Bài báo hôm qua đã phần nào kể lại câu chuyện của Ngô Minh Hiếu, một hacker mà Sở Mật vụ Mỹ mô tả là kẻ gây ra tổn hại về vật chất và tài chính cho nhiều người Mỹ hơn bất cứ tội phạm nào đã bị bắt trước đây. Mới đây Hiếu đã bị trục xuất về Việt Nam sau bảy năm ngồi tù do tổ chức vài đường dây buôn bán danh tính. Cậu giờ muốn kể ra những trăn trở của mình để thuyết phục những tội phạm mạng khác hãy sử dụng khả năng của mình cho mục đích chính đáng. Đây là những gì xảy ra sau khi cậu bị phục kích.

Phần I của loạt bài này kết thúc khi Hiếu bị còng tay ngay sau khi bước xuống máy bay từ Việt Nam đến Guam, nơi cậu đinh ninh rằng mình sẽ gặp một tên tội phạm khác, kẻ hứa rằng sẽ kết nối cậu với trùm của tất cả các băng nhóm chuyên buôn bán danh tính.

Hiếu đã kiếm hơn 125.000 USD mỗi tháng nhờ buôn đi bán lại quyền truy cập bất chính của mình vào những nhà cung cấp dữ liệu lớn nhất thế giới. Nhưng Sở Mật vụ Mỹ đã phát hiện ra những tài khoản này và triệt hạ từng cái một. Hiếu trở nên ám ảnh với việc mở lại đường dây của mình và muốn duy trì thu nhập như trước đây. Lúc này, đường dây buôn bán danh tính của cậu đã thu về xấp xỉ 3 triệu USD.

Trong lúc đó, các đặc vụ ở Sở Mật vụ Mỹ đã sử dụng một kẻ trung gian để lừa Hiếu tưởng rằng mình đang dẫm chân lên lãnh thổ của một nhóm tội phạm khác. Ở phần I:

Sở Mật vụ Mỹ đã liên lạc với Hiếu thông qua một trung gian ở Anh – một tên tội phạm mạng đã bị kết án, và hắn đã đồng ý hợp tác với Sở. Hắn bảo rằng chính hắn đã khoá quyền truy cập của Hiếu vì hắn đến trước, rằng Hiếu đang cản trở công việc làm ăn của hắn.

“Tên người Anh đó bảo Hiếu, ‘Ê, mày đang dẫm lên sân của tao rồi đấy, tao đang tạm khoá mày lại. Trả tiền đây, mày sẽ được được lấy lại quyền truy cập’,” Đặc vụ Matt O’Neill ở Sở Mật vụ Mỹ nhớ lại.

Sau hàng tháng trời nói qua nói lại với tên người Anh khó chịu này, Hiếu đồng ý gặp mặt tại Guam để hoàn tất thoả thuận. Nhưng ngay khi bước chân xuống khỏi máy bay ở Guam, cậu đã bị các đặc vụ ở Sở Mật vụ Mỹ bắt giữ.

Trong một cuộc phỏng vấn với KrebsOnSecurity, Hiếu nói cậu đã phải trải qua hai tháng tù giam ở Guam để chờ chuyển đến Mỹ. Sau một tháng cậu được phép gọi điện về nhà 10 phút để giải thích với gia đình cậu đang vướng vào chuyện gì.

“Đó là thời khắc vô cùng khó khăn,” Hiếu nói. “Họ rất buồn và đã khóc rất nhiều.”

Điểm dừng đầu tiên trong chặng đường truy tố của cậu là ở New Jersey, nơi cậu thú nhận đã hack vào MicroBilt, một trong những nhà cung cấp dữ liệu đầu tiên mở đường cho những lần nâng cấp dịch vụ sau này của đường dây buôn bán danh tính của cậu nhiều năm sau.

Tiếp đến là New Hampshire, nơi cậu đã nhận tội và làm nhân chứng cho ba phiên toà khác dành cho những tên tội phạm trộm danh tính, những kẻ đã sử dụng dịch vụ của cậu trong nhiều năm. Một trong số đó là Lance Ealy, một tên trộm danh tính hàng loạt ở thành phố Dayton, bang Ohio, đã sử dụng dịch vụ của Hiếu để mua hơn 350 “fullz” – thuật ngữ để chỉ một bộ dữ liệu hoàn chỉnh cho người nào muốn trộm danh tính của ai đó, bao gồm số Chứng minh thư, họ cũ của mẹ, ngày sinh, địa chỉ nhà riêng, số điện thoại, địa chỉ email, tài khoản ngân hàng và cả mật khẩu nữa.

Ealy sử dụng dịch vụ của Hiếu chủ yếu để làm giả hồ sơ hoàn thuế gửi đến Sở Thuế vụ Mỹ, đòi một lượng lớn tiền hoàn thuế dưới danh nghĩa của những nạn nhân đã bị trộm danh tính, những người sau đó mới đi nộp hồ sơ hoàn thuế và phát hiện ra đã có ai đó nộp trước mình rồi.

Sự hợp tác của Hiếu với chính phủ đã đưa đến 20 cuộc bắt giữ khác, hàng chục kẻ trong số đó bị dụ ra ngoài ánh sáng nhờ O’Neill và những đặc vụ khác ở Sở Mật vụ Mỹ đóng giả Hiếu.

Sở Mật vụ Mỹ gặp khó khăn trong việc đưa ra một con số thiệt hại tài chính chính xác gây ra bởi các đường dây buôn bán danh tính của Hiếu trong nhiều năm trời, chủ yếu bởi vì những dịch vụ này chỉ giữ lại những lệnh tìm kiếm mà khách hàng đã tìm kiếm, chứ không giữ lại những lệnh mà khách hàng đã trả tiền.

Nhưng dựa vào những gì thu thập được, chính phủ ước tính rằng đường dây của Hiếu đã gây ra thiệt hại xấp xỉ 1,1 tỉ USD cho những tài khoản ngân hàng và tài khoản dịch vụ vừa bị lừa đảo, và khoảng 64 triệu USD tiền hoàn thuế bị gian lận ở các bang và ở Sở Thuế vụ.

“Chúng tôi đã nói chuyện với một vài khách hàng của Hiếu, những người khá cởi mở về việc tại sao họ lại dùng những dịch vụ như thế này,” O’Neill nói. “Rất nhiều trong số họ trả lời giống nhau: Đối với họ, mua những danh tính này tốt hơn nhiều so với mua thông tin thẻ thanh toán, vì thông tin thẻ chỉ có thể dùng được một hai lần. Trong khi danh tính thì có thể dùng đi dùng lại cho cả vài năm.”

O’Neill kể anh vẫn thấy thật đáng kinh ngạc vì việc Hiếu gần như vô danh khi so sánh với giới trộm thẻ tín dụng khét tiếng, vài trong số đó phải chịu trách nhiệm cho những đường dây trộm hàng trăm triệu thẻ từ những công ty buôn bán cỡ lớn.

“Tôi không biết có tên tội phạm nào đã gây ra nhiều tổn thất về tài chính và vật chất cho người Mỹ hơn Hiếu,” O’Neill nói với KrebsOnSecurity. “Nhưng phần lớn trong số họ lại chưa bao giờ nghe đến tên hắn.”

Hiếu nói cậu không thấy ngạc nhiên khi biết những đường dây của cậu đã gây thiệt hại nặng về về tài chính như thế. Nhưng cậu hoàn toàn không chuẩn bị để nghe nó từ góc độ con người cụ thể. Trong suốt quá trình tố tụng, Hiếu ngồi đó để nghe những câu chuyện thương tâm, những câu chuyện mà trong đó đường dây và dịch vụ của cậu đã huỷ hoại cuộc sống của rất nhiều người.

“Khi tổ chức đường dây này, tôi thực tình không hề quan tâm, vì tôi chẳng biết khách hàng của mình là ai, lại càng không biết họ có ý định gì với số dữ liệu đó,” Hiếu nói. “Nhưng trong thời gian ra toà, Toà án Liên bang Mỹ nhận được khoảng 13.000 lá thư từ những nạn nhân nói rằng mình đã bị mất nhà, mất việc, hoặc không còn có thể mua nhà hay lên kế hoạch tài chính chỉ vì tôi. Điều đó khiến tôi cảm thấy rất buồn, tôi nhận ra mình đã là một con người vô cùng tồi tệ.”

Mặc dù đã phải thuyên chuyển trại giam nhiều lần, Hiếu dường như luôn đụng phải những nạn nhân của việc trộm danh tính ở bất cứ nơi nào cậu đến, từ cai tù, nhân viên chăm sóc sức khoẻ, cho đến những nhân viên tư vấn.

“Khi đang trong tù ở thành phố Beaumont, bang Texas, tôi đã nói chuyện với một trong những nhân viên sỹ quan cải huấn ở đó, cô kể tôi nghe về một người bạn của cô đã bị trộm danh tính, và cô ấy đã mất tất cả kể từ đó,” Hiếu nhớ lại. “Cuộc sống của cô ấy hoàn toàn bị đảo lộn. Tôi không rõ đó có phải là một trong những nạn nhân của tôi không, nhưng câu chuyện đó khiến tôi phát ốm. Giờ tôi biết rằng những gì tôi làm thật đáng kinh tởm.”

Cậu hacker người Việt vừa được ra tù cách đây vài tháng, và hiện đang trong quá trình cách ly bắt buộc 3 tuần do COVID-19 tại một cơ sở của chính phủ gần thành phố Hồ Chí Minh. Những tháng cuối trong tù, Hiếu bắt đầu đọc tất cả những tài liệu trong tầm tay về máy tính và an toàn Internet, cậu thậm chí còn viết ra một bản hướng dẫn rất dài cho những người sử dụng Internet với những lời khuyên làm thế nào để tránh bị hack hoặc tránh trở thành nạn nhân của việc trộm dang tính.

Hiếu nói mặc dù cậu mong muốn một ngày nào đó sẽ được làm việc trong ngành an ninh mạng, nhưng cậu không vội. Cậu đã nhận được ít nhất một lời mời làm việc ở Việt Nam, nhưng cậu đã từ chối. Cậu bảo vẫn chưa sẵn sàng đi làm lại, mà muốn dành thời gian cho gia đình – đặc biệt là với bố cậu, hiện đã được chẩn đoán bị ung thư giai đoạn 4.

Lâu dài hơn, Hiếu nói, cậu muốn được hướng dẫn những bạn trẻ, giúp họ đi trên con đường đúng đắn, tránh xa những tội ác trên mạng. Cậu giờ trở nên vô cùng thành khẩn về những hành vi phạm tội của mình và những hậu quả do mình gây ra. Hồ sơ LinkedIn của cậu nhấn mạnh rằng cậu là một tội phạm mạng đã bị kết án.

“Tôi hy vọng những việc tôi làm có thể thay đổi được suy nghĩ của ai đó, hoặc nếu ít nhất có một ai đó quay đầu làm người tốt là tôi vui rồi,” Hiếu nói. “Đã đến lúc tôi phải làm gì đó đúng đắn, để chuộc lỗi với mọi người, tôi biết những việc này mình làm được.”

Mặc dù vậy, tỉ lệ tái phạm của các tội phạm mạng vô cùng cao, cậu hoàn toàn có thể dễ dàng trượt ngã về con đường cũ. Nói cho cùng, một vài người cũng như cậu, biết rất rõ cách làm thế nào để khai thác được quyền truy cập vào những dữ liệu cá nhân.

O’Neill nói anh rất tin tưởng Hiếu sẽ rửa tay gác kiếm. Nhưng anh cũng thêm vào rằng dịch vụ của Hiếu nếu tồn tại đến thời điểm này có thể sẽ còn thành công và béo bở hơn nữa do số lượng các vụ lừa đảo sử dụng danh tính bị trộm để gian lận ở các cơ quan hành chính bang và liên bang để kiếm lợi từ các khoản nợ hỗ trợ đại dịch và bảo hiểm thất nghiệp.

Hiếu nhất quyết cho rằng mình không hề có ý định làm gì để mình có thể vào tù lần nữa.

“Nhà tù là nơi rất khó khăn, nhưng nó cho tôi thời gian để suy nghĩ về cuộc đời và những lựa chọn của mình,” cậu nói. “Tôi tự hứa với mình sẽ làm việc thật tốt và trở nên con người tốt hơn mỗi ngày. Tôi đã biết rằng tiền chỉ là một phần trong cuộc sống. Nó không phải là tất cả và nó cũng không thể mang lại hạnh phúc thật sự. Tôi hy vọng những ai đang phạm tội trên không gian ảo ngoài kia có thể học bài học gì đó từ tôi. Tôi hy vọng họ sẽ dừng tay và thay vào đó, hãy dùng khả năng của mình để làm thế giới tốt hơn.”

(Bài viết này được dịch trực tiếp từ https://krebsonsecurity.com/2020/08/confessions-of-an-id-theft-kingpin-part-ii/ dưới sự cho phép của chính tác giả Brian Krebs)

Vào thời điểm đỉnh cao trong sự nghiệp tội phạm công nghệ cao của mình, hacker “Hieupc” đã kiếm được 125.000 USD nhờ mở ra dịch vụ trộm danh tính cá nhân hết sức đắt khách bằng cách bòn rút hồ sơ người tiêu dùng của những nhà cung cấp dữ liệu hàng đầu thế giới. Cho đến khi lòng tham và tham vọng của cậu lao thẳng vào một cái bẫy tinh vi được sắp đặt bởi Sở Mật vụ Mỹ. Giờ đây, sau hơn bảy năm trong tù, Hieupc đã được về Việt Nam, cậu hy vọng có thể thuyết phục những bạn trẻ có ý định trở thành tội phạm mạng hãy sử dụng khả năng của mình cho mục đích chính đáng.

Trong vòng vài năm bắt đầu từ khoảng 2010, cậu thiếu niên Việt Nam Ngô Minh Hiếu đã điều hành một trong những dịch vụ phổ biến nhất và đạt lợi nhuận khủng nhất trên mạng Internet bằng cách bán “fullz“, là những thông tin cá nhân bị trộm của người tiêu dùng bao gồm tên, ngày sinh, số Chứng minh thư, email và địa chỉ nhà riêng.

Hiếu có được kho báu dữ liệu về người tiêu dùng của mình nhờ xâm nhập trái phép và dùng các mánh khoé để chen giữa vào một chuỗi những nhà cung cấp dữ liệu có tiếng. Khi bị Sở Mật vụ Mỹ bắt giữ năm 2013, Hiếu đã kiếm được hơn 3 triệu USD nhờ bán fullz cho những cá nhân và băng nhóm tội phạm có tổ chức có địa bàn hoạt động trên toàn nước Mỹ.

Matt O’Neill là đặc vụ hồi tháng 2 năm 2013 đã thực hiện thành công kế hoạch dụ Hiếu ra khỏi Việt Nam để đến Guam, tại đây cậu hacker trẻ tuổi ngay lập tức bị bắt và bị đưa về Mỹ truy tố. O’Neill hiện dẫn đầu Trung tâm Điều tra Toàn cầu, chuyên hỗ trợ điều tra hoạt động của các tổ chức tội phạm xuyên quốc gia.

O’Neill nói anh bắt tay vào điều tra việc làm ăn trộm danh tính của Hiếu sau khi đọc về nó trên một bài báo năm 2011 của KrebsOnSecurity, “Định danh của bạn đáng giá bao nhiêu?” Theo O’Neill, điều đáng kinh ngạc nhất ở Hiếu là việc ngày đó tên tuổi của cậu gần như chìm nghỉm giữa một rừng những tội phạm khét tiếng đã bị xử tội, những kẻ đã buôn lậu thông tin thẻ tín dụng với số lượng rất lớn.

Công việc làm ăn của Hiếu đã mở ra cả một thế hệ tội phạm mạng mới mà hậu quả ước chừng lên tới cả tỷ USD chỉ riêng những định danh mới bị làm giả, đồng thời làm ảnh hưởng đến lịch sử tín dụng của vô số người Mỹ.

“Tôi không biết có tên tội phạm nào đã gây ra nhiều tổn thất về tài chính và vật chất cho người Mỹ hơn Hiếu,” O’Neill nói với KrebsOnSecurity. “Hắn đã bán thông tin cá nhân của hơn 200 triệu người Mỹ, để rồi ai cũng có thể mua lại với giá vài xu cho mỗi mẩu thông tin.”

Vừa được thả ra khỏi nhà tù ở Mỹ và trục xuất về Việt Nam, Hiếu hiện đang trong quá trình cách ly bắt buộc 3 tuần do COVID-19 tại một cơ sở của chính phủ. Tại đây, cậu liên lạc với KrebsOnSecurity mong muốn kể ra câu chuyện rất ít người biết đến này, để cảnh tỉnh những người muốn theo chân cậu.

Điểm khởi đầu

Mười năm trước, cậu hacker 19 tuổi Hiếu thường xuyên lượn lờ trên các diễn đàn an ninh mạng trong nước. Hiếu nói cậu sinh ra trong một gia đình trung lưu chuyên buôn bán đồ điện tử, và cậu được bố mẹ mua một cái máy tính năm 12 tuổi. Cậu bị hút hồn kể từ đó.

Vài năm sau, cậu đi du lịch để học tiếng Anh ở một trường đại học ở New Zealand. Cậu lúc này đã quản lý một vài diễn đàn hacker, và trong quá trình học cậu đã phát hiện ra một lỗ hổng trong hệ thống mạng của nhà trường để lộ ra thông tin về thẻ thanh toán.

“Tôi đã liên lạc với các kỹ thuật viên ở đó để sửa lỗi, nhưng vì chả ai quan tâm cả nên tôi đã hack luôn cả hệ thống,” Hiếu nhớ lại. “Rồi tôi sử dụng cùng lỗ hổng ấy để hack vài trang web khác. Tôi đã trộm được vô số thẻ tín dụng.”

Hiếu kể cậu đã dùng các thẻ tín dụng đó để mua vé xem ca nhạc và các sự kiện trên Ticketmaster, sau đó bán lại ở một trang web đấu giá ở New Zealand tên là TradeMe. Trường nơi cậu học sau đó đã phát hiện ra sự xâm nhập và vai trò của Hiếu, rồi cảnh sát Auckland vào cuộc. Visa du lịch của Hiếu không được gia hạn sau học kỳ đầu tiên, và để trả thù cậu đã tấn công trang web của trường, khiến nó sập hơn hai ngày liền.

Hiếu nói cậu quay về học lại ở Việt Nam, nhưng rồi nhận ra cậu đã dành đa số thời gian của mình trên các diễn đàn tội phạm mạng.

“Tôi đã chuyển từ hack cho vui đến hack vì lợi nhuận khi thấy rằng kiếm tiền từ việc ăn trộm cơ sở dữ liệu khách hàng quá dễ dàng,” Hiếu nói. “Tôi có nói chuyện với một vài người bạn trên các diễn đàn ngầm, bọn tôi đã lên kế hoạch cho một hoạt động phạm tội mới.”

“Bọn họ nói làm việc với thẻ tín dụng và các thông tin liên quan đến ngân hàng rất nguy hiểm, thế là tôi bắt đầu nghĩ đến việc bán thông tin cá nhân,” Hiếu kể tiếp. “Đầu tiên tôi nghĩ, ờ thì, chỉ là thông tin thôi mà, nghe cũng không xấu xa lắm vì không liên quan trực tiếp đến ngân hàng. Nhưng mà tôi đã nhầm, và rồi tiền kiếm được ngày càng nhiều khiến tôi mù quáng trước rất nhiều thứ.”

MicroBilt

Mục tiêu lớn đầu tiên của cậu là MicroBilt, một công ty chuyên về báo cáo tín dụng của người tiêu dùng ở New Jersey.

“Tôi đã hack vào hệ thống và lấy trộm tài khoản các khách hàng của họ để từ đó tôi có thể dùng chính mật khẩu của những khách hàng này truy cập vào các dữ liệu người tiêu dùng,” Hiếu nói. “Tôi ở trong hệ thống đó gần cả năm mà không ai hay biết.”

Ngay sau khi có quyền truy cập vào MicroBilt, Hiếu kể, cậu dựng lên Superget[.]info, một trang web được quảng cáo là có bán thông tin cá nhân của từng người tiêu dùng. Hiếu nói ban đầu dịch vụ của cậu khá thủ công, cậu yêu cầu khách hàng phải đưa ra một bang cụ thể hoặc một người tiêu dùng cụ thể, rồi cậu sẽ thực hiện bằng cách tự mình tìm kiếm.

“Tôi đã cố để có thêm nhiều thông tin nữa, nhưng tốc độ mạng Internet ở Việt Nam lúc đó quá chậm,” Hiếu nhớ lại. “Tôi không thể nào tải được vì lượng dữ liệu quá lớn. Nên tôi đành tự tìm thủ công cho bất cứ khách hàng nào muốn tìm thông tin về ai đó.” Nhưng rồi Hiếu phát hiện ra cách sử dụng những máy chủ lớn hơn ở Mỹ để tự động hoá việc thu thập thông tin người tiêu dùng từ các hệ thống của MicroBilt và những nhà cung cấp dữ liệu khác. Như tôi đã từng viết về công việc làm ăn của Hiếu hồi tháng 11 năm 2011:

“Superget cho phép người dùng tìm kiếm thông tin cụ thể của từng cá nhân theo tên, thành phố, bang. Mỗi “điểm” có giá 1 USD, và mỗi lệnh tìm kiếm tìm ra được một số Chứng minh thư hay một ngày sinh sẽ có giá 3 điểm. Càng mua nhiều điểm, giá mỗi lệnh tìm kiếm sẽ càng rẻ: 6 điểm có giá 4,99 USD; 35 điểm có giá 20,99 USD, và 100,99 USD mua được 230 điểm. Khách hàng nào có nhu cầu đặc biệt có thể chọn “gói bán buôn,” có giá cho 1.500 điểm là 500,99 USD, và giá cho 3.500 điểm là 1.000,99 USD”

“Cơ sở dữ liệu của chúng tôi được cập nhật HÀNG NGÀY,” chủ trang web cam kết. “Có thể tìm thấy khoảng 99% đến gần 100% người dân Mỹ, hơn bất cứ trang web nào khác trên Internet hiện nay.”

Sự xâm nhập của Hiếu vào MicroBilt cuối cùng cũng bị phát hiện, và công ty đã đá cậu ra khỏi hệ thống. Nhưng cậu nói mình đã quay trở lại nhờ một lỗ hổng khác.

“Tôi hack qua hack lại họ trong vòng vài tháng gì đó,” Hiếu nói. “Họ phát hiện ra [các tài khoản của tôi] và sửa nó, rồi tôi lại tìm ra lỗ hổng khác để hack.”

Court (Ad)Ventures, và Experian

Trò mèo vờn chuột này tiếp diễn cho đến khi Hiếu tìm được một nguồn dữ liệu người tiêu dùng ổn định và chắc chắn hơn nhiều: một công ty đặt tại Mỹ tên là Court Ventures, chuyên tổng hợp các dữ liệu được công bố công khai từ các tài liệu của toà án. Hiếu vốn không hứng thú với dữ liệu của Court Ventures, mà là một thoả thuận chia sẻ dữ liệu của nó với một công ty cung cấp dữ liệu khác là U.S. Info Search, với lượng dữ liệu nhạy cảm của người tiêu dùng hơn rất nhiều.

Bằng việc làm giả giấy tờ và những thủ đoạn dối trá, Hiếu đã thuyết phục được Court Ventures rằng cậu là một thám tử tư ở Mỹ.

“Khi đăng ký họ có hỏi tôi một vài giấy tờ để xác nhận,” Hiếu kể. “Thế là tôi phải dùng một vài tiểu xảo đề qua được vòng kiểm tra.”

Sau đó, vào tháng 3 năm 2012, một chuyện còn phi thường hơn đã xảy ra: Experian – một trong ba công ty về dữ liệu người dùng lớn nhất Mỹ – mua lại Court Ventures. Chín tháng sau cuộc sát nhập, Hiếu vẫn còn nguyên quyền truy cập của mình.

“Từ đó, dữ liệu được Experian quản lý,” cậu kể. “Tôi đã trả Experian khá nhiều tiền, vài nghìn đô mỗi tháng”.

Vẫn còn nhiều nghi vấn về việc liệu có ai ở Experian thẩm định những tài khoản cũ từ Court Ventures không. Nhưng cũng không khó để phát hiện ra rằng vị khách hàng đặc biệt này đang có ý định gì đó ám muội.

Đầu tiên, Hiếu trả tiền hoá đơn hàng tháng cho những lệnh tìm kiếm của khách hàng của mình bằng cách chuyển khoản bằng các ngân hàng trên khắp thế giới, chủ yếu là các tài khoản của các tổ chức tài chính ở Trung Quốc, Malaysia và Singapore.

O’Neill nói trang web trộm danh tính của Hiếu có hàng chục nghìn lệnh tìm kiếm mỗi tháng. Ví dụ, hoá đơn đầu tiên mà Court Ventures gửi Hiếu trong tháng 12 năm 2010 là 60.000 lệnh. Khi công ty này được Experian mua lại, dịch vụ của Hiếu đã thu hút hơn 1.400 khách hàng thường xuyên với trung bình 160,000 lệnh tim kiếm mỗi tháng.

Và quan trọng hơn cả là lợi nhuận khổng lồ của Hiếu.

“Dịch vụ của hắn lên như tên lửa,” ông nói. “Court Ventures chỉ tính hắn 14 xu, trong khi hắn thu của khách hàng 1 USD mỗi lệnh.”

Lúc này, O’Neill và các đồng sự ở Sở Mật vụ Mỹ đã có cả đống lệnh của toà án liên quan đến dịch vụ trộm danh tính của Hiếu, bao gồm cả lệnh cho phép họ truy cập vào tài khoản email mà cậu dùng để liên lạc với khách hàng và quản lý trang web. Các đặc vụ phát hiện ra một vài email từ Hiếu hướng dẫn đến một kẻ đồng loã khác cách trả tiền cho Experian bằng cách chuyển khoản qua các ngân hàng ở khu vực Châu Á.

TLO

Nhờ làm việc với Sở Mật vụ Mỹ, Experian nhanh chóng vô hiệu hoá và khoá các tài khoản của Hiếu. Nhận ra cơ hội hiếm có, Sở Mật vụ Mỹ đã liên lạc với Hiếu thông qua một trung gian ở Anh – một tên tội phạm mạng đã bị kết án, và hắn đã đồng ý hợp tác với Sở. Hắn bảo rằng chính hắn đã khoá quyền truy cập của Hiếu vì hắn đến trước, rằng Hiếu đang cản trở công việc làm ăn của hắn.

“Tên người Anh đó bảo Hiếu, ‘Ê, mày đang dẫm lên sân của tao rồi đấy, tao đang tạm khoá mày lại. Trả tiền đây, mày sẽ được được lấy lại quyền truy cập’,” O’Neill nhớ lại.

Tên tội phạm trung gian ở Anh, dưới lệnh của Sở Mật vụ Mỹ và các nhà chức trách Anh, bảo Hiếu nếu muốn giữ quyền truy cập thì phải đồng ý gặp mặt trực tiếp. Nhưng Hiếu đã không cắn câu ngay lập tức.

Thay vào đó, cậu nhảy sang một kho dữ liệu khác. Tương tự như cách tiếp cận với Court Ventures để có quyền truy cập, Hiếu đã có tài khoản ở một công ty có tên là TLO, một nhà cung cấp dữ liệu khác chuyên bán những dữ liệu vô cùng chi tiết và nhạy cảm của đa số người Mỹ.

Dịch vụ của TLO chỉ dành cho những nhân viên thi hành pháp luật và một số ít các chuyên gia thẩm định có lý do hợp pháp để truy cập những thông tin này. Năm 2014, Trans Union – một công ty khác trong số ba công ty về dữ liệu người dùng lớn nhất Mỹ – đã mua lại TLO.

Và trong một thời gian ngắn, Hiếu dùng quyền truy cập của mình vào TLO để nâng dịch vụ của mình lên một tầng mới – một dịch vụ trộm danh tính được mang tên usearching[.]info. Trang web này đồng thời có luôn cả dữ liệu người dùng từ một công ty chuyên cho vay ngắn hạn mà Hiếu hack được, như báo cáo của tôi hồi tháng 9 năm 2012, Dịch vụ trộm danh tính được nối với các trang web cho vay ngắn hạn. Hiếu nói những trang web cho vay ngắn hạn này liên tục cung cấp cho cậu khoảng 1.000 fullz mỗi ngày.

Mù quáng bởi lòng tham

Lúc này, Hiếu đã là đa triệu phú USD: Hàng loạt các trang web và những hợp đồng bán buôn của cậu với ba tổ chức tội phạm mạng Nga đã mang lại cho cậu hơn 3 triệu USD. Cậu nói với bố mẹ tiền này là từ các công ty cậu làm website đưa cho, thậm chí cậu còn dùng một phần tiền bẩn này để trả nợ của gia đình (cửa hàng điện tử nhà cậu nợ nần chồng chất, ai đó trong gia đình đã vay một khoản lớn nhưng không trả lại).

Nhưng phần lớn, Hiếu kể, cậu chi tiêu cho những thứ phù phiếm, mặc dù cậu nói không hề đụng đến ma tuý và rượu bia.

“Tôi chi tiền đi du lịch và ô tô và rất rất nhiều những thứ ngu ngốc khác,”, cậu nói.

Khi TLO khoá tài khoản của Hiếu, Sở Mật vụ Mỹ lại tận dụng cơ hội này để tên trung gian người Anh một lần nữa quay sang Hiếu.

“Hắn bảo Hiếu hắn đã lại khoá cậu, và hắn sẽ làm thế nữa,” O’Neill nói. “Và nếu cậu muốn lấy lại những quyền truy cập này, thì phải đồng ý gặp mặt và lên kế hoạch hợp tác.”

Sau hàng tháng trời nói qua nói lại với tên người Anh khó chịu này, Hiếu đồng ý gặp mặt tại Guam để hoàn tất thoả thuận. Hiếu nói lúc đó cậu hiểu rằng Guam là một lãnh thổ chưa hợp nhất của Mỹ, nhưng cậu không để ý rằng đó chỉ là một trong những thủ thuật giăng bẫy tinh vi của lực lượng hành pháp.

“Tôi đã quá nóng lòng để có được một cơ sở dữ liệu ổn định, tôi đã quá mù quáng bởi lòng tham và hành động thiếu suy nghĩ,” Hiếu nói. “Rất nhiều người bảo tôi ‘Đừng đi!,’, nhưng tôi bảo họ rằng tôi phải thử xem sao.”

Nhưng ngay khi bước chân xuống khỏi máy bay ở Guam, cậu đã bị các đặc vụ ở Sở Mật vụ Mỹ bắt giữ.

(Bài viết này được dịch trực tiếp từ https://krebsonsecurity.com/2020/08/confessions-of-an-id-theft-kingpin-part-i/ dưới sự cho phép của chính tác giả Brian Krebs)