Nhiều chuyên gia trong lĩnh vực bảo mật lên tiếng cảnh báo các giao dịch tại thị trường chứng khoán đang nằm trong tầm ngắm hấp dẫn đối với hacker. Tuy nhiên cho đến thời điểm này các CTCK có vẻ như vẫn chưa chú trọng việc bảo mật, làm cho các cơ quan quản lý và các nhà đầu tư không khỏi lo lắng trước các sự cố trong giao dịch và quản lý chứng khoán.

Gần đây có hiện tượng các lệnh nhập từ Sở Giao dịch Chứng khoán Hà Nội bị nghẽn và rất chậm, đã ảnh hưởng tới các giao dịch. Cụ thể, cuối tháng 5/2010 theo nguồn tin từ một CTCK, trong khoảng thời gian từ 8h30 đến 9h, các lệnh nhập từ Sở Giao dịch Chứng khoán Hà Nội - (HNX) thông qua đường truyền trực tuyến bị nghẽn và rất chậm, khiến các công ty phải ngừng nhận lệnh giao dịch đối với các cổ phiếu trên sàn HNX.

Được biết khi các CTCK kết nối được với Sở Giao dịch Chứng khoán Hà Nội hoặc với Sở Giao dịch Chứng khoán TP.HCM, đều phải đáp ứng được yêu cầu không chỉ về phần cứng mà còn cả về đảm bảo an toàn thông tin. Vì vậy, trên lý thuyết, việc rò rỉ thông tin từ các công ty là rất khó xảy ra. Theo các chuyên gia về an ninh bảo mật, những sự cố trên đều do virus và chính sách an ninh đối với nhân sự của các công ty chưa được chặt chẽ.

Theo ông Bùi Việt Hùng, Giám đốc phụ trách CNTT của CTCK Sao Việt thì, ngay cả các ngân hàng lớn trên thế giới như South Bank hay Standar Bank cũng đã từng bị rò rỉ thông tin bảo mật, hệ quả từ việc một số công ty không cập nhật kịp thời những hệ thống tiện ích công nghệ của mình khiến cho virus xâm nhập vào hệ thống và lấy cắp thông tin tài khoản người dùng.

Thực tế trên thị trường chứng khoán thế giới, trước đây Ủy ban Chứng khoán Mỹ SEC đã từng phải phong tỏa một loạt tài khoản với tổng giá trị lên đến 732.941 USD, được nghi ngờ là bắt nguồn từ những giao dịch phạm pháp của các hacker nước ngoài. Khi đó, hacker đã tấn công vào cơ sở dữ liệu của 7 công ty môi giới chứng khoán online, ăn cắp tên và mật khẩu một số tài khoản chứng khoán.

Mới đây, kết quả rà soát an ninh thông tin cho trên 20 công ty hoạt động trong lĩnh vực chứng khoán của công ty an toàn thông tin VSEC cũng cho thấy hệ thống giao dịch trực tuyến của 15 CTCK hàng đầu tại Việt Nam có nguy cơ bị hacker kiểm soát. Các lệnh đặt mua và bán của nhà đầu tư vẫn có thể bị hacker sửa đổi về giá và khối lượng.

Cách đây 3 năm trung tâm an ninh mạng Bkis cũng đã đưa ra cảnh báo có tới trên 40% website của các CTCK có lỗ hổng về bảo mật, nhưng cho đến nay dịch vụ tư vấn về an ninh mạng trong giao dịch điện tử của Bkis cũng chỉ thu hút được 10 trong số trên 100 CTCK đang hoạt động tham gia. Ông Nguyễn Minh Đức, Giám đốc trung tâm an ninh mạng Bkis cho biết: Hệ thống giao dịch trực tuyến có thể gặp hai tình huống bị hacker tấn công. Thứ nhất, lợi dụng quá trình giao dịch trực tuyến của các NĐT để hacker tấn công vào hệ thống của các CTCK, làm tê liệt hệ thống và phát tán mã độc gây rối loạn trong hoạt động. Thứ hai là có sự góp tay của các nhân viên, do chính sách an ninh đối với nhân sự của các công ty chưa được chặt chẽ, từ khâu thiết kế, triển khai rồi đến vận hành giao dịch, bảo hành bảo trì…, đều có nhân viên tham gia, rất có thể có thể xảy ra trong khi thực hiện.

Ông Đức cũng cho biết, hiện nay các CTCK chưa quan tâm đúng mức về an ninh mạng. Về phía các nhà cung cấp dịch vụ, khi triển khai giải pháp tuy có cài đặt tường lửa và các phần mềm bảo mật, nhưng trong quá trình hoạt động, các công ty bổ sung thêm tính năng, hay nâng cấp hệ thống cũng có thể phát sinh lỗ hổng, nhưng sự đầu tư cũng như mức độ quan tâm chưa đúng với vai trò an ninh mạng.

Theo các chuyên gia về an ninh mạng, chính vì chưa quan tâm đúng mức vấn đề bảo mật nên các CTCK và các NĐT có thể gặp nhiều bất trắc trong giao dịch như: Nghẽn giao dịch, mất dữ liệu khi giao dịch đã thực hiện, nguy cơ bị từ chối dịch vụ, lấy cắp hay sửa đổi dữ liệu, phá huỷ hệ thống cơ sở dữ liệu, bị đánh cắp mật khẩu giao dịch hay bị đánh cắp tiền trong tài khoản…

Các chuyên gia khuyên, để ngăn chặn sự xâm nhập của hacker, các công ty cần sử dụng mật khẩu, các cơ chế bảo mật bằng chữ ký số và cần phải tuân theo quy trình chuẩn về an ninh mạng, trang bị tốt các thiết bị bảo mật, cần có chính sách đào tạo an toàn thông tin thường xuyên cho nhân viên nhằm nâng cao trình độ, để phát hiện sớm các cuộc tấn công có thể xảy ra. Ngoài ra cần có sự tư vấn với các đơn vị chuyên về an ninh mạng để khi phát hiện lỗ hổng thì vá kịp thời và kiểm tra độ an toàn thường xuyên cho hệ thống khi giao dịch.