Bị buộc tội lừa đảo máy tính vì tài khoản CashApp giả mạo đứng tên cô

Có những câu chuyện nghe như kịch bản phim, nhưng lại đang xảy ra ngoài đời thật. Một phụ nữ ở vùng nông thôn Pennsylvania (Mỹ) bị bắt giữ vì tội lừa đảo máy tính, trong khi bằng chứng duy nhất là... một tài khoản CashApp do kẻ lừa đảo tự mở bằng thông tin cá nhân của cô.

Điều đáng nói: chính nạn nhân lại bị coi là bị can, còn ứng dụng thanh toán thì từ chối cung cấp thông tin vì cô "không chứng minh được mình là chủ tài khoản".

Ba đêm trong tù vì một tài khoản cô chưa từng dùng

Vào một buổi chiều tháng Tư, Amanda Smith mở cửa và đối mặt với cảnh sát trưởng địa phương. Họ thông báo có lệnh bắt cô vì một tội danh xảy ra cách đó hơn 1.600 km, tại bang Arkansas.

"Tôi hoàn toàn bối rối", Smith kể lại.

Lý do bối rối rất dễ hiểu: cô chưa từng đặt chân đến Arkansas, và tội danh là lừa đảo máy tính — trong khi cô tự nhận mình không rành công nghệ. Cô linh cảm mình đang bị gài bẫy. Sau khi trao đổi với cảnh sát về những thủ tục sắp diễn ra (cô được phép mang theo kính áp tròng), Smith bị còng tay và đưa về nhà giam địa phương, nơi cô ở suốt ba đêm.

Sau này cô mới biết nguyên nhân: một kẻ lừa đảo đã dụ một người trên Facebook Marketplace chuyển 1.000 USD vào một tài khoản CashApp đứng tên cô nhưng do kẻ đó kiểm soát. Hắn đã tạo tài khoản bằng số An sinh xã hội và ngày sinh của Smith. Bản thân Smith chưa bao giờ sử dụng CashApp.

Vòng luẩn quẩn: bị buộc tội nhưng không được xem dữ liệu của chính mình

Những ngày sau đó mở ra một tình huống éo le kéo dài suốt sáu tháng. Theo lời Smith, cô bị yêu cầu chứng minh mình vô tội trong một vụ án hình sự đang tiến hành — trong khi CashApp từ chối cung cấp bất kỳ thông tin nào về tài khoản, với lý do cô không chứng minh được mình là chủ sở hữu.

Đây chính là điểm mấu chốt của câu chuyện, và cũng là nghịch lý khiến cộng đồng công nghệ phẫn nộ:

• Kẻ lừa đảo mở tài khoản bằng dữ liệu cá nhân bị đánh cắp, không cần xác minh danh tính thực sự.
• Khi nạn nhân bị đánh cắp danh tính muốn làm rõ, ứng dụng lại yêu cầu cô xác thực quyền truy cập vào tài khoản mà cô không hề tạo ra.
• Cơ quan điều tra dựa vào tên trên tài khoản để khởi tố, nhưng không có công cụ buộc nền tảng minh bạch dữ liệu.

Lỗ hổng xác thực của các ứng dụng thanh toán

Vụ việc của Smith không phải cá biệt. Nó phơi bày một lỗ hổng có hệ thống trong cách các ứng dụng chuyển tiền như CashApp, Venmo hay Zelle xử lý việc mở tài khoản: quy trình đăng ký thường khá lỏng lẻo, chỉ cần số điện thoại, email, số An sinh xã hội và ngày sinh — những dữ liệu đã xuất hiện tràn lan trong các vụ rò rỉ dữ liệu lớn.

Khi danh tính bị đánh cắp, nạn nhân thường rơi vào thế không thể tự bảo vệ mình: họ không có quyền truy cập tài khoản (vì không phải người tạo), nền tảng không chịu trách nhiệm pháp lý thay họ, còn cơ quan thực thi pháp luật lại nhìn vào tên trên tài khoản để truy cứu.

Bài học cho người dùng Việt Nam

Dù câu chuyện diễn ra ở Mỹ, nó là lời cảnh báo trực tiếp cho người dùng ví điện tử và ứng dụng thanh toán tại Việt Nam như MoMo, ZaloPay, VNPay hay ShopeePay:

• Bảo vệ số CCCD, số điện thoại và ngày sinh — đây là bộ dữ liệu đủ để mở nhiều tài khoản trực tuyến.
• Kiểm tra tín dụng và tài khoản ngân hàng định kỳ, đặc biệt sau các vụ rò rỉ dữ liệu lớn.
• Bật xác thực hai lớp và cảnh giác khi bị yêu cầu "chụp CCCD hai mặt" qua tin nhắn hay mạng xã hội.
• Khi phát hiện tài khoản lạ đứng tên mình, cần lưu lại toàn bộ bằng chứng và báo ngay cho nền tảng lẫn cơ quan chức năng.

Câu chuyện của Amanda Smith đặt ra một câu hỏi lớn hơn cả vụ án cá nhân: khi danh tính số của một người bị chiếm đoạt, ai mới thực sự chịu trách nhiệm — nạn nhân, nền tảng, hay hệ thống pháp lý đang chậm chân so với tội phạm công nghệ?