Cảnh báo lừa đảo Deepfake giả dạng chủ thể

Công nghệ trí tuệ nhân tạo (AI) đưa vào công cụ mô phỏng khuôn mặt (Deepfake) đã đưa việc giả mạo lên một cấp độ mới khó phát hiện hơn.

Sử dụng hình ảnh fake chuyển tiền

Theo cơ quan công an, Deepfake là công nghệ mô phỏng hình ảnh khuôn mặt con người, được đặt tên theo cụm từ được kết hợp giữa "deep learning" (máy học) và "fake" (giả). Công nghệ này có thể tạo ra các sản phẩm âm thanh, hình ảnh hoặc thậm chí là cả video giả, nhờ vào AI tinh vi.

Các đối tượng lừa đảo sử dụng Deepfake để giả mạo khuôn mặt và giọng nói, dùng tài khoản mạng xã hội đánh cắp để lừa đảo, dẫn dụ nạn nhân chuyển tiền. Hiệp hội Kế toán pháp lý toàn cầu thống kê, các sự cố Deepfake trên toàn cầu đã tăng gấp 10 lần từ năm 2023 - 2025, tương ứng với mức tăng hơn 900% trong hai năm. Hậu quả của việc này rất nghiêm trọng. Còn theo Deloitte, tổ chức chuyên cung cấp các dịch vụ quốc tế về kiểm toán - tài chính, ước tính gian lận do AI thúc đẩy sẽ gây thiệt hại cho các ngân hàng và khách hàng của họ tới 40 tỉ USD vào năm 2027.

Tại VN, hiểm họa của AI tạo sinh và công nghệ Deepfake ngày càng tăng và rõ ràng hơn. Trong năm 2024, Cục An toàn thông tin (Bộ TT-TT trước đây) đã ghi nhận hơn 220.000 báo cáo về lừa đảo trực tuyến và gian lận, phần lớn liên quan đến lĩnh vực tài chính và ngân hàng. Trong thực tế, ngày càng có nhiều người tiêu dùng ưu tiên giao dịch kỹ thuật số, trở thành một mục tiêu hấp dẫn.

Chia sẻ với PV Thanh Niên, một admin của diễn đàn Chongluadao.vn đã gửi các clip cho thấy thao tác chuyển tiền có thể thực hiện được bằng hình ảnh không phải của người thật. Những vụ triệt phá băng nhóm tội phạm lừa đảo xuyên biên giới trong thời gian gần đây cũng cho thấy thủ đoạn tạo dựng mạng lưới chân rết khắp cả nước để thu mua, thuê mở tài khoản ngân hàng, sau đó chủ tài khoản phải bàn giao thông tin tài khoản, SIM điện thoại, email, quay lại video khuôn mặt của mình và làm theo các yêu cầu khác của các đối tượng lừa đảo. Thông tin cá nhân, video của chủ tài khoản sẽ được các đối tượng sử dụng phục vụ cho việc hack sinh trắc học tài khoản ngân hàng rồi chuyển lại cho các đối tượng tại Campuchia nhằm nhận tiền lừa đảo và rửa tiền.

Còn nhớ thời gian mới áp dụng sinh trắc khuôn mặt khi chuyển khoản từ 10 triệu đồng trở lên, một số ngân hàng thừa nhận có tình trạng một số app (ứng dụng) bị đánh lừa bởi ảnh tĩnh, Deepfake nhưng đó là do họ tắt hệ thống xác thực này để đảm bảo giao dịch thông suốt trong những ngày đầu lưu lượng tăng đột biến. Còn khi thực hiện nghiêm túc giải pháp xác thực định danh khách hàng trực tuyến, phải có chức năng chống giả mạo Deepfake và ảnh tĩnh thì tình trạng dùng ảnh tĩnh để vượt hệ thống sinh trắc học đã được khắc phục.

Một lãnh đạo Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) khẳng định hệ thống công nghệ ứng dụng sinh trắc học của các ngân hàng đều cơ bản đảm bảo xử lý được vấn đề bảo mật. Tuy nhiên, vẫn có một vài rủi ro phải đối mặt như công nghệ mới, đặc biệt với sự hỗ trợ của AI thì công nghệ Deepfake đã vượt qua các biện pháp kỹ thuật thông thường. Do đó, ngân hàng và các tổ chức tín dụng cần phải thường xuyên cập nhật diễn biến mới để phát hiện các lỗ hổng.

Một chuyên gia công nghệ nhấn mạnh công nghệ nhận diện hình ảnh, nhận diện khuôn mặt không chỉ có ý nghĩa trong bảo mật mà còn đóng vai trò quan trọng trong nhiều lĩnh vực nóng như an ninh đô thị hay an toàn giao thông. Tại VN, mức độ tin tưởng và chấp nhận xác thực sinh trắc học đang tăng lên nhanh chóng. Tuy nhiên, công nghệ ngày càng thay đổi chóng mặt, các tổ chức tội phạm có thể chạy đua công nghệ để vượt qua tường lửa bảo mật. Trong tương lai gần, các đối tượng lừa đảo có thể đánh cắp thông tin của một người có thật, rồi sử dụng tên, địa chỉ, số CMND/CCCD, để xây dựng một danh tính hoàn toàn mới, không hề tồn tại rồi tạo tài khoản riêng để thực hiện hành vi phi pháp.

"Công nghệ AI hiện đang hỗ trợ cho nhiều lĩnh vực nhưng đồng thời cũng đang được các băng nhóm, đối tượng lừa đảo lợi dụng triệt để, đặc biệt là AI có thể tạo ra khuôn mặt như thật để vượt qua bước sinh trắc học. Ngay cả các công cụ phát hiện tiên tiến cũng gặp khó khăn. Một số công cụ có thể phát hiện được một hình ảnh do AI tạo ra nhưng lại không phát hiện được một video hoán đổi khuôn mặt. Tương tự, các hệ thống AI được huấn luyện trên những nhân vật công chúng nổi tiếng có thể phân biệt ảnh giả của chính trị gia hay người nổi tiếng, nhưng lại không nhận ra với những người bình thường không có nhiều dữ liệu số", vị chuyên gia này cho biết.

Lỗ hổng từ đâu?

Ông Võ Đỗ Thắng, Giám đốc Trung tâm đào tạo an ninh mạng Athena, cũng thừa nhận: Thực tế cho thấy hiện nay một số giải pháp xác thực danh tính có thể dễ dàng bị qua mặt bởi hình ảnh, video, mặt nạ hay Deepfake giả dạng chủ thể. Nguyên nhân có thể là do những giải pháp sinh trắc học này không đạt tiêu chuẩn về chất lượng, chưa vượt qua các bài kiểm tra đánh giá hiệu suất của các hệ thống nhận diện khuôn mặt trong nhiều tình huống khác nhau. Đây là lỗ hổng bảo mật nghiêm trọng mà nhiều doanh nghiệp không chỉ ở VN mà cả trên thế giới đang phải đối mặt. "Có thể AI làm chúng ta lo lắng, nhưng trước hết các ứng dụng cần phải rà soát lại xem mình đã thực hiện nghiêm ngặt các quy trình thu thập thông tin hay chưa. Sinh trắc học là một giải pháp bảo mật, nhưng chính nó cũng cần có những giải pháp bảo vệ. Kẻ gian có thể lợi dụng kẽ hở của ứng dụng và đánh lừa sinh trắc học chứ chưa cần đến công nghệ AI", ông Thắng đặt vấn đề.

Ông Ngô Minh Hiếu, chuyên gia an ninh mạng, Giám đốc Dự án Chongluadao.vn, cũng đồng ý rằng hiện nay công nghệ giả mạo khuôn mặt và giọng nói bằng AI đã đủ tinh vi để vượt qua các lớp xác thực sinh trắc học cơ bản như face ID hay video call. Tuy nhiên, vấn đề không nằm ở công nghệ sinh trắc học "lạc hậu", mà ở chỗ nhiều ngân hàng và nền tảng chưa triển khai đủ các lớp kiểm tra chống giả mạo (liveness detection, deepfake detection); một số app ngân hàng vì bảo mật kém thì bị bẻ khóa, sau đó đối tượng có thể dùng một tấm hình chân dung để vượt sinh trắc học. "Do đó, về phía ngân hàng có trách nhiệm nâng cấp hệ thống xác thực đa lớp, kết hợp AI chống Deepfake, đồng thời tăng cường cảnh báo rủi ro cho người dùng. Công nghệ chỉ thực sự hiệu quả khi cả tổ chức lẫn người dùng đều hành động cẩn trọng và chủ động phòng ngừa", ông Ngô Minh Hiếu chia sẻ.