Kẽ hở nào giúp nhóm bán hàng online tại Việt Nam lừa đảo được 36 triệu USD của Facebook?

Mới đây, Facebook đã thông báo khởi kiện 4 cá nhân cư trú tại Việt Nam vì vi phạm Chính sách và Điều khoản quảng cáo. Theo đó, Facebook cáo buộc những người Việt Nam này sử dụng mánh khóe “đánh cắp cookie” hay “đánh cắp session” để xâm phạm tài khoản các nhân viên của nhiều đại lý quảng cáo, tiếp thị và sau đó chạy quảng cáo trái phép, gây thiệt hại đến 36 triệu USD cho mạng xã hội này.

Thông tin của Facebook cũng cho biết, 4 đối tượng này đã chạy quảng cáo sai lệch để quảng bá việc bán nhiều mặt hàng bao gồm quần áo, cốc chén, đồng hồ và đồ chơi cho chính nền tảng thương mại điện tử của mình hoặc qua phát trực tiếp. Bên cạnh lừa đảo nhân viên các đại lý quảng cáo, nhóm người này bị cáo buộc hỗ trợ cho các hành vi lừa đảo online.

Vậy làm thế nào mà chỉ 4 cá nhân có thể gây thiệt hại tới 36 triệu USD (tương đương 828 tỷ đồng) cho một mạng xã hội lớn nhất thế giới, vốn được vận hành bởi hệ thống công nghệ rất chuyên nghiệp và chặt chẽ?

Bước đầu tiên trong quá trình lừa đảo của nhiều nhóm bán hàng online tại Việt Nam là chiếm đoạt các tài khoản quảng cáo. Theo anh Thái Bình - một người có kinh nghiệm chạy quảng cáo Facebook nhiều năm, các cá nhân hoặc doanh nghiệp lớn tại nước ngoài thường có mức chi tiêu quảng cáo rất lớn, từ vài trăm triệu đồng đến cả trăm tỷ mỗi tháng, sẽ được Facebook cấp cho tài khoản quảng cáo Invoice (người trong ngành thường gọi là "Voi"). Dạng tài khoản này được cung cấp hạn mức tín dụng, cho phép chi tiêu trước và trả tiền sau. Doanh nghiệp chi tiêu càng nhiều, tín nhiệm càng cao thì hạn mức tín dụng càng lớn, có thể lên tới vài triệu USD.

Những tài khoản Voi sau đó sẽ trở thành đối tượng mà các hacker “rình mò” để chiếm quyền truy cập, qua app hoặc đường dẫn. Với nhóm 4 đối tượng bị Facebook kiện nêu trên, chúng tạo ra và dụ nạn nhân tải xuống ứng dụng "Ad Manager for Facebook" trên Google Play Store để đánh cắp thông tin. Việc hack cũng không hề đơn giản và ít người làm được. Các tài khoản sau khi bị hack sẽ đem bán lại cho các nhóm bán hàng online tại Việt Nam với chiết khấu rẻ hơn.

“Những tài khoản này khi hack về cũng rất dễ “die” do bất thường, không tiêu được tiền, chiến dịch quảng cáo dừng giữa chừng hoặc tài khoản không hoạt động do đổi môi trường. Tuy nhiên, nếu chạy được thì sẽ phải tiêu tiền thật nhanh, chạy quảng cáo đến nỗi không cần suy nghĩ về ngân sách”, anh Bình cho biết thêm.

Tài khoản của 1 trong 4 bị đơn trong đơn kiện của Facebook

Ngoài việc hack tài khoản quảng cáo của doanh nghiệp lớn, các cá nhân đơn lẻ cũng có những mánh khóe riêng nhằm “quỵt” tiền từ Facebook. Cụ thể, sau khi chi tiêu đủ nhiều và đạt ngưỡng, các cá nhân hay công ty nhỏ cũng có thể được mạng xã hội này cấp tài khoản trả sau, dù hạn mức tín dụng hạn chế hơn nhiều. Người sở hữu tài khoản sẽ chi tiêu cho quảng cáo trước, rồi “quên” thanh toán. Tài khoản sau đó sẽ bị khóa, thẻ mất hiệu lực nhưng hoàn toàn có thể lập tài khoản mới. Tuy nhiên việc này không phổ biến vì không dễ để được Facebook cấp tài khoản trả sau.

Cuối cùng, người chịu thiệt hại, mất tiền là Facebook. Đối với các doanh nghiệp lớn, việc mất tài khoản sẽ ảnh hưởng và làm gián đoạn đến chiến dịch truyền thông, quảng cáo của họ.