Tư liệu nguyên văn phản ánh trải nghiệm và đánh giá của tác giả năm 2019, bao gồm phần cập nhật giải thích ở đầu bài và chú thích cuối bài. Đây không phải kết quả kiểm thử bảo mật hiện tại hay xác nhận hệ thống VinID/Vinmart ngày nay còn lỗ hổng. Ban biên tập chưa kiểm chứng độc lập các mô tả kỹ thuật. Không sử dụng mã, thẻ hoặc tài khoản của người khác để thử nghiệm hay thanh toán. Ảnh minh họa VinID đính kèm bài gốc; chưa xác minh độc lập tác giả ảnh.
#update: có bạn nói là làm hệ thống này giải thích với mình mấy ý sau:
1- Mã "dùng thẻ" này 30' sẽ đổi một lần (đó là lý do vì sao mình đi từ nhà qua vinmart 15' vẫn dùng hình chụp được)
2- Theo quy trình thì nhân viên vinmart không được thanh toán hình chụp mà phải quét từ app. Còn nv vẫn thanh toán là do nv làm sai.
Cảm ơn bạn giải thích. Nếu 15' đổi mã một lần thì mình cũng thấy bảo mật hơn nhiều.
— hết update —
Mình có đăng ký tài khoản VinID vì hay mua đồ ở Vinmart (tin tưởng Vineco bán rau sạch).
Ban đầu, chỉ là kiểu mua "hàng xén" nhỏ lẻ, thì mỗi lần như vậy đều được tích vài ba điểm vào VinID. Điểm này dồn cục lâu lâu được vài chục, thì trừ tiền cho lần mua hàng kế tiếp. Vì số tiền cực nhỏ, nên hoàn toàn không mấy quan tâm (không quan tâm đã có bao nhiêu điểm, cũng không quan tâm khi nhân viên hỏi "anh có muốn trừ không" khi thanh toán, và càng không quan tâm quy trình này diễn ra từng bước cụ tỉ thế nào).
Cho tới khi mình đổi điểm thưởng từ VPBank qua VinID thì điểm VinID của mình vọt lên hơn 3000 điểm, tương đương với 3.000.000₫ thì bắt đầu tích cực ra Vinmart "khiêng đồ" về cho khỏi uổng. Mỗi lần mua như vậy cũng trên dưới trăm ngàn. Và hoàn toàn kêu nhân viên "trừ điểm".
Chính vì như vậy, mình mới có cảm giác App VinID của mình gần như một cái ví, cái thẻ, và giật mình để ý tới quy trình các bạn trừ tiền.
Đầu tiên, khi ra quầy thanh toán, mình phải bật App lên. Rồi show cái mã code (kèm dãy số) cho nhân viên "quét". Sau đó thì nhân viên hỏi "anh có muốn trừ điểm luôn không?", mình nói có. Vậy là xong.
Cực kỳ tiện lợi.
Cái mã code để nhân viên quét thì nằm trong App. Muốn mở App thì từ đầu phải nhập mật khẩu này kia. Nên tạm hiểu là đã được bảo mật rồi. Đã nằm trong "két sắt" có khoá khoá lại rồi.
Chính vì thế mình không chú ý rằng sau khi các bạn nhân viên quét cái code của mình thì các bạn cứ tự động trừ tiền (trừ điểm), không cần mình phải xác minh gì nữa. Thậm chí, trừ xong cũng chẳng có sms gửi về.
Mình nghĩ, thế nếu ai đó có cái barcode này của mình (hoặc chính bạn nhân viên chụp lại barcode đó), thì thoải mái tiêu tiền / điểm của mình mà chẳng cần mật khẩu mật đồ gì sao? Mình thử mở VinID lên, chụp màn hình barcode lại và mang qua cửa hàng Vinmart khác mua và thanh toán, thì đúng là như vậy!
Tức là, nếu ai đó lấy được cái hình chụp này (photo trong máy) đưa nhân viên quét cái "tạch" phát là họ thoải mái trừ tiền (điểm). Theo mình hiểu thì là trừ bao nhiêu cũng được. Và mình thì hoàn toàn không biết gì luôn?!!
Dường như VinMart đã nhầm lẫn quy trình bảo mật khi tích hợp lẫn lộn quy trình tiêu điểm và tích điểm vào một code thế này.
Lý ra, khi khách hàng mua hàng, trả tiền, và Vinmart muốn tích điểm cho khách thì cứ quét cái code đó là chuẩn chỉnh. Nhanh, và tiện. Cũng chẳng cần bảo mật bảo đồ gì.
Nhưng khi khách muốn "tiêu cái điểm" đấy đi, thì sau khi nhân viên quét code, nhập số tiền (điểm) muốn trừ thì phải cho khách dí vân tay xác thực (hoặc nhập OTP, hay mật khẩu) thì mới hoàn tất việc trừ tiền (điểm) chứ. Cẩn thận hơn nữa thì trừ rồi cũng có thể sms và hoặc email thông báo.
Các bạn có thể kiểm chứng bằng cách mở VinID lên, chụp lại cái màn hình ở mục "dùng thẻ", in ra giấy rồi đưa người khác đi xài dùm thử coi có được không nhen.
Thiệt là lỏng lẻo, và tất nhiên là tiện dụng vô cùng tận
Mình hay mua đồ Vinmart lắm, đề nghị Vinmart sửa lại ngay nhen. Vườn không nhà trống thế này thì… mát quá. Hey dza.
P/s: nhiều bạn nhầm lẫn giữa mã qrcode của VinID Pay (một dạng ví điện tử) và mã barcode của Thẻ VinID (trừ điểm thưởng). Mã barcode đề cập trong bài nó là số thẻ thôi, ko đổi gì hết, và y chang mã dán trên miếng thịt lợn, mớ rau, con cá nhé.
Nguyễn Ngọc Long — bài viết lưu trữ ngày 2019-12-18. Nội dung phản ánh thời điểm đăng gốc. Nguồn Facebook.
