Chống gian lận
Các kiểu gian lận có thể gặp, biện pháp chặn và phát hiện, ưu tiên cho MVP, và quy trình xử lý khi phát hiện. Mục tiêu: quà đến đúng người chơi thật.
Mục tiêu
| Mục tiêu | Chỉ số đo | Ngưỡng MVP |
|---|---|---|
| Quà không rơi vào tay gian lận | Giá trị quà cấp cho phiên sau đó xác định gian lận / tổng giá trị quà | ≤ 2% |
| Không chặn nhầm người thật | Tỉ lệ người chơi khiếu nại bị chặn được gỡ | ≤ 0,5% số người chơi |
| Không tốn tiền SMS vô ích | Số OTP gửi / số OTP xác thực thành công | ≤ 1,5 |
| Phát hiện sớm | Thời gian từ bất thường tới cảnh báo | ≤ 15 phút |
Ngoài phạm vi
- Tấn công hạ tầng (DDoS, xâm nhập) — do ATTT/hạ tầng; ngưỡng tải ở Hiệu năng & vận hành.
- Điều tra, xử lý kỷ luật nhân sự — hệ thống chỉ cung cấp nhật ký và báo cáo.
- Mô hình học máy chấm điểm rủi ro — MVP dùng luật ngưỡng.
Vai trò & quyền
| Vai trò | Xem cảnh báo | Đánh dấu phiên không hợp lệ | Chặn người chơi | Sửa ngưỡng |
|---|---|---|---|---|
| Quản trị hệ thống | ✓ | ✓ | ✓ | ✓ (ngưỡng hệ thống) |
| Quản lý campaign | ✓ (campaign mình) | ✓ (campaign mình) | Đề xuất | ✓ (ngưỡng campaign, trong trần hệ thống) |
| Quản lý kho quà | ✓ (cảnh báo trao quà) | — | — | — |
| Nhân viên booth | — | — | — | — |
Ma trận quyền chính thức ở Tài khoản & phân quyền.
Kiểu gian lận × biện pháp
Ưu tiên: MVP phải có ở bản đầu · Đợt 2 · Theo dõi chỉ đo, chưa chặn.
| Mã | Kiểu gian lận | Kênh | Biện pháp | Ưu tiên |
|---|---|---|---|---|
| GL-1 | Nhiều SĐT ảo / sim rác để lấy thêm lượt, thêm quà | Web · Kiosk | OTP (web); giới hạn số SĐT trên một thiết bị/IP; ngưỡng trúng/người; phát hiện cụm SĐT liên tiếp | MVP |
| GL-2 | Bơm OTP (gọi gửi OTP hàng loạt để tốn tiền SMS) | Web | Giới hạn tần suất gửi OTP theo SĐT, IP, thiết bị; CAPTCHA chỉ bật khi vượt ngưỡng | MVP |
| GL-3 | Bot / script tự động chơi | Web · Zalo | Giới hạn tần suất phiên; kiểm tra nhịp thao tác phía server; dấu vết thiết bị; CAPTCHA theo rủi ro | MVP |
| GL-4 | Sửa điểm / kết quả ở client (sửa JS, gọi thẳng API) | Web · Zalo · App | Kết quả và quay thưởng quyết định ở server; điểm tối đa theo thời lượng; ghi chuỗi sự kiện — theo Khung game | MVP |
| GL-5 | Auto-click, chạm đa điểm | Mọi kênh | Chỉ đếm 1 điểm chạm; trần lần/giây (vd. Bứt tốc 10 giây: > 20 lần/giây bị loại) — tham số game ở Quản lý game | MVP |
| GL-6 | Chia sẻ ảo để lấy lượt (bấm chia sẻ rồi huỷ, chia sẻ vào nhóm rác) | Zalo · Web | Trần lượt từ chia sẻ/người/ngày; không thể xác minh chia sẻ thật → coi lượt chia sẻ là lượt thưởng có trần | MVP |
| GL-7 | Nhân viên booth tự trao quà cho mình/người quen, hoặc xác nhận trao không có người nhận | Kiosk · Booth | Phân tách quyền (nhân viên booth không cấp lượt trúng); trao chỉ bằng quét QR; nhật ký; cảnh báo nhịp trao bất thường; đối soát cuối ngày | MVP |
| GL-8 | Nhân viên booth cấp lượt chơi tuỳ tiện | Kiosk · Booth | Trần lượt nhân viên cấp/ca; ghi lý do; báo cáo theo nhân viên | Đợt 2 |
| GL-9 | Chơi lặp ở nhiều booth/kiosk cùng campaign | Kiosk | Giới hạn lượt, trúng tính theo người trên toàn campaign khi online; khi offline chỉ trúng trong hạn mức thiết bị, đối chiếu sau đồng bộ | MVP |
| GL-10 | Khai thác lỗi đồng bộ offline (chỉnh giờ máy, gửi lại gói đồng bộ, giả kiosk) | Kiosk | Thiết bị đăng ký có khoá riêng, bản ghi ký số + số thứ tự tăng dần; server loại bản trùng; hạn mức quà offline — nghiệp vụ ở Activation offline | MVP |
| GL-11 | Nhập SĐT người khác tại kiosk (không OTP) để nhận quà thay | Kiosk | QR nhận quà hiện trên màn ngay lúc trúng, chỉ người đứng trước kiosk quét được; quà digital gửi về SĐT đã nhập FCM quyết có OTP ở kiosk khi có mạng không | Theo dõi |
| GL-12 | Xoá dữ liệu cá nhân rồi chơi lại để lấy quà lần nữa | Mọi kênh | Giới hạn tính theo SĐT đã băm, vẫn giữ sau khi xoá — theo BR-DL-14 ở Dữ liệu cá nhân | MVP |
| GL-13 | Bán lại / gom mã voucher | Mọi kênh | Theo dõi mã được dùng bởi tài khoản khác SĐT trúng cần dữ liệu dùng mã từ hệ thống cước/FPT Play | Theo dõi |
CAPTCHAKhông hiện CAPTCHA cho mọi người chơi — làm rơi người chơi ở kiosk và trên điện thoại. Chỉ bật khi một SĐT/IP/thiết bị vượt ngưỡng (BR-GL-03). Kiosk và Zalo không dùng CAPTCHA .
Quy tắc & ngưỡng mặc định
Ngưỡng dưới đây là trần hệ thống. Campaign đặt số lượt, giới hạn trúng thấp hơn trong Campaign; không được vượt trần.
| Mã | Quy tắc | Mặc định | Hành động khi vượt |
|---|---|---|---|
| BR-GL-01 | Gửi OTP theo SĐT | 3 lần/15 phút, 5 lần/ngày, cách nhau ≥ 60 giây | Từ chối gửi, hiện thời gian chờ |
| BR-GL-02 | Gửi OTP theo IP / thiết bị | 10 lần/giờ/IP; 5 SĐT khác nhau/ngày/thiết bị | Bật CAPTCHA; vượt gấp đôi → khoá 24 giờ |
| BR-GL-03 | Nhập sai OTP | 5 lần → huỷ OTP | Phải xin OTP mới, tính vào BR-GL-01 |
| BR-GL-04 | Số SĐT chơi trên một thiết bị (web/Zalo/app) | 3 SĐT/thiết bị/ngày | SĐT thứ 4 chơi được nhưng không trúng quà, đánh dấu "nghi vấn" |
| BR-GL-05 | Tần suất bắt đầu phiên theo người chơi | ≥ 5 giây giữa hai phiên; ≤ 60 phiên/giờ | Từ chối bắt đầu, báo "Thử lại sau" |
| BR-GL-06 | Trần trúng mỗi người trên toàn campaign (mọi kênh, mọi điểm) | 3 lượt trúng có giá trị; 1 quà giá trị ≥ 500.000đ | Quay thưởng chỉ ra "không trúng" |
| BR-GL-07 | Lượt từ chia sẻ | ≤ 1 lượt/người/ngày | Không cộng thêm |
| BR-GL-08 | Kết quả phiên chỉ được chấp nhận khi đúng chuỗi sự kiện, đúng thời lượng (± 2 giây ) và điểm ≤ điểm tối đa lý thuyết | Theo tham số game | Phiên → Không hợp lệ (BR do Khung game sở hữu, trang này dùng kết quả) |
| BR-GL-09 | Nhân viên booth không có quyền tạo lượt trúng, sửa kết quả, điều chỉnh tồn | Cố định | — |
| BR-GL-10 | Nhân viên booth không được chơi tại điểm mình đang trực bằng SĐT đăng ký tài khoản quản trị | Cố định | Chơi được, không trúng quà |
| BR-GL-11 | Mọi hành động nhạy cảm ghi nhật ký không sửa được: trao quà, cấp lượt, đánh dấu không hợp lệ, chặn, đổi ngưỡng | Cố định | — |
| BR-GL-12 | Thiết bị kiosk đồng bộ bản ghi có số thứ tự trùng hoặc lùi → bản ghi bị loại và tạo cảnh báo | Cố định | Cảnh báo Quản trị hệ thống |
Phát hiện bất thường
Luật chạy liên tục (hoặc mỗi 5 phút), sinh cảnh báo vào hàng chờ xử lý. Cảnh báo không tự huỷ quà — trừ dòng ghi "tự động".
| Mã | Dấu hiệu | Ngưỡng mặc định | Tự động |
|---|---|---|---|
| BR-GL-13 | Nhiều SĐT gần liên tiếp (cùng 7 số đầu) trúng trong cùng campaign | ≥ 5 SĐT/giờ | Tạm giữ quà chưa nhận của nhóm |
| BR-GL-14 | Một IP có nhiều SĐT chơi | ≥ 20 SĐT/giờ (trừ IP Wi-Fi booth đã khai báo) | Bật CAPTCHA cho IP |
| BR-GL-15 | Tỉ lệ trúng thực tế của campaign/điểm lệch cấu hình | > 1,5 lần trong 1 giờ, ≥ 100 phiên | Không — báo Quản lý campaign |
| BR-GL-16 | Điểm số thuộc nhóm cao bất thường (bảng xếp hạng) | > 3 độ lệch chuẩn hoặc top 10 có quà | Giữ quà xếp hạng tới khi duyệt chuỗi sự kiện |
| BR-GL-17 | Một nhân viên booth xác nhận trao quà dồn dập | > 10 lần/5 phút, hoặc > 2 lần cùng SĐT trong ngày | Không — báo Quản lý kho quà |
| BR-GL-18 | Quà vật lý trúng ngoài giờ chạy của điểm | Bất kỳ | Tạm giữ cấp phát |
| BR-GL-19 | Sau đồng bộ offline: một người vượt trần trúng do chơi ở nhiều kiosk cùng lúc | Vượt BR-GL-06 | Không — đưa vào hàng chờ, xem Xử lý |
| BR-GL-20 | Lượng OTP gửi tăng đột biến | > 3 lần trung bình cùng giờ tuần trước | Bật CAPTCHA toàn hệ thống cho bước OTP |
Cảnh báo gửi qua kênh giám sát ở Hiệu năng & vận hành; số cảnh báo, số phiên không hợp lệ theo campaign hiện trong Báo cáo.
Quy trình xử lý khi phát hiện
- Cảnh báo vào hàng chờ, kèm bằng chứng: phiên, SĐT (che), thiết bị, IP, chuỗi sự kiện, luật kích hoạt.
- Quản lý campaign (hoặc Quản trị hệ thống) xem trong 4 giờ làm việc; campaign đang chạy sự kiện lớn: trong 30 phút.
- Kết luận Bỏ qua (ghi lý do) → quà tạm giữ được trả lại luồng bình thường.
- Kết luận Gian lận → phiên chơi chuyển Không hợp lệ (trạng thái chuẩn ở Thuật ngữ).
- Cấp phát của phiên đó → Huỷ theo luồng ở Kho quà (quà trả lại tồn). Quà vật lý đã "Đã nhận" không thu hồi được: chỉ ghi nhận, đưa vào biên bản đối soát.
- Tuỳ mức độ: chặn người chơi theo Danh sách khách hàng; chặn thiết bị/IP 7 ngày.
- Gian lận nội bộ (GL-7, GL-8): khoá tài khoản nhân viên booth theo Tài khoản, chuyển nhật ký cho quản lý trực tiếp.
- Người chơi bị huỷ quà nhận thông báo SMS/ZNS kèm kênh khiếu nại nội dung tin + kênh khiếu nại (hotline?).
Mới→Đang xem→Gian lận·Bỏ qua
Trạng thái cảnh báo. Cảnh báo không xử lý quá 24 giờ → nhắc lại người phụ trách campaign.
Đã công bố trúngHuỷ quà đã hiện trên màn kết quả gây khiếu nại. Thể lệ campaign phải có điều khoản "FPT Telecom có quyền huỷ kết quả do gian lận" — xem Campaign.
Tiêu chí nghiệm thu
AC-GL-01Cho một SĐT đã xin 3 OTP trong 15 phút, khi xin lần 4, thì hệ thống không gửi SMS và hiện thời gian chờ.AC-GL-02Cho một IP xin OTP cho 11 SĐT trong 1 giờ, khi xin lần 11, thì phải qua CAPTCHA mới gửi.AC-GL-03Cho client gửi kết quả điểm 5.000 cho game Bứt tốc 10 giây (tối đa lý thuyết 200), thì phiên chuyển Không hợp lệ, không quay thưởng.AC-GL-04Cho người chơi đã trúng 3 lượt có giá trị trong campaign, khi chơi tiếp ở kiosk khác lúc online, thì kết quả luôn "không trúng".AC-GL-05Cho gói đồng bộ kiosk bị gửi lại lần hai, thì server không tạo thêm phiên/lượt trúng nào và ghi cảnh báo.AC-GL-06Cho tài khoản nhân viên booth, khi gọi chức năng tạo lượt trúng hoặc điều chỉnh tồn, thì bị từ chối và ghi nhật ký.AC-GL-07Cho nhân viên booth xác nhận 11 lần trao trong 5 phút, thì trong 15 phút Quản lý kho quà nhận cảnh báo kèm danh sách 11 cấp phát.AC-GL-08Cho cảnh báo được kết luận Gian lận, thì phiên chuyển Không hợp lệ, cấp phát chưa nhận chuyển Huỷ, tồn khả dụng tăng tương ứng, và nhật ký ghi người kết luận.AC-GL-09Cho người chơi chia sẻ 5 lần trong ngày, thì chỉ được cộng 1 lượt.AC-GL-10Cho thiết bị đã chơi bằng 3 SĐT trong ngày, khi SĐT thứ 4 chơi và đạt điều kiện trúng, thì kết quả "không trúng" và có cảnh báo nghi vấn.
Câu hỏi mở
| # | Câu hỏi | Hỏi ai | Hạn | Trả lời |
|---|---|---|---|---|
| Q-GL-01 | Kiosk có bắt OTP khi có mạng không? Không OTP thì ai cũng nhập được SĐT người khác (GL-11); có OTP thì chậm hàng và tốn SMS | FCM | ||
| Q-GL-02 | Quà giá trị cao có giới hạn cho khách hàng FPT hiện hữu (xác thực FPT ID) để chống sim rác không? | FCM | ||
| Q-GL-03 | Offline: người vượt trần trúng do chơi nhiều kiosk cùng lúc — huỷ lượt trúng sau, hay chấp nhận như chi phí? | FCM / Pháp chế | ||
| Q-GL-04 | Dùng dịch vụ CAPTCHA nào (reCAPTCHA, Turnstile…) — có được phép gửi dữ liệu ra nước ngoài không? | IT / Pháp chế | ||
| Q-GL-05 | Nhân viên booth và nhân viên FPT có được chơi và nhận quà không? Danh sách SĐT nhân viên lấy từ đâu? | FCM / HR | ||
| Q-GL-06 | Ai là người xử lý cảnh báo ngoài giờ hành chính trong sự kiện cuối tuần? | FCM |
Lịch sử thay đổi
| Bản | Ngày | Người sửa | Nội dung |
|---|---|---|---|
| 0.1 | 2026-11-11 | PM | Nháp khởi tạo |