# ATM Skimming vs ATM Shimming Tiếng Anh: ATM Skimming vs ATM Shimming Skimming đọc dữ liệu từ dải từ thẻ qua thiết bị gắn ngoài, còn shimming đặt chip mỏng vào khe đọc để chặn dữ liệu chip EMV, cả hai đều nhằm sao chép... Nguồn: https://vieclam.nganhang.com/thuat-ngu/atm-skimming-vs-atm-shimming-la-gi Danh mục: An ninh & Phòng chống gian lận Cập nhật: 13/09/2026 ## ATM Skimming vs ATM Shimming là gì? **ATM Skimming** và **ATM Shimming** là hai hình thức tấn công thiết bị tự động **ATM (Automated Teller Machine)** nhằm đánh cắp dữ liệu thẻ ngân hàng của khách hàng, từ đó tạo ra các thẻ giả để rút tiền hoặc thanh toán trái phép. Đây là hai trong những phương thức gian lận tinh vi nhất trong lĩnh vực **an ninh thẻ (card security)** và là mối quan tâm hàng đầu của các ngân hàng cũng như tổ chức tài chính trên toàn cầu. **ATM Skimming** là phương thức mà tội phạm gắn một thiết bị đọc lén (gọi là **skimmer**) lên khe đọc thẻ của máy ATM. Thiết bị này có hình dạng gần giống với bộ phận nhận thẻ thật, khiến khách hàng khó nhận biết bằng mắt thường. Khi khách hàng đưa thẻ vào, dữ liệu trên **dải từ (magnetic stripe)** sẽ được sao chép lại. Đồng thời, kẻ gian thường lắp đặt thêm một **camera giấu kín (hidden camera)** hoặc một bàn phím giả (**fake keypad overlay**) phía trên bàn phím thật để ghi lại **mã PIN (Personal Identification Number)**. Sau khi thu thập đủ dữ liệu, chúng sẽ tạo ra một thẻ trắng (**blank card**) có gắn dải từ chứa thông tin sao chép và sử dụng thẻ này để rút tiền tại các quốc gia chưa áp dụng công nghệ chip hoặc để thanh toán trực tuyến. **ATM Shimming** là phương thức tinh vi hơn, nhắm vào công nghệ **chip EMV (Europay, Mastercard, Visa)** – vốn được thiết kế để thay thế dải từ nhằm tăng cường bảo mật. Kẻ gian sẽ đưa một thiết bị mỏng gọi là **shimmer** (thường chỉ dày vài micromet, làm từ vật liệu dẫn điện) vào bên trong khe đọc thẻ của máy ATM. Khi khách hàng cắm thẻ vào, **shimmer** sẽ nằm giữa chip của thẻ và đầu đọc của máy, can thiệp vào quá trình giao tiếp giữa hai bộ phận này. Thiết bị này có khả năng ghi lại một phần hoặc toàn bộ dữ liệu **transaction** đang diễn ra, từ đó trích xuất thông tin cần thiết để tạo thẻ giả. Mặc dù chip EMV sử dụng thuật toán mã hóa phức tạp, nhưng **shimmer** khai thác lỗ hổng trong giao thức truyền thông để "nghe lén" dữ liệu trước khi mã hóa hoàn tất. Điểm chung của cả hai phương thức này là đều nhằm mục đích cuối cùng là **sao chép thẻ (card cloning)** để thực hiện giao dịch gian lận. Tuy nhiên, cách thức tấn công, công nghệ sử dụng và mức độ nguy hiểm của chúng có sự khác biệt đáng kể mà các chuyên gia an ninh ngân hàng cần nắm rõ. **Thuật ngữ tiếng Anh:** ATM Skimming vs ATM Shimming **Lĩnh vực:** An ninh & Phòng chống gian lận ## Đặc điểm và phân loại ### Bảng so sánh chi tiết ATM Skimming và ATM Shimming | Tiêu chí | ATM Skimming | ATM Shimming | |---|---|---| | **Mục tiêu tấn công** | Dải từ (magnetic stripe) trên thẻ | Chip EMV trên thẻ | | **Vị trí lắp đặt thiết bị** | Gắn ngoài khe đọc thẻ | Đặt bên trong khe đọc thẻ | | **Loại thiết bị** | Skimmer (thiết bị dày, có thể nhìn thấy) | Shimmer (miếng mỏng, khó phát hiện) | | **Dữ liệu thu thập** | Toàn bộ thông tin trên dải từ + mã PIN | Dữ liệu giao dịch chip EMV | | **Cách lấy mã PIN** | Camera giấu kín hoặc bàn phím giả | Thường kết hợp với skimming hoặc camera | | **Độ khó phát hiện** | Trung bình (có thể nhận biết bằng mắt) | Cao (rất khó nhận biết) | | **Công nghệ thẻ bị ảnh hưởng** | Thẻ từ, thẻ chip vẫn có dải từ | Chủ yếu thẻ chip EMV | | **Thẻ giả tạo ra** | Thẻ từ (clone magnetic stripe card) | Thẻ chip giả (clone EMV chip card) | | **Thời gian lắp đặt** | 5-15 phút | 10-30 phút | | **Chi phí thiết bị** | 200 – 1.500 USD | 500 – 2.000 USD | | **Phòng chống** | Công nghệ chống skimming, kiểm tra ATM | Giám sát hành vi, mã hóa nâng cao | | **Phạm vi hoạt động** | Toàn cầu | Chủ yếu ở các nước đã chuyển đổi sang EMV | ### Phân loại các thiết bị Skimming phổ biến 1. **Overlay Skimmer (Skimmer phủ ngoài):** Là loại phổ biến nhất, gắn trực tiếp lên khe đọc thẻ. Được thiết kế tinh vi đến mức gần như trùng khớp với màu sắc và hình dạng của máy ATM thật. 2. **Insert Skimmer (Skimmer cắm vào):** Được nhét vào bên trong khe đọc thẻ, ít phổ biến hơn nhưng khó phát hiện hơn overlay skimmer. 3. **Deep Insert Skimmer:** Loại này được đưa sâu vào bên trong cổng đọc thẻ, thường yêu cầu dụng cụ chuyên dụng để lắp đặt và tháo gỡ. 4. **Card Trapping (Bẫy thẻ):** Thiết bị giữ thẻ của khách hàng lại trong máy ATM, kẻ gian quay lại lấy thẻ khi khách hàng đã rời đi. ### Phân loại các thiết bị Shimming 1. **Chip Shimmer tiêu chuẩn:** Miếng nhựa mỏng có gắn mạch điện tử, đặt vào khe đọc thẻ để chặn dữ liệu truyền giữa chip thẻ và đầu đọc. 2. **EMV Pre-Play Attack Device:** Thiết bị tinh vi hơn, có khả năng can thiệp vào giao thức **ARQC (Application Request Cryptogram)** để tạo giao dịch giả. 3. **Relay Attack Device:** Chuyển tiếp dữ liệu thẻ theo thời gian thực đến một thiết bị khác ở xa, cho phép giao dịch diễn ra gần như đồng thời tại hai địa điểm. ### Đặc điểm nhận biết ATM bị gắn thiết bị gian lận - **Khe đọc thẻ có dấu hiệu bất thường:** Bị lỏng, có vết keo dán, màu sắc khác biệt so với phần còn lại của máy - **Bàn phím bị dày lên:** Có lớp phủ mỏng bất thường, các phím khó bấm hoặc không nhạy - **Có vật thể lạ xung quanh:** Thường thấy ở phía trên màn hình hoặc gần khe đọc thẻ, có thể là camera giấu kín - **Máy ATM hoạt động bất thường:** Giao dịch chậm, thẻ bị kẹt, yêu cầu nhập PIN nhiều lần ## Ví dụ thực tế trong ngành ngân hàng ### Ví dụ 1: Vụ skimming quy mô lớn tại hệ thống ATM của Ngân hàng A Năm 2023, Ngân hàng A phát hiện một đường dây skimming xuyên quốc gia hoạt động tại 15 chi nhánh ở khu vực miền Trung. Nhóm tội phạm gồm 7 đối tượng đã gắn skimmer lên 23 máy ATM trong vòng 2 tháng. Thiết bị thu thập dữ liệu từ khoảng **1.200 thẻ** của khách hàng, gây thiệt hại ước tính **4,8 tỷ đồng**. Điều tra cho thấy nhóm này sử dụng camera mini gắn trong hộp đựng tờ rơi quảng cáo gần máy ATM để quay mã PIN. Sau khi sao chép thẻ, chúng thực hiện rút tiền tại các nước chưa áp dụng EMV như một số quốc gia Đông Nam Á. Ngân hàng A đã phải bồi thường 100% số tiền thiệt hại cho khách hàng theo quy định và nâng cấp toàn bộ hệ thống ATM với công nghệ **anti-skimming** trị giá hơn **12 tỷ đồng**. ### Ví dụ 2: Phát hiện shimmer tại cây ATM của Ngân hàng B ở trung tâm thương mại Tháng 6/2024, nhân viên kỹ thuật của Ngân hàng B trong quá trình bảo trì định kỳ tại một cây ATM ở tầng hầm trung tâm thương mại lớn tại TP.HCM đã phát hiện một miếng shimmer mỏng chỉ 0,3mm nằm sâu bên trong khe đọc thẻ. Thiết bị này được thiết kế tinh xảo với mạch điện tử có khả năng ghi lại dữ liệu **ARQC (Application Request Cryptogram)** – một thành phần bảo mật quan trọng của giao dịch chip. Đáng chú ý, shimmer này không gây ra lỗi giao dịch nào, nghĩa là khách hàng hoàn toàn không nhận biết được. Ước tính trong 3 tuần thiết bị hoạt động, có khoảng **400 giao dịch** với tổng giá trị **2,3 tỷ đồng** đã bị ảnh hưởng. Ngân hàng B ngay lập tức thông báo cho khách hàng, khóa thẻ và phát hành thẻ mới đồng thời phối hợp với cơ quan công an điều tra. Bài học rút ra là cần áp dụng công nghệ **transaction behavioral analysis** để phát hiện các giao dịch bất thường. ### Ví dụ 3: Tấn công kết hợp skimming và shimming tại khu du lịch Tại một khu du lịch nổi tiếng ở miền Bắc, Ngân hàng A và Ngân hàng B cùng đặt máy ATM tại các khách sạn 5 sao. Một nhóm tội phạm đã thực hiện cuộc tấn công kết hợp: gắn skimmer overlay để sao chép dữ liệu dải từ và đồng thời cài shimmer để thu thập dữ liệu chip. Chúng nhắm vào du khách quốc tế – những người có thể không phát hiện bất thường do không quen thuộc với thiết kế máy ATM địa phương. Trong vòng 1 tháng, hơn **600 thẻ** của khách hàng bị sao chép, gây thiệt hại **3,2 tỷ đồng**. Vụ việc này buộc hai ngân hàng phải triển khai hệ thống **Jitter Technology** – công nghệ gây nhiễu tín hiệu trong khe đọc thẻ khiến shimmer không thể hoạt động hiệu quả. ## ATM Skimming vs ATM Shimming trong các ngôn ngữ khác | Ngôn ngữ | Thuật ngữ | Phiên âm | |---|---|---| | Tiếng Anh | ATM Skimming vs ATM Shimming | /ˌeɪ tiː ˈɛm ˈskɪmɪŋ vɜːrs ˌeɪ tiː ˈɛm ˈʃɪmɪŋ/ | | Tiếng Nhật | ATMスキミング vs ATMシミミング | ATM sukimminu vs ATM shimimminu | | Tiếng Hàn | ATM 스키밍 vs ATM 시밍 | ATM seukiming vs ATM siming | | Tiếng Trung | ATM侧录 vs ATM芯片截取 | ATM cè lù vs ATM xīn piàn jié qǔ | | Tiếng Tây Ban Nha | Skimming en cajeros vs Shimming en cajeros | /ˈeskimiŋ en kaˈxeɾos vs /ˈʃimiŋ en kaˈxeɾos/ | ## Câu hỏi thường gặp ### ATM Skimming khác ATM Shimming ở những điểm cơ bản nào? **ATM Skimming** tấn công vào **dải từ (magnetic stripe)** thông qua thiết bị gắn ngoài, dễ phát hiện hơn và thường kết hợp camera để lấy mã PIN. Trong khi đó, **ATM Shimming** tấn công vào **chip EMV** bằng thiết bị mỏng đặt bên trong khe đọc thẻ, khó phát hiện hơn rất nhiều và khai thác lỗ hổng trong giao thức truyền thông giữa chip và đầu đọc. Skimmer có thể tạo thẻ giả hoàn chỉnh với mọi dữ liệu trên dải từ, còn shimmer chỉ có thể chặn một phần dữ liệu giao dịch và cần kỹ thuật phức tạp hơn để tái tạo. ### Khi nào cần quan tâm đến ATM Skimming và ATM Shimming? Bạn cần đặc biệt cảnh giác với hai hình thức này khi **rút tiền tại máy ATM ở những địa điểm công cộng** như trung tâm thương mại, sân bay, khách sạn, khu du lịch – nơi tội phạm dễ lắp đặt thiết bị mà ít bị phát hiện. Đối với nhân viên ngân hàng, kiến thức về skimming và shimming là bắt buộc trong công tác **quản lý rủi ro (risk management)**, thiết kế hệ thống an ninh ATM, điều tra gian lận và phát triển sản phẩm thẻ. Các kỳ thi tuyển dụng ngân hàng thường có câu hỏi liên quan đến chủ đề này trong phần thi **kiến thức ngân hàng chuyên ngành**. ### ATM Skimming và ATM Shimming ảnh hưởng thế nào đến khách hàng? Cả hai hình thức đều gây ra hậu quả nghiêm trọng cho khách hàng: **mất tiền trực tiếp** trong tài khoản, **thông tin cá nhân** bị lộ, **uy tín tín dụng** bị ảnh hưởng nếu giao dịch gian lận không được xử lý kịp thời, và **thời gian** phải bỏ ra để làm việc với ngân hàng khóa thẻ, phát hành thẻ mới, khiếu nại. Về phía ngân hàng, thiệt hại không chỉ là tài chính mà còn bao gồm **chi phí bồi thường**, **chi phí nâng cấp hệ thống bảo mật**, **tổn thất uy tín thương hiệu** và **chi phí điều tra phối hợp với cơ quan chức năng**. Trung bình, mỗi vụ skimming/shimming gây thiệt hại từ **2 đến 5 tỷ đồng** cho một ngân hàng cỡ vừa tại Việt Nam. ## Tổng kết **ATM Skimming** và **ATM Shimming** là hai phương thức tấn công tinh vi vào hệ thống ATM, đòi hỏi sự hiểu biết sâu sắc từ cả phía ngân hàng lẫn khách hàng. Trong khi skimming nhắm vào dải từ và dễ phát hiện hơn, thì shimming lại khai thác lỗ hổng của công nghệ chip EMV – vốn được cho là an toàn hơn. Xu hướng tội phạm hiện nay là **kết hợp cả hai phương thức** và nhắm vào các địa điểm đông người. Để phòng chống hiệu quả, các ngân hàng cần đầu tư vào **công nghệ chống gian lận (anti-fraud technology)**, đào tạo nhân viên nhận biết thiết bị bất thường, và nâng cao nhận thức của khách hàng. Đối với ứng viên ngân hàng, nắm vững kiến thức về skimming và shimming không chỉ giúp vượt qua kỳ thi tuyển dụng mà còn là nền tảng quan trọng trong sự nghiệp chuyên môn về **quản trị rủi ro (risk management)** và **an ninh tài chính (financial security)**. ## Thuật ngữ liên quan - [3D Secure](https://vieclam.nganhang.com/thuat-ngu/3d-secure-la-gi) — Giao thức bảo mật bổ sung khi thanh toán thẻ trực tuyến (Verified by Visa, Mastercard SecureCode, J/Secure), yêu cầu nhập OTP để xác thực chủ thẻ. - [Bảo vệ dữ liệu cá nhân](https://vieclam.nganhang.com/thuat-ngu/bao-ve-du-lieu-ca-nhan-la-gi) — Yêu cầu pháp lý ngân hàng phải thu thập, lưu trữ và xử lý dữ liệu cá nhân khách hàng theo Nghị định 13/2023/NĐ-CP và các quy định liên quan. - [Giới hạn giao dịch](https://vieclam.nganhang.com/thuat-ngu/gioi-han-giao-dich-la-gi) — Hạn mức tối đa được phép thực hiện giao dịch theo từng cấp phê duyệt hoặc loại khách hàng. - [NAPAS](https://vieclam.nganhang.com/thuat-ngu/napas-la-gi) — Công ty Cổ phần Thanh toán Quốc gia Việt Nam, vận hành hệ thống chuyển mạch liên ngân hàng kết nối các tổ chức tín dụng trong cả nước. - [Nghị định 13/2023/NĐ-CP](https://vieclam.nganhang.com/thuat-ngu/nghi-dinh-132023nd-cp-la-gi) — Văn bản pháp lý quan trọng quy định về xử lý và bảo vệ dữ liệu cá nhân tại Việt Nam có hiệu lực từ ngày 01/07/2023. - [Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân](https://vieclam.nganhang.com/thuat-ngu/nghi-dinh-132023nd-cp-ve-bao-ve-du-lieu-ca-nhan-la-gi) — Văn bản pháp lý quan trọng quy định bảo vệ dữ liệu cá nhân tại Việt Nam, áp dụng cho dịch vụ tài chính số. - [Ngân hàng điện tử](https://vieclam.nganhang.com/thuat-ngu/ngan-hang-dien-tu-la-gi) — Tổng hợp các kênh giao dịch ngân hàng qua phương tiện điện tử bao gồm Internet Banking, Mobile Banking, SMS Banking và ATM, hoạt động 24/7. - [Thẻ chip EMV](https://vieclam.nganhang.com/thuat-ngu/the-chip-emv-la-gi) — Thẻ được gắn chip điện tử theo chuẩn EMV quốc tế, giúp mã hóa dữ liệu giao dịch và tăng cường bảo mật so với thẻ từ.