(CATP) Tháng 4/2025, cảnh sát Hồng Kông (Trung Quốc) triển khai một chiến dịch truy quét lừa đảo, tội phạm mạng và "rửa tiền" trên toàn thành phố, bắt giữ 503 người từ 18 đến 80 tuổi, tổng thiệt hại các vụ liên quan gần 200 triệu USD. Trong đợt truy quét ấy, tám người bị bắt vì hành vi mà cảnh sát mô tả là chưa từng thấy ở quy mô này tại Hồng Kông (Trung Quốc): dùng ít nhất 21 chứng minh thư đã khai báo mất để thực hiện 44 hồ sơ mở tài khoản ngân hàng, bằng cách ghép khuôn mặt của kẻ lừa đảo lên ảnh chân dung trên giấy tờ gốc rồi tạo ảnh deepfake để vượt qua bước xác thực sinh trắc học của ngân hàng.
Cuộc gọi video lừa 25 triệu USD
Đó không phải là vụ deepfake đầu tiên mà cảnh sát Hồng Kông (Trung Quốc) phải đối mặt nhưng chi tiết "khuôn mặt giả vượt qua xác thực sinh trắc học" được báo cáo đánh giá mối đe dọa tội phạm có tổ chức xuyên quốc gia (TOCTA) năm 2026 của Văn phòng Liên hợp quốc về ma túy và tội phạm (UNODC) xem là bước ngoặt công nghệ lớn nhất của tội phạm ở Đông Nam Á.
Trường hợp gây chấn động đầu tiên xảy ra đầu năm 2024, khi một nhân viên tài chính tại chi nhánh Hồng Kông (Trung Quốc) của một tập đoàn đa quốc gia bị lừa chuyển 25,6 triệu USD, sau khi tham gia một cuộc họp video. Trừ chính nạn nhân, mọi người có mặt trong cuộc họp đều là hình ảnh giả được dựng từ những đoạn video công khai của các lãnh đạo công ty, trong đó có giám đốc tài chính. Cảnh sát Hồng Kông (Trung Quốc) khi đó gọi đây là vụ việc đầu tiên thuộc loại này tại thành phố có liên quan đến số tiền lớn như vậy. Vụ việc kéo dài trọn một tuần trước khi bị phát hiện, và chỉ lộ ra khi nhân viên liên hệ lại với trụ sở chính để xác minh.
Ảnh minh họa Deepfakes
Từ đó đến nay, các vụ án tương tự không ngừng xuất hiện, với thủ đoạn ngày càng tinh vi và mở rộng đối tượng. Tháng 01/2025, cảnh sát Hồng Kông (Trung Quốc) triệt phá một đường dây gồm 31 người, chuyên dùng hình ảnh phụ nữ xinh đẹp được tạo bằng deepfake để lừa tình và lừa đầu tư, nhắm vào nạn nhân tại Đài Loan (Trung Quốc), Singapore và Malaysia, thu lợi bất chính hơn 4 triệu USD. Đường dây này thuê hai căn hộ liền kề trong cùng khu công nghiệp ở Kowloon Bay làm địa điểm hoạt động, tuyển cả học sinh, sinh viên bằng lời hứa kiếm tiền nhanh, huấn luyện họ dùng nhiều ứng dụng hẹn hò khác nhau để "câu" nạn nhân. Đây đã là lần thứ hai một đường dây nội địa Đài Loan (Trung Quốc), bị phát hiện dùng deepfake theo kiểu này, sau vụ 27 người bị bắt hồi tháng 10 năm trước đó vì lừa nạn nhân nam giới đầu tư vào sàn tiền mã hóa giả bằng hình ảnh phụ nữ deepfake.
Những vụ án tại Đài Loan (Trung Quốc), chỉ là phần nổi của một xu hướng công nghệ rộng lớn hơn nhiều mà báo cáo TOCTA 2026 mô tả chi tiết. Theo báo cáo, bốn trục công nghệ đã tái cấu trúc hoàn toàn cách các mạng lưới lừa đảo ở Đông Nam Á vận hành so với bảy năm trước: tiền mã hóa, đặc biệt đồng USDT trên blockchain TRON, tạo ra một hệ thống tài chính song song cho phép chuyển tiền xuyên biên giới gần như tức thời. Các nền tảng nhắn tin mã hóa, chủ yếu Telegram, trở thành "xương sống" của các chợ tội phạm nơi công cụ deepfake được rao bán công khai. Trí tuệ nhân tạo (AI), hạ thấp đáng kể rào cản kỹ thuật để tạo giọng nói, hình ảnh giả theo thời gian thực. Cuối cùng là kết nối vệ tinh Starlink "lậu", giúp các khu lừa đảo hoạt động độc lập không lệ thuộc vào hạ tầng internet thông thường.
Trung tâm của hạ tầng tài chính nuôi sống các công cụ này là Huione Group, tập đoàn có trụ sở tại Campuchia, mà chợ bảo lãnh Haowang Guarantee của họ được UNODC xác định là chợ trực tuyến bất hợp pháp lớn nhất từng được ghi nhận, với các ví liên quan đã nhận ít nhất 98 tỷ USD tài sản mã hóa. Tháng 5/2025, Mạng lưới Thực thi tội phạm tài chính Hoa Kỳ (FinCEN) chính thức xác định Huione là tổ chức tài chính đáng quan ngại hàng đầu về "rửa tiền". Ngay sau đó, tập đoàn này tung ra đồng ổn định riêng USDH, quảng cáo công khai là "tránh được cơ chế đóng băng của các đồng tiền số thông thường". Đây chính xác là kiểu thích nghi nhanh mà báo cáo 2019 chưa từng ghi nhận vì bảy năm trước, hạ tầng tài chính song song ở quy mô này của tội phạm mạng khu vực gần như chưa tồn tại.
Một phòng điều chế Methamphetamine bị phát hiện ở Myanmar
Malware đánh cắp khuôn mặt
Mức độ lan rộng của công nghệ deepfake trong tội phạm khu vực thể hiện rõ qua chính tốc độ tăng trưởng của nó. Theo dữ liệu mà UNODC dẫn lại, khu vực Châu Á - Thái Bình Dương ghi nhận mức tăng 1.530% số vụ deepfake từ năm 2022 sang 2023, đứng thứ hai thế giới chỉ sau Bắc Mỹ. Trong đó Philippines tăng 4.500%, Hồng Kông (Trung Quốc), tăng 1.300%, Malaysia tăng 1.000%, Singapore tăng 500%. Sang năm 2024, đà tăng toàn cầu tiếp tục ở mức 245%, với Hàn Quốc tăng 1.625%, Indonesia 1.550%, Trung Quốc 2.800%, Singapore 1.100%. UNODC mô tả quy trình khai thác deepfake bằng một chuỗi bốn bước: dữ liệu đầu vào bị đánh cắp (ảnh, giọng nói, giấy tờ tùy thân) được đưa qua các công cụ AI (nhân bản giọng nói, hoán đổi khuôn mặt), tạo ra sản phẩm đầu ra (cuộc gọi mạo danh, hồ sơ định danh tổng hợp) và cuối cùng dẫn tới hậu quả (lừa đảo, chiếm đoạt tài khoản, vượt qua xác thực từ xa). Riêng công nghệ nhân bản giọng nói hiện chỉ cần một đoạn âm thanh dài ba giây để tạo ra giọng nói giả đủ thuyết phục cho các cuộc gọi lừa đảo mạo danh nhân viên ngân hàng hay người thân.
Đáng chú ý một nhóm tội phạm mạng nổi tiếng với các mã độc tùy biến đã phát động một đợt tấn công mới từ tháng 10/2024, gây ra hơn 11.000 vụ lây nhiễm tại Indonesia, Thái Lan và Việt Nam. Một công ty an ninh mạng xác định hơn 300 mẫu ứng dụng ngân hàng giả bị chỉnh sửa, trong đó 63% nhắm vào thị trường Indonesia. Điểm đặc biệt nguy hiểm của loại mã độc này là khả năng thu thập dữ liệu sinh trắc học khuôn mặt từ chính điện thoại của nạn nhân, sau đó dùng dữ liệu ấy để tạo ra mô hình khuôn mặt deepfake có thể vượt qua hệ thống xác thực của ngân hàng. Loại mã độc này được phát tán qua các ứng dụng nhắn tin, giả danh cơ quan nhà nước hoặc công ty dịch vụ công cộng, trong khi ứng dụng ngân hàng giả vẫn hoạt động bình thường ở giao diện để che giấu các hành vi ghi phím, trích xuất dữ liệu diễn ra ở phía sau. Đây là loại mã độc đánh cắp dữ liệu sinh trắc học khuôn mặt được ghi nhận tại Việt Nam và Thái Lan.
Song song đó, kỹ thuật lừa đảo mang tên ClickFix, vốn dùng để dụ nạn nhân tự tay chạy các đoạn mã độc hại, đã tăng 517% chỉ trong nửa đầu năm 2025, với một biến thể mang tên "ClickFake Interview" của nhóm Lazarus chuyên nhắm vào giới chuyên gia tiền mã hóa thông qua quy trình phỏng vấn tuyển dụng giả. Một hướng tấn công khác mang tính khu vực rõ rệt là trạm phát sóng điện thoại di động (BTS) giả, được lắp trên xe ôtô phát sóng "lừa" các điện thoại xung quanh hạ cấp kết nối từ 4G/5G xuống 2G để nhận tin nhắn SMS mạo danh ngân hàng, cơ quan nhà nước, lừa người nhận bấm vào link trong tin.
Điều khiến các cơ quan thực thi pháp luật lo ngại nhất không phải là từng công cụ riêng lẻ, mà là tốc độ các nhóm tội phạm kết hợp chúng lại với nhau. Một kịch bản lừa đảo giờ đây có thể bắt đầu bằng một tin nhắn Telegram, dùng công cụ AI để soạn nội dung phù hợp với ngôn ngữ và tâm lý của từng nhóm nạn nhân, tiếp tục bằng một cuộc gọi video deepfake để tạo lòng tin, và kết thúc bằng việc rút tiền qua một chuỗi ví tiền mã hóa được tự động hóa hoàn toàn có thể hoàn thành trong một ngày, thay vì nhiều tuần như trước đây. Điều đáng lo ngại nhất có lẽ là việc chính công cụ từng được xem là tuyến phòng thủ cuối cùng, xác thực sinh trắc học, giờ lại trở thành mục tiêu bị nhắm tới đầu tiên.
(CATP) Bảy năm sau báo cáo đánh giá mối đe dọa tội phạm có tổ chức xuyên quốc gia (TOCTA 2019), cuối tháng 7/2026, Văn phòng Liên hợp quốc về ma túy và tội phạm (UNODC) vừa công bố báo cáo mới "An Interconnected Criminal Ecosystem: Transnational Organized Crime Threat Assessment for South-East Asia" (tạm dịch: Hệ sinh thái tội phạm liên kết: Đánh giá mối đe dọa tội phạm có tổ chức xuyên quốc gia tại Đông Nam Á) dài 268 trang. Trong báo cáo này, UNODC không còn xem các mảng tội phạm này hoạt động riêng lẻ mà đã chuyển đổi thành một hệ sinh thái dùng chung hạ tầng công nghệ và tổ chức. Một điểm đáng chú ý mới là lần đầu tiên khái niệm "đầu tư trực tiếp mang tính tội phạm" (C-FDI) và "tam giác biển Sulu-Celebes" được nêu ra.