Khi “thấy mặt, nghe giọng” không còn đủ để xác thực
Chiều 18/9, tại TPHCM, Chi hội phía Nam - Hiệp hội An ninh mạng Quốc (NCA) gia tổ chức hội thảo chuyên đề “AI & Deepfake - Vũ khí mới của lừa đảo nhắm vào lãnh đạo doanh nghiệp”, với sự tham gia của các chuyên gia an ninh mạng, công nghệ và đại diện cộng đồng doanh nghiệp.
Các đại biểu chia sẻ tại hội thảo chuyên đề “AI & Deepfake - Vũ khí mới của lừa đảo nhắm vào lãnh đạo doanh nghiệp”
Phát biểu khai mạc hội thảo, Thiếu tướng Lê Minh Mạnh, Chi hội trưởng Chi hội phía Nam - Hiệp hội An ninh mạng Quốc gia, nhận định công nghệ AI đang phát triển với tốc độ nhanh, mang lại nhiều cơ hội nhưng đồng thời đặt ra những thách thức mới đối với công tác bảo đảm an ninh, an toàn thông tin. Đáng chú ý, deepfake - công nghệ sử dụng AI để giả mạo hình ảnh, giọng nói - đang bị các đối tượng xấu lợi dụng để thực hiện những thủ đoạn lừa đảo ngày càng tinh vi. Trong đó không ít vụ việc đã nhắm thẳng vào cấp lãnh đạo doanh nghiệp, gây thiệt hại nghiêm trọng chỉ trong thời gian rất ngắn.
Theo Thiếu tướng Lê Minh Mạnh, Chi hội phía Nam xác định một trong những nhiệm vụ trọng tâm là đồng hành cùng cộng đồng doanh nghiệp, không chỉ cảnh báo nguy cơ mà còn trang bị kỹ năng và các quy trình thực hành để doanh nghiệp chủ động phòng ngừa, ứng phó với những rủi ro an ninh mạng. Hội thảo này là sự kiện đầu tiên nằm trong chuỗi chương trình mà NCA phối hợp tổ chức định kỳ hằng tháng dành cho cộng đồng doanh nghiệp khu vực phía Nam.
Tại hội thảo, ông Đặng Quang Minh - Giám đốc Công ty Cổ phần TPV Datatrust, cho biết trước sự phát triển nhanh chóng của AI và deepfake, những yếu tố vốn được sử dụng để xác minh danh tính như khuôn mặt, giọng nói, video, thậm chí các kênh xác thực OTP, SMS hay email, có thể không còn đủ độ tin cậy nếu sử dụng riêng lẻ.
Thiếu tướng Lê Minh Mạnh, Chi hội trưởng Chi hội phía Nam - Hiệp hội An ninh mạng Quốc gia
“Trước đây, trong một cuộc gọi video hoặc cuộc họp trực tuyến, người dùng thường có tâm lý tin tưởng khi nhìn thấy đúng khuôn mặt và nghe đúng giọng nói của người đang giao tiếp. Tuy nhiên, công nghệ hiện nay cho phép làm giả cả hình ảnh và giọng nói, thậm chí được sử dụng trong các cuộc gọi qua nền tảng trực tuyến nhằm đưa ra những yêu cầu, “mệnh lệnh” giả mạo để tấn công vào người thân, đối tác hoặc các mối quan hệ trong doanh nghiệp. Điều này đặt ra một nguyên tắc phòng ngừa quan trọng: “nhìn thấy, nghe thấy” chưa đồng nghĩa với việc đã xác định chính xác danh tính người đang giao tiếp”, ông Đặng Quang Minh chia sẻ.
Theo phân tích của các chuyên gia tại hội thảo, AI đang giúp các đối tượng thực hiện những cuộc tấn công phức tạp hơn, gồm nhiều bước hơn và có khả năng gây thiệt hại lớn hơn. Tại khu vực châu Á – Thái Bình Dương, trong đó có Việt Nam, phương thức tấn công giả mạo danh tính đang là vấn đề đáng quan tâm.
Trước đây, các đối tượng thường dựa vào hình ảnh 2D như đối chiếu ảnh selfie của người dùng với ảnh trên giấy tờ tùy thân để thực hiện tấn công giả mạo danh tính. Khi các giải pháp bảo mật được nâng cấp, đối tượng tấn công chuyển sang sử dụng video quay sẵn, camera ảo hoặc kỹ thuật “video injection” nhằm tìm cách vượt qua hệ thống bảo mật. Các giải pháp xác thực vì thế phải bổ sung những bước kiểm tra chủ động, chẳng hạn yêu cầu người dùng quay mặt sang trái, phải, tiến gần hoặc lùi xa camera.
Ông Đặng Quang Minh - Giám đốc Công ty Cổ phần TPV Datatrust chia sẻ tại hội thảo
Đến giai đoạn 2024-2025, phương thức giả mạo đã có thể kết hợp nhiều loại thông tin danh tính thay vì chỉ nhắm vào một hình ảnh hoặc một yếu tố riêng lẻ. Đặc biệt từ năm 2026, một nguy cơ được các chuyên gia đề cập là AI agent. Theo đó, AI có khả năng được sử dụng để tìm kiếm điểm yếu và tác động vào nhiều công đoạn của quy trình, từ tiếp nhận người dùng, xác thực danh tính cho tới thực hiện và hoàn tất giao dịch.
Các chuyên gia tham dự hội thảo cảnh báo điều đáng lo ngại là kẻ gian không nhất thiết phải “đánh bại” toàn bộ hệ thống bảo mật. Chúng có thể tìm mắt xích yếu nhất trong quy trình vận hành, khai thác tâm lý chủ quan hoặc tình huống khẩn cấp để thúc đẩy nhân viên thực hiện giao dịch trước khi kịp kiểm chứng.
Không thể chỉ trông chờ vào công nghệ
Các chuyên gia cho rằng, để đối phó với nguy cơ giả mạo danh tính bằng AI, doanh nghiệp cần áp dụng nhiều lớp xác thực thay vì phụ thuộc vào một yếu tố duy nhất. Các lớp bảo vệ có thể bao gồm đối chiếu khuôn mặt với giấy tờ tùy thân; yêu cầu người dùng thực hiện thao tác trực tiếp trước camera; sử dụng công nghệ phát hiện tính sống và tính chân thực của hình ảnh; đồng thời kiểm tra nguồn dữ liệu, thiết bị nhằm phát hiện camera ảo hoặc dấu hiệu can thiệp vào luồng dữ liệu.
Các đại biểu giao lưu, chia sẻ tại buổi hội thảo do NCA tổ chức
Bên cạnh giải pháp kỹ thuật, quy trình nội bộ được xem là một “chốt chặn” quan trọng. Với những giao dịch có giá trị lớn hoặc có dấu hiệu bất thường, doanh nghiệp cần xác minh lại thông tin, phân loại mức độ rủi ro trước khi phê duyệt; đồng thời lưu nhật ký để xác định người phê duyệt và phục vụ việc giám sát, truy vết khi xảy ra sự cố.
Đặc biệt, doanh nghiệp và người lao động cần nâng cao cảnh giác khi nhận được những yêu cầu có một hoặc nhiều dấu hiệu như thúc giục xử lý rất gấp; giao dịch phát sinh ngoài giờ làm việc hoặc trong kỳ nghỉ; đột ngột yêu cầu thay đổi tài khoản nhận tiền; yêu cầu giữ bí mật; hoặc đề nghị sử dụng một kênh xác thực chưa từng được sử dụng trước đó... Đây là những tình huống cần được kiểm tra kỹ trước khi thực hiện giao dịch.
Một trong những thông điệp được nhấn mạnh tại hội thảo là doanh nghiệp không thể phòng chống gian lận chỉ bằng việc mua hoặc triển khai một giải pháp công nghệ. Theo các chuyên gia, cần đồng thời hình thành hai lớp phòng vệ: công nghệ xác thực đủ mạnh và quy trình kiểm soát đủ chặt chẽ. Mỗi doanh nghiệp cần xác lập ngưỡng giao dịch, phân loại rủi ro, quy định cụ thể kênh xác thực, cơ chế phê duyệt và giám sát.
Ban tổ chức tặng hoa cảm ơn các đơn vị tài trợ
Đối với những yêu cầu chuyển tiền hoặc giao dịch quan trọng được đưa ra qua điện thoại, tin nhắn hay cuộc gọi video, việc xác minh lại bằng một kênh độc lập, tuân thủ đúng quy trình phê duyệt nội bộ có thể giúp hạn chế nguy cơ bị dẫn dụ bởi hình ảnh hoặc giọng nói giả mạo.
Cùng với đó, công tác đào tạo nhân sự cần được thực hiện thường xuyên để cán bộ, nhân viên nhận diện những tình huống bất thường và biết cách xử lý trước các phương thức lừa đảo mới. Bởi trong bối cảnh AI ngày càng có khả năng tạo ra nội dung giả giống thật, ý thức cảnh giác của con người và một quy trình kiểm chứng chặt chẽ vẫn là những mắt xích quan trọng trong phòng, chống lừa đảo công nghệ cao.