Theo TheHackerNews, Battery Status API nằm trong kĩ thuật HTML5 được giới thiệu hồi năm 2012 và đã được đưa vào các trình duyệt web như Firefox, Chrome, Opera. Công dụng của API này là cho phép các website biết được dung lượng pin của laptop, tablet, hay điện thoại để từ đó kích hoạt tính năng tiết kiệm pin trên trang web. Tuy nhiên năm ngoái các nhà nghiên cứu đã cảnh báo về khả năng gây hại của API này, biến thông tin trạng thái tin trở thành thiết bị theo dõi người dùng.

Một nhà nghiên cứu có tên Lukasz Olejnik đã viết trong blog của mình rằng, các công ty hiện đang tận dụng triệt để trạng thái pin điện thoại. Olejnik cho biết, "Một số công ty đang kiếm tiền nhờ trạng thái pin. Khi pin yếu, người dùng thường chấp nhận chi trả nhiều hơn cho các dịch vụ". Olejnik nhấn mạnh tới nghiên cứu của Steve Engelhard và Arvind Narayanan, những người đã phát hiện ra một trang web đang theo dõi người dùng bằng Battery Status API. Steve Engelhard và Arvind Narayanan đã chứng kiến và thấy các công ty đang tận dụng kỹ thuật này cho mục đích riêng của mình.

Tiếc rằng rất khó để có thể khắc phục vấn đề này, xóa cookies hay sử dụng VPN hoặc các ứng dụng chặn quảng cáo như AdBlockers đều không thể giải quyết được vấn đề. Lựa chọn duy nhất đó là sạc điện thoại.

Hai tháng trước, Trưởng bộ phận nghiên cứu thị trường và kinh tế của Uber, Keith Chen thừa nhận rằng công ty đã quản lý trạng thái pin của người dùng, bởi họ biết người dùng có xu hướng trả phí cao hơn để thuê được một chiếc taxi khi điện thoại đang gần bị sập nguồn (cạn pin).

Thông thường, câu chuyện sau vài tháng hoặc vài tuần đưa đẩy sẽ kết thúc bằng một loạt tin nhắn, đại loại khởi đầu là "Hay là mình yêu nhau đi", hoặc "Y có thích X không" bla bla... và kết thúc là "T chỉ coi cậu như bạn", "hãy là bạn tốt nhé, đừng đánh mất tình bạn này" vân vân và vân vân. Sau đó chàng game thủ hoặc là suy sụp, hoặc là khóc lóc, số khác... chụp ảnh và đăng lên facebook để nhận được sự đồng cảm từ phía các chiến hữu.

Ngay sau khi sự việc khách hàng bỗng nhiên mất 500 triệu đồng trong tài khoản, Vietcombank lên tiếng khẳng định nguyên nhân xuất phát từ việc chính khách hàng đã truy cập vào một trang web giả mạo (có địa http chỉ //creatingacreator.com/kob/1/index.htm) vào ngày 28/7/2016 qua máy điện thoại cá nhân. Từ việc truy cập này, thông tin và mật khẩu của khách hàng đã bị đánh cắp, sau đó tài khoản khách hàng đã bị lợi dụng vào đêm ngày 03 rạng sáng ngày 04/8/2016. 

"Việc mất tiền trong tài khoản xảy ra bởi khách hàng bị đánh cắp thông tin tài khoản do trước đó đã truy cập và khai báo thông tin trên đường link giả mạo website của ngân hàng như trên", Vietcombank khẳng định.

Ngay lập tức, nhiều người đã đặt câu hỏi nghi ngờ: Tại sao khách hàng không mất điện thoại, OTP trên điện thoại của khách hàng không nhận được mã xác nhận giao dịch mà tiền trong tài khoản vẫn chuyển đi thành công? Phải chăng đã có "sự cố" nào đó về bảo mật OTP từ phía ngân hàng?

Trong khi bản chất vụ việc còn chưa được công bố cụ thể do đang chờ cơ quan công an điều tra.

Hãy nghe Luật sư Trương Thanh Đức, Chủ tịch HĐTV Công ty luật Basico phân tích "Trong trường hợp này “lỗi” sẽ thuộc về ai?":

Trong trường hợp khách hàng bỗng dưng mất tiền sẽ có 3 khả năng xảy ra:

Một là lỗi của khách hàng. Do khách hàng sơ suất vào trang web mạo danh, vào những trang nhiễm virus có khả năng bị lộ mật khẩu, để bị đánh cắp thông tin. Sau đó “kẻ trộm” đã dùng những thông tin này để truy cập tài khoản, chuyển khoản, rút tiền.

Đặc biệt trong trường hợp khách hàng làm mất điện thoại, để “kẻ trộm” có thể vừa lấy được mật khẩu, lại vừa lấy được mã OTP và rút tiền một cách “hợp pháp”, thì khách hàng sẽ có lỗi 100%.

Trường hợp thứ 2 là lỗi ở ngân hàng. Có thể là ngân hàng làm lộ thông tin cá nhân của khách hàng. Lỗi này có thể do lỗi trong bảo mật. Và trong trường hợp này thì lỗi hoàn toàn thuộc về ngân hàng, không liên quan tới khách hàng.

Trường hợp thứ 3 là lỗi thuộc về cả ngân hàng và khách hàng. Có thể là do lỗi kỹ thuật, phần mềm mà ngân hàng không đảm bảo được cho khách hàng về mặt bí mật, mật khẩu. Thì trường hợp này ngân hàng có thể chịu chính hoặc chịu một nửa, còn tùy vào kết luận sau khi kiểm tra.

Tuy nhiên, dù trong bất cứ trường hợp nào kể trên thì ngân hàng đều có lỗi, dù ít hay nhiều, ông Đức khẳng định.

Phân tích cụ thể trong trường hợp khách hàng như chị Hương, ông Đức cho biết hiện nay cũng khó có thể xác nhận lỗi thuộc về 100% ngân hàng hay chỉ là một phần, dù cho 7 lần chuyển khoản qua thẻ của chị đều không thấy gửi mã OTP về điện thoại.

Bởi, “kẻ trộm” có thể đã dùng phương thức nào đó để “qua mặt” ngân hàng bằng cách không cần OTP hoặc dùng một loại mã khác. Ngay cả việc chị Hương nói không truy cập trang web nào lạ hay giả mạo. Nhưng đó mới là lời nói từ một phía. Sự việc cần có điều tra, xác minh thì mới xác nhận lỗi thuộc về ai, ông Đức phân tích.

Tuy nhiên, việc này cũng rất khó, cần có sự hợp tác của ngân hàng, cần có một cơ quan trung gian đứng ra đánh giá, kiểm tra thì mới có kết luận khách quan. Nhưng cơ chế ở ta thì chưa thật rõ ràng trong vấn đề này.

"Nếu để bản thân ngân hàng tự kiểm tra thì lúc nào họ cũng có thể lắc đầu từ chối trách nhiệm, lúc nào cũng có thể viện lý do để đổ tội cho khách quan, thậm chí là đổ cho khách hàng được", Luật sư Trương Thanh Đức thẳng thắn.