Lần theo dấu vết những hacker tội phạm: làm thế nào chúng có thể thuê phòng khách sạn 5 sao với giá rẻ như cho?

Bài viết dựa theo chặng đường điều tra của phóng viên Motherboard vào thế giới của các đại lý đen chuyên bán các gói du lịch lậu.

Tôi trốn đám đông và tiếng còi xe inh tai của New York, ẩn mình vào một căn phòng khách sạn trên Quảng trường Thời đại. Tôi nằm tại chiếc giường này với giá chỉ bằng một phần số tiền niêm yết của khách sạn, tất cả là nhờ một tay lừa đảo trên một forum Nga.

Tại đó, cả một thế giới rộng lớn của dân buôn ngầm phát triển, bán ra những phòng khách sạn 4 -5 sao với mức giá trong mơ: họ lợi dụng quyền lợi giảm giá của nhân viên khách sạn, luồn qua khe hở tạo ra bởi những kẻ trong nghề du lịch.

Để điều tra về cách thức hoạt động của họ, cách họ tránh né những con mắt nhòm ngó của cơ quan chức năng, và sự quản lý lỏng lẻo của hệ thống khách sạn không thể ngăn chặn được kẻ xấu trục lợi, chúng tôi - phóng viên Motherboard đã thuê một phòng khách sạn ngay tại Quảng Trường Thời đại trên một forum ngầm, với giá chỉ 100 USD – chưa bằng tới một nửa giá niêm yết.

Có những người bán gói phòng khách sạn rẻ hơn mức niêm yết tới 60-70%, giá chuyến bay tới những phòng khách sạn nước ngoài cũng chỉ nửa giá hoặc thậm chí rẻ hơn. Khách hàng mua vé tại đây có thể ở khách sạn khắp nơi trên thế giới, thế mới thấy hoạt động buôn bán ngầm có quy mô lớn ra sao.

"Làm thế nào mà chúng tôi có được giá rẻ ư? Bí mật ngành nghề bạn tôi ạ, bạn cứ biết rằng chúng tôi có thể đặt phòng với ‘điểm’, với cách thức riêng khiến cho mọi giao dịch nhìn như chính thống", một bài đăng vé máy bay giá rẻ trên Dream Market – nhiều khả năng là chợ đen lớn nhất dark web ở thời điểm bài viết được đăng tải – nói rõ như vậy.

Các đại lý du lịch như vậy thường "dựng rạp" tại các trang web phi pháp, các khu chợ online không có sự can thiệp của các nhà cầm quyền. Đại đa số những quảng cáo, những thread đăng bài chúng tôi theo dõi nằm trên các forum tiếng Nga, một vài web có tiếng Anh hoặc tiếng A-rập. Có một vài người bán còn lập cả trang web của riêng mình, bán ra những gói du lịch gồm khách sạn và vé máy bay cực rẻ mà không biết lấy được từ đâu.

Thông thường, những đại lý du lịch này quảng cáo giá hời của mình kèm theo thông tin về số ngày khách có thể đặt trước. Một số đại lý còn bán cả một gói đầy đủ các dịch vụ: vé khứ hồi, taxi di chuyển từ sân bay về khách sạn, phòng khách sạn với chỉ một mức giá rất rẻ.

Cách quảng cáo của các đại lý du lịch này thường khá lố bịch, đập thẳng vào mắt người dùng. Một vài nơi còn tự cho mình là đủ nổi tiếng để có logo riêng, font chữ riêng để quảng bá. Họ đều nhấn mạnh vào khả năng chăm sóc khách hàng rất tốt. Đa số người mua sẽ được dẫn từ forum về trang bán hàng riêng hoặc lên những ứng dụng nhắn tin mã hóa (như Telegram hay ICQ) để giao dịch cho an toàn và thuận tiện. Một số đại lý còn hiện đại hơn chút, chạy cả chatbot trên Telegram để trả lời khách hàng. 

Trong trường hợp của tôi, tôi liên lạc với một vài đại lý bán gói du lịch trên Telegram, hỏi họ về khách sạn tại một số nước khác nhau. Nơi nói rằng có thể đặt phòng tại London cho tôi, nơi lại quảng bá họ sẽ sẵn sàng đặt khách sạn ngay tại trung tâm New York, có điều "không phải khách sạn nào cũng đặt được". Thông thường, khách hàng sẽ cung cấp cho đại lý thông tin về nơi mình muốn ở, thời điểm check-in và check-out để đại lý lựa đường xem xét.

Sau khi tôi chọn được khách sạn tại New York là điểm dừng chân cuối cùng, đại lý cho tôi tên khách sạn nằm gần Quảng trường Thời đại. Họ nêu giá "100 USD trả bằng bitcoin", rẻ hơn giá niêm yết tới hơn một nửa. Tôi gửi họ 100 USD, cung cấp tên và chỉ nửa tiếng sau, họ gửi cho tôi xác nhận đặt phòng thành công. 

"Với bất kì nhóm tội phạm mạng nào, việc giao dịch bằng bitcoin sẽ dễ dàng hơn nhiều việc đổi tiền để giao dịch bình thường bằng tiền mặt", ba nhà nghiên cứu bảo mật tại Trend Micro là Vladimir Kropotov, Mayra Rosario Fuentes và Fyodor Yarochkin nói với tôi.

Theo thông tin Trend Micro cung cấp, cách thức bán hàng này đã tồn tại từ hồi 2005. Từ khi vé máy bay có thể được mua bán và trao đổi dưới dạng vé điện tử, ngành buôn lâu này phát triển thịnh không điểm dừng. "Càng ngày, chúng tôi càng thấy nhiều giao dịch hơn, so với thời điểm vài năm trước đây", tổ chức nghiên cứu bảo mật Trend Micro nói.

Họ nói đúng. Chỉ riêng trong năm ngoái, cơ quan chức năng đã tập trung hơn vào thị trường buôn vé máy bay lậu, bắt giữ 193 người có dính líu tới các giao dịch liên quan. Tháng Năm vừa rồi, nước Anh bỏ tù Grant West – được biết tới trên mạng với cái tên Courvoisier – với tội danh giao dịch trên dark web.

Như các bạn biết, các hãng máy bay luôn có cơ chế tích lũy dặm cho thành viên bay nhiều. Hành khách có thể quy đổi dặm tích lũy thành các dịch vụ khác nhau, như nâng hạng ghế, miễn cước hành lý, nhưng đáng chú ý nhất phải là vé thưởng – những tấm vé miễn phí.

Bằng mọi cách, chúng tôi đảm bảo mình có thể mua vé lậu bằng điểm tích lũy chứ không phải bằng các hình thức giao dịch khác. Việc chuyển đổi điểm hay bán điểm cho người khác là hoàn toàn hợp pháp, dù rằng nhiều hãng không cho phép làm vậy. Phát ngôn viên từ hãng hàng không Emirates có khẳng định với Motherboard rằng: "Hãng hiểu rõ rằng có rất nhiều hành khác mua và trao đổi dặm tích lũy với nhau. Điều này không cõ nghĩa là những dặm ấy trái pháp luật. Chúng tôi còn cho phép khách hàng chuyển dặm tích lũy cho bạn bè và người thân. Khi dựa trên điểm tích để mua vé, chúng tôi sẽ không thể xác định được những dặm tích lũy đó đã được mua bán bất hợp pháp".

Các hãng hàng không và các chuỗi khách sạn khác đều khẳng định rằng họ rất coi trọng việc tìm ra các giao dịch lừa đảo, cố gắng làm mọi cách để ngăn chặn kẻ xấu nhưng rõ ràng, với việc chúng tôi thanh toán thành công, rõ ràng vẫn tồn tại những khe hở để lợi dụng.

Trên forum, có một đại lý bán gói du lịch mà số trang chứa bài viết lên tới 72, đa số là những lời khen của những người đã sử dụng dịch vụ trái phép. Có nhiều bài đăng rất mới, chỉ trước thời điểm bài viết này được đăng tải có một tuần. Thế mới thấy dịch vụ du lịch trái phép đông khách ra sao.

Đôi lúc những tấm ảnh đó lại để lộ thông tin người dùng bất cẩn. Dựa theo những gì hiện hữu, chúng tôi lần ra được chính xác người mua vé lậu đang ngụ tại khách sạn nào, tại địa điểm nào. Có người còn đăng cả vé máy bay lên, dù đã che mờ phần thông tin cá nhân nhưng mã vạch trên vé vẫn hiện rõ, từ đó chúng tôi lại lần ra được toàn bộ thông tin chủ sở hữu tấm vé lậu.

Tỉ lệ thành công cũng chưa phải 100%. Vẫn có những người không đặt được phòng và không mua được vé. Có vẻ như nếu đặt trước chỉ từ 1 đến 5 ngày, tỉ lệ thành công sẽ cao hơn hẳn, giao dịch sẽ được thực hiện trước thời điểm hệ thống phát hiện lừa đảo được kích hoạt.

Theo các nhà nghiên cứu bảo mật tại Trend Micro nhận định, những đại lý bán gói du lịch "nghiên cứu rất kĩ hệ thống phát hiện lừa đảo và có những cách thức riêng để qua mặt, trì hoãn các cảnh báo giả mạo, cho phép người mua vé lậu sử dụng dịch vụ trước khi hệ thống phát hiện ra sai lệch".

Cũng giống bất kì tổ chức tội phạm mạng nào khác, để truy ra dược cách kẻ gian tối ưu hóa cơ sở vật chất và làm tiền từ đó, ta phải nối lại rất nhiều mảnh ghép rời rạc để ra được bức tranh toàn cảnh. Trong một chuỗi cung ứng vé lậu, có rất nhiều người khác nhau tham gia vào các công đoạn khác nhau. Như ví dụ dưới đây, có người cung cấp thẳng điểm thành viên để người mua muốn quy đổi ra dịch vụ gì thì tùy họ.

Một tay buôn điểm trên Dream Market quảng cáo điểm danh vọng của chuỗi khách sạn Hilton: 100.000 điểm chỉ với 900 USD. Dựa theo mức giá của từng hạng phòng, một lần sử dụng điểm để ở miễn phí tại Hilton sẽ mất khoảng 5.000 điểm. Khách sạn Hilton không phản hồi yêu cầu cung cấp thông tin của chúng tôi.

Điểm thành viên có lợi thế rất lớn. Các nhà nghiên cứu bảo mật từ công ty Digital Shadows nói với chúng tôi rằng các đại lý bán gói du lịch trái phép sẽ lợi dụng cơ chế giảm giá cho nhân viên, sử dụng coupon mua hàng hoặc có sự giúp sức từ kẻ gian từ bên trong hệ thống.

Còn về phần tôi, những giao dịch tôi vừa thực hiện với đại lý bán vé trái phép diễn ra suôn sẻ.

"Ngày mai, nhắn tôi biết khi bạn check-in", đại lý nhắn với tôi qua Telegram, không lâu sau khi giao dịch diễn ra xong xuôi. Sau khi tới khách sạn, tôi chụp tấm ảnh Quảng trường Thời đại từ cửa sổ khách sạn, tới quầy bar và nhấp chút rượu whiskey, nhắn lại cho người bán rằng tôi đã tới nơi trót lọt.

Họ nhắn trả vỏn vẹn một từ "Ok".