Vào một ngày lạnh giá tháng 3, một người đàn ông Romania bước vào một cửa hàng 7-Eleven tại Toledo, bang Ohio. Người này từng hai lần bị trục xuất khỏi Mỹ, nhưng lần này quay trở lại với một nhiệm vụ khác: tiếp cận hệ thống thanh toán của cửa hàng và cài một thiết bị đánh cắp dữ liệu thẻ.

Theo hồ sơ của các công tố viên, người đàn ông này là Ionut Ilie, thành viên của một đường dây tội phạm có liên hệ với Romania và hoạt động tại California. Mục tiêu của nhóm không phải tài khoản ngân hàng thông thường, mà là tiền trợ cấp thực phẩm của những người thu nhập thấp sử dụng thẻ EBT do chính phủ cấp.

Vụ án tại Ohio chỉ là một mắt xích trong bức tranh lớn hơn. Hồ sơ điều tra và các vụ truy tố từ năm 2020 cho thấy hàng chục công dân Romania đã bị cáo buộc liên quan đến hoạt động đánh cắp dữ liệu thẻ trợ cấp tại nhiều bang của Mỹ. Riêng Nam California, hơn 50 người, trong đó nhiều người có liên hệ với Romania, đã bị buộc tội trong các vụ án liên quan.

Điều đáng chú ý nằm ở chính công nghệ mà các băng nhóm khai thác. Trong khi phần lớn thẻ ngân hàng tại Mỹ đã chuyển sang sử dụng chip và thanh toán không tiếp xúc, nhiều thẻ EBT vẫn dựa vào dải từ, một công nghệ có nguồn gốc từ những năm 1960. Khoảng cách công nghệ này biến một chương trình được thiết kế để hỗ trợ những người dễ tổn thương thành mục tiêu hấp dẫn của tội phạm.

Một hệ thống trợ cấp bị mắc kẹt trong công nghệ cũ

EBT, viết tắt của Electronic Benefit Transfer, là hệ thống được sử dụng để phân phối nhiều loại trợ cấp xã hội, trong đó có SNAP, chương trình hỗ trợ dinh dưỡng dành cho các hộ gia đình thu nhập thấp. Với người nhận trợ cấp, chiếc thẻ EBT có ý nghĩa rất khác một chiếc thẻ thanh toán thông thường. Đó có thể là khoản tiền giúp một gia đình mua thực phẩm trong cả tháng.

Nhưng về mặt công nghệ, nhiều thẻ vẫn dựa vào dải từ. Khi thông tin trên thẻ bị đánh cắp, kẻ gian có thể tạo ra các thẻ giả để thực hiện giao dịch hoặc rút tiền. Các thiết bị skimmer được sử dụng để lấy dữ liệu từ quá trình thanh toán, trong khi mã PIN cũng có thể bị thu thập.

Lỗ hổng này càng đáng chú ý khi so sánh với thị trường thẻ ngân hàng. Hầu hết thẻ ghi nợ và thẻ tín dụng hiện nay đều được trang bị chip, đồng thời ngày càng nhiều giao dịch được thực hiện bằng phương thức chạm. Bộ Nông nghiệp Mỹ cho biết chỉ một số ít bang đã phát hành thẻ EBT có chip, gồm Alabama, California, Maryland, Massachusetts, Michigan, New Jersey và Oklahoma, trong khi các bang khác vẫn đang triển khai.

Trong khoảng thời gian đó, số tiền chạy qua hệ thống SNAP đã tăng mạnh. Theo dữ liệu của Bộ Nông nghiệp Mỹ, chi tiêu hàng tháng cho chương trình đạt tổng cộng khoảng 12 tỉ USD trong giai đoạn từ tháng 4 đến tháng 9.2020, tăng 61% so với một năm trước. Đại dịch khiến nhu cầu trợ cấp tăng lên, đồng thời mở rộng quy mô của dòng tiền mà các nhóm tội phạm có thể nhắm tới.

California trở thành một mục tiêu đặc biệt bởi người dân tại đây có thể nhận SNAP và trợ cấp tiền mặt trên cùng một thẻ. Quy mô lớn của hệ thống khiến việc bảo vệ từng giao dịch trở thành bài toán không đơn giản, nhất là khi một phần đáng kể các giao dịch tại cửa hàng vẫn sử dụng phương thức quẹt thẻ.

Bang California đã chi 76,5 triệu USD từ ngân sách bang và liên bang để nâng cấp hệ thống, phân phối hàng triệu thẻ có chip và hỗ trợ thanh toán chạm. Kết quả bước đầu cho thấy việc nâng cấp công nghệ có tác động rõ rệt: số tiền trợ cấp bị đánh cắp mà bang phải bồi hoàn mỗi tháng giảm từ 21 triệu USD vào tháng 1.2024 xuống còn 4,3 triệu USD vào tháng 7.2026.

Nhưng công nghệ mới chưa thể xóa ngay lỗ hổng cũ. Nhiều điểm bán hàng vẫn chưa hỗ trợ chip hoặc thanh toán chạm, trong khi giới chức cho biết kẻ gian đã tìm cách can thiệp vào hệ thống để buộc giao dịch quay về phương thức quẹt thẻ. Khoảng 40% doanh số tại California vẫn được thực hiện theo cách này.

Sabrina Feve, trợ lý công tố viên liên bang tại San Diego, nhận định gian lận EBT sẽ tiếp tục là điểm yếu nếu thẻ trợ cấp vẫn có thể được sử dụng dựa trên dữ liệu lưu trên dải từ mà không có lớp bảo vệ bổ sung của chip.

Từ vài giây ở quầy thanh toán đến đường dây xuyên biên giới

Điều tra các vụ án cho thấy đây không phải hoạt động của một cá nhân đơn lẻ. Các thủ lĩnh đường dây thường ở nước ngoài hoặc đứng sau một mạng lưới phân cấp lỏng lẻo, giao những công việc có nguy cơ bị bắt cao hơn cho các thành viên cấp thấp. Những người này tiếp cận các cửa hàng, trong khi một bộ phận khác đảm nhận việc chế tạo thiết bị, vận chuyển, xử lý dữ liệu và di chuyển dòng tiền.

Vụ án ở Ohio cho thấy cách một đường dây có thể hoạt động xuyên nhiều bang. Theo các công tố viên, nhóm này tới Ohio từ tháng 2. Ilie được cho là đã chụp ảnh các máy thanh toán tại nhiều cửa hàng rồi gửi thông tin về California. Tại đó, Valentin Velicu bị cáo buộc điều hành một cơ sở chế tạo thiết bị tại nhà riêng.

Một thành viên khác, Dragos Vasile, bị cáo buộc sử dụng dịch vụ bưu chính để gửi thiết bị đã được tùy chỉnh cùng giấy tờ căn cước giả cho Ilie, người hoạt động dưới tên giả Morgan Anderson. Sau đó, các công tố viên cho rằng Ilie đã tiếp cận các cửa hàng tại khu vực Toledo và Cleveland.

Điều tra viên nhận được sự hỗ trợ từ nguồn tin báo và bắt giữ Ilie, Velicu, Vasile cùng một người Romania khác. Constantin Ion, người được các công tố viên xác định là thủ lĩnh bị cáo buộc của nhóm, đã bị truy tố nhưng chưa bị bắt tại thời điểm bài báo được thực hiện.

Bốn người bị bắt đều không nhận tội và dự kiến ra tòa vào tháng 1. Luật sư của Ilie nói với The Wall Street Journal rằng thân chủ khẳng định mình vô tội, trong khi luật sư của ba người còn lại không bình luận hoặc không phản hồi yêu cầu. Những cáo buộc trong hồ sơ hình sự vì thế vẫn phải được xem xét qua quá trình tố tụng tại tòa.

Phần đáng chú ý khác nằm ở cách các đường dây xử lý tiền. Theo giới chức Mỹ, tiền thu được từ hoạt động gian lận được chuyển thành nhiều dạng tài sản, trong đó có tiền điện tử, rồi đưa về Romania. Một phần dòng tiền được sử dụng cho bất động sản, cờ bạc và các hoạt động phục vụ mạng lưới tội phạm.

Các quan chức Romania hiện phối hợp với cơ quan thực thi pháp luật Mỹ để truy tìm và thu giữ tài sản được cho là hình thành từ nguồn tiền này. Maria Rimniceanu, công tố viên thuộc Cơ quan Điều tra Tội phạm Có tổ chức và Khủng bố Romania, cho biết cơ quan chức năng nước này đang nhắm tới tài sản của các đối tượng liên quan.

Quy mô thực sự của số tiền bị đánh cắp vẫn chưa được xác định. USDA cho biết chính phủ liên bang từng bồi hoàn 360 triệu USD tiền trợ cấp bị trộm cho khoảng 754.000 hộ gia đình trong giai đoạn 2022 đến 2024, trước khi Quốc hội bãi bỏ thẩm quyền bồi hoàn này. Con số đó không phải tổng thiệt hại của hoạt động gian lận, nhưng cho thấy số người bị ảnh hưởng và giá trị dòng tiền đã đủ lớn để trở thành một vấn đề cấp quốc gia.

Đáng lo hơn, người chịu thiệt cuối cùng lại chính là những người có ít khả năng xoay xở nhất. Từ năm 2024, chính phủ liên bang không còn bồi hoàn SNAP bị đánh cắp, trong khi chỉ một số ít bang tiếp tục hỗ trợ nạn nhân. Một gia đình mất khoản trợ cấp đầu tháng có thể phải nhờ người thân hoặc tìm đến các kho thực phẩm từ thiện cho đến kỳ nhận tiền tiếp theo.

Cuộc đua giữa công nghệ và tội phạm

Cơ quan Mật vụ Mỹ cho biết các thiết bị skimmer ngày càng tinh vi và có thể hoạt động trong thời gian dài mà không bị phát hiện. Một thiết bị bị bỏ lại trên máy thanh toán có khả năng làm lộ thông tin của hàng nghìn thẻ. Trong 70 chiến dịch truy quét, cơ quan này đã thu giữ 694 thiết bị và ước tính ngăn chặn khoản gian lận trị giá 720 triệu USD.

Một số chuyên gia cho rằng Mỹ cần tiến xa hơn việc thay thế từng chiếc thẻ. Họ đề xuất chuyển hệ thống trợ cấp sang các phương thức thanh toán kỹ thuật số như ví di động, nơi dữ liệu có thể được bảo vệ bằng những lớp xác thực hiện đại hơn. Song việc thay đổi một hệ thống trợ cấp quy mô quốc gia đòi hỏi chi phí lớn, đồng thời phải bảo đảm những người cao tuổi, người không có điện thoại thông minh hoặc không tiếp cận tốt với công nghệ vẫn nhận được trợ cấp.

California cho thấy đầu tư công nghệ có thể làm giảm thiệt hại, nhưng cũng cho thấy một hệ thống chỉ an toàn khi toàn bộ chuỗi thanh toán cùng được nâng cấp. Việc người dân có thẻ chip nhưng điểm bán vẫn xử lý giao dịch bằng công nghệ cũ tạo ra một mắt xích yếu, đủ để tội phạm tiếp tục tìm cách khai thác.

Ohio đang đi theo hướng khác. Các quan chức bổ sung tính năng khóa thẻ để người nhận SNAP chủ động bảo vệ tiền trợ cấp, trong khi cơ quan lập pháp bang đã thông qua quy định bắt buộc sử dụng thẻ chip. Đây là những biện pháp nhằm giảm khoảng thời gian mà tiền trong tài khoản có thể bị tiếp cận nếu thông tin thẻ bị xâm nhập.

Nhưng phía sau các biện pháp kỹ thuật là một vấn đề lớn hơn: hệ thống trợ cấp đang phải chạy đua để bắt kịp một loại tội phạm vốn thay đổi rất nhanh. Các nhóm tội phạm có thể hoạt động xuyên biên giới, phân chia nhiệm vụ giữa nhiều người và nhiều địa điểm, trong khi việc nâng cấp một chương trình công phải trải qua ngân sách, quy trình mua sắm và thời gian triển khai.

Trong vụ án Ohio, một thiết bị được đặt tại một cửa hàng chỉ là điểm cuối của cả chuỗi hoạt động. Phía sau nó là người thu thập thông tin, người chế tạo thiết bị, người vận chuyển, người sử dụng danh tính giả, những kẻ xử lý dữ liệu và mạng lưới chuyển tiền. Cuộc điều tra vì thế không chỉ đặt vấn đề về một nhóm tội phạm, mà phơi ra khoảng cách giữa tốc độ thích nghi của tội phạm và tốc độ thay đổi của hệ thống công.

Tiền SNAP vốn được tạo ra để bảo đảm một gia đình có thể mua thực phẩm trong lúc khó khăn. Khi khoản tiền đó bị lấy đi, thiệt hại không nằm trên bảng cân đối của một ngân hàng hay một doanh nghiệp, mà xuất hiện ngay trong bữa ăn của một gia đình.

Đó cũng là lý do cuộc chiến chống gian lận EBT không đơn thuần là câu chuyện về vài thiết bị giả mạo trên máy thanh toán. Nó là câu chuyện về cách một lỗ hổng công nghệ tồn tại quá lâu có thể biến hàng triệu người nhận trợ cấp thành mục tiêu, tạo ra một thị trường béo bở cho các đường dây tội phạm xuyên quốc gia và buộc chính quyền Mỹ phải chạy đua để bảo vệ đồng tiền vốn được dành cho những người cần nó nhất.