi nữa, dường như vẫn có thể mua được loại thiết bị này.

Nói cách khác, chỉ riêng thiết bị thôi thì không thể đảm bảo an ninh.

Vậy cần gì nữa?

Đúng vậy, không chỉ cần bản thân thiết bị,
mà trước tiên phải có một chứng chỉ chứng minh rằng
“đây là thiết bị chính thức đã được cấp phép”.

Đồng thời cũng phải có ID đăng nhập của nhân viên được cấp quyền.

Một thiết bị được xác thực chính thức
và
một ID đăng nhập có danh tính rõ ràng

Chỉ cần hai thứ này được bảo vệ đúng cách thì phần lớn cấu trúc bảo mật cơ bản đã có thể được duy trì ở mức rất chặt chẽ.
Tôi biết bằng cách nào ư?

Bởi vì đó là cấu trúc cơ bản của các hệ thống bảo mật trên toàn thế giới.

Các biện pháp bổ sung như OTP, trong đó mã xác thực thay đổi theo thời gian thực,
chỉ được thêm vào để tăng mức độ nghiêm ngặt của hệ thống bảo mật.

Cũng giống như việc ai đó lấy được điện thoại thông minh của bạn không có nghĩa là họ có thể truy cập vào ứng dụng ngân hàng của bạn,
nguyên tắc tương tự cũng được áp dụng ở đây.

Vậy chẳng lẽ A đã lấy được cả hai thứ đó sao?

Dù hiện nay KT là một công ty tư nhân,
nhưng cho đến năm 2002, đây vẫn là một doanh nghiệp do chính phủ sở hữu và điều hành.
Liệu một chuyện như vậy thực sự có thể xảy ra tại KT sao?

Không thể nào. Đúng không?

Đúng vậy. Cả hai thứ đều đã có.

Chứng chỉ được trích xuất từ một thiết bị chính thức đã được cấp phép nhưng đã bị loại bỏ vào năm 2020,
và thời hạn hiệu lực của chứng chỉ được cho là 10 năm.

Tại sao chứng chỉ lại không bị thu hồi? Trong khi bản thân thiết bị đã bị loại bỏ.
Chẳng lẽ đây thực sự là một hệ thống trong đó một chứng chỉ có thể xác thực nhiều thiết bị?

Thứ hai, ID mà các đối tượng sử dụng là một ID không được cấp quyền.

Nói cách khác, một ID chưa được phía trụ sở KT chính thức phê duyệt
vẫn có thể đăng nhập và thực hiện các chức năng vốn dành cho ID được cấp quyền.

Chuyện này là sao? Làm thế nào một việc vô lý như vậy lại có thể xảy ra?

Thông thường, cho dù bằng cách nào đó có thể lấy được chứng chỉ và cài đặt nó vào một trạm phát sóng giả,

thì ID nhân viên cần có sự phê duyệt của trụ sở
cũng không thể dễ dàng có được,
trừ khi biến một nhân viên của công ty thành đồng phạm
hoặc mua ID từ người khác.

Thế nhưng ở đây, chỉ cần một ID được tạo ra một cách đơn giản là đã có thể sử dụng.

Và hành vi phạm tội đã kéo dài tới 11 tháng.

Không phải 11 giờ.


Nếu một ID không được cấp quyền đã hoạt động trong suốt 11 tháng
mà không ai phát hiện,

thì có thể nói rằng hệ thống quản lý và tạo ID gần như hoàn toàn không hiệu quả.


Thậm chí, nếu vụ án này phải được thực hiện theo cách phạm tội mà tôi vừa lấy làm ví dụ thì còn có vẻ hợp lý hơn.

Chỉ cần biện pháp cơ bản đó được thực hiện đúng cách,
một vụ án vô lý như thế này đã không xảy ra.

Đây không phải là tôi đòi hỏi điều gì quá đáng.

Đối với một công ty cung cấp dịch vụ,
đây là một trách nhiệm hiển nhiên — thậm chí có thể nói là một trong những nhiệm vụ quan trọng nhất.
Bởi vì nó liên quan trực tiếp đến thông tin cá nhân của khách hàng.

Nhưng

chứng chỉ lại đơn giản được lưu hành bên ngoài hệ thống kiểm soát,
ID có thể được tạo bởi tội phạm nhưng vẫn có thể đăng nhập,

và trụ sở công ty không phát hiện ra điều này suốt 11 tháng.

Thông tin của khách hàng đã bị đánh cắp,
không chỉ là thông tin cơ bản mà còn cả thông tin thanh toán bằng thẻ tín dụng.

Thiệt hại tài chính thực tế được xác định cho đến nay
đã lên tới 250 triệu won Hàn Quốc.

Việc thông tin của 20.000 người bị chuyển sang Trung Quốc
là một thiệt hại mà có lẽ sẽ không bao giờ có thể tính toán đầy đủ.


Tôi cho rằng nếu chuyện này xảy ra ở một quốc gia có môi trường kiện tụng mạnh như Hoa Kỳ,
thì nó có thể đe dọa nghiêm trọng đến sự tồn tại của công ty.


Nhưng có lẽ vì chuyện này xảy ra ở Hàn Quốc,

thật đáng tiếc khi những bài báo về việc một con cá mập xuất hiện ở Busan,
thậm chí còn được mọi người đặt tên,

lại nhận được nhiều sự chú ý hơn,
trong khi một vụ việc như thế này lại nhận được tương đối ít sự quan tâm.