Cuộc chiến không khoan nhượng giữa bảo mật và hacker

Tiếp nối nhiều ngành trước đó, lần đầu tiên trong lịch sử, hệ thống ngân hàng đã áp dụng "tài khoản chính chủ" để bảo vệ tiền của khách hàng trước sự biến hóa khôn lường của những kẻ lừa đảo trên không gian mạng.

Chiếm quyền kiểm soát điện thoại, vét sạch tài khoản ngân hàng

Những năm gần đây, với sự phát triển của trí tuệ nhân tạo (AI), công nghệ Deepfake- cho phép mô phỏng khuôn mặt con người, tạo ra những hình ảnh, đoạn video giả mạo gần giống với người thật - phát triển mạnh mẽ. Những kẻ lừa đảo chuyên nghiệp không bỏ qua cơ hội này và hàng loạt người dùng mạng xã hội đã bị lừa tiền bởi cuộc gọi video hay đoạn hội thoại giả mạo người thân được tạo ra từ công nghệ này. Cụ thể, sau khi chiếm đoạt Facebook, kẻ gian lấy hình ảnh sử dụng công nghệ Deepfake để cắt ghép, lồng tiếng tạo ra các video. Sau đó, kẻ gian chuyển các đoạn video này cho những người bạn trên Facebook để mượn tiền, nhờ giúp đỡ. Hình ảnh video thường mờ ảo, chập chờn để nạn nhân khó phân biệt và sẽ ngắt nửa chừng với lý do mạng chập chờn. Nhiều người sập bẫy nên đã thực hiện chuyển tiền khi nghĩ đó là chính chủ.

Đơn cử như Facebook của chị H.T.T.T (36 tuổi, ở Đồng Tháp) bị kẻ gian chiếm quyền kiểm soát sau đó gửi tin nhắn cho bạn bè, người thân của chị T. để mượn tiền. Kẻ gian với thủ đoạn gửi video như trên đã lừa được 3 người bạn của chị T. chuyển số tiền 16,2 triệu đồng vào tài khoản các đối tượng trên.

Tinh vi hơn, tội phạm lừa đảo còn đi "săn" tài khoản ngân hàng trùng tên. Theo đó, kẻ gian sử dụng những CMND, CCCD bị mất, đánh cắp hoặc mua bán trên mạng, tạo tài khoản ngân hàng. Sau đó đi tìm người có tên trùng trên Facebook rồi kết bạn với bạn bè của người này để mượn tiền để không bị hoài nghi.

Trước những biến hóa khôn lường của các thủ đoạn lừa đảo, Ngân hàng Nhà nước đã ra một đòn mạnh, yêu cầu xác thực tài khoản chính chủ thông qua nhận diện khuôn mặt. Theo đó, từ ngày 1.7, muốn chuyển khoản trên 10 triệu đồng/lần và 20 triệu đồng/ngày, chủ tài khoản phải cài đặt xác thực sinh trắc học (khuôn mặt), khớp với thông tin trên CCCD do Bộ Công an cấp hoặc thông tin trong cơ sở dữ liệu quốc gia về dân cư. Việc này nhằm loại bỏ tài khoản giả, không chính chủ, không hợp pháp, bảo đảm người thực hiện giao dịch thanh toán là chính chủ, ngăn chặn hành vi lừa đảo, đặc biệt là chiếm quyền điều khiển điện thoại nhằm rút sạch tiền trong khoản của kẻ gian.

Đáng nói, trong khi "chính chủ" còn khó khăn thực hiện sinh trắc khuôn mặt thì bất ngờ, thị trường lan truyền có trường hợp sử dụng ảnh tĩnh cũng qua mặt được bước xác thực sinh trắc họcvà chuyển khoản thành công trên 10 triệu đồng.

Ông Phạm Tiến Dũng, Phó thống đốc Ngân hàng Nhà nước, xác nhận hiện tượng vừa nêu là có thật. Tuy nhiên, tâm lý hoang mang được giải tỏa ngay sau đó.

Theo ông Dũng, nguyên nhân của sự việc trên là do những ngày đầu bắt buộc triển khai lớp bảo mật sinh trắc học, hệ thống mobile banking bị quá tải, xảy ra tắc nghẽn. Để giao dịch của khách hàng được thông suốt, một số ngân hàng đã tạm dừng tính năng bắt buộc quét hình ảnh động mới dẫn đến tình huống như trên. Sau khi tình trạng quá tải giảm, ngân hàng bật trở lại tính năng quét hình ảnh động thì không còn ghi nhận việc lọt lưới hình ảnh tĩnh nữa.

"Ngay cả tình huống lọt ảnh tĩnh xảy ra, hiệu quả xác thực giao dịch ngân hàng vẫn cao hơn trước đây. Bởi quá trình nâng cấp lớp xác thực, ngân hàng đã tiến hành đối chiếu một lần nữa với Cơ sở dữ liệu quốc gia về dân cư, đảm bảo chủ tài khoản ngân hàng có thông tin khớp với CCCD vừa được quét bằng ứng dụng NFC", ông Dũng khẳng định.

Trải qua vài tháng đầu ứng dụng cài đặt sinh trắc học, ghi nhận cho thấy tình trạng lừa đảo, chiếm đoạt tài sản qua chuyển khoản giao dịch nói riêng và trên không gian mạng giảm hẳn. Từ đó, ngành ngân hàng dấn thêm một bước nữa. Theo đó, từ ngày 1.10, mở thẻ ATM, ví điện tử trực tuyến cũng phải có xác thực sinh trắc học. Từ ngày 1.1.2025, nếu khách hàng không cung cấp dữ liệu sinh trắc học, hoặc dữ liệu qua đối chiếu không khớp thì tài khoản hiện có của khách hàng đó sẽ bị dừng toàn bộ giao dịch trên phương tiện điện tử.

Cuộc chiến chống lừa đảo chưa có hồi kết

Là thành viên sáng lập dự án Chống lừa đảo, ông Ngô Minh Hiếu, Trung tâm giám sát an toàn không gian mạng quốc gia (NCSC), nhận xét: Việt Nam có nhiều giải pháp và ứng dụng chống lừa đảo; Các trang web, áp dụng trí tuệ nhân tạo AI, truy vết và truy quét, sản phẩm an toàn thông tin... không thiếu. Ngược lại, các thủ đoạn lừa đảo cũng liên tục được kẻ gian thay đổi, cập nhật. Đơn cử việc áp dụng sinh trắc học khi chuyển khoản ngân hàng trước mắt hạn chế phần nào các trường hợp chiếm quyền kiểm soát điện thoại để thực hiện chiếm đoạt tiền trong tài khoản. Thế nhưng, AI và Deepfake ngày càng phát triển nên trong thời gian tới, không biết có thể qua mặt được bước sinh trắc học hay không. Thế nên giải pháp tốt nhất vẫn là con người cần nâng cao ý thức phòng chống lừa đảo, không nghe điện thoại của người lạ hay cài đặt các app, nhấp vào đường link lạ…

Ông Vũ Ngọc Sơn, Trưởng ban Nghiên cứu, tư vấn, phát triển công nghệ và hợp tác quốc tế Hiệp hội An ninh mạng quốc gia (NCA), cũng đồng tình rằng cuộc chiến giữa bảo mật với hacker là cuộc chiến trường kỳ. Kinh nghiệm các quốc gia trên thế giới cũng cho thấy chỉ có thể giảm thiểu chứ không thể loại bỏ hoàn toàn các hình thức lừa đảo trên không gian mạng.

"Các đối tượng liên tục thay đổi hình thức lừa đảo, áp dụng những công nghệ mới nhất, hoạt động có tổ chức, xuyên biên giới. Vì vậy để có một giải pháp phòng chống lừa đảo cho người dân là không đơn giản. NCA đã lên kế hoạch phát triển phần mềm phòng chống lừa đảo cho người dân mang tên nTrust. Chúng tôi đặt mục tiêu cần xác định những điểm chốt chặn quan trọng, theo đó, dù các đối tượng lừa người dân theo kịch bản nào thì cũng phải đi qua những chốt chặn này. Phần mềm sẽ giúp người dân kiểm tra dấu hiệu lừa đảo, tăng khả năng phát hiện và phòng tránh các nguy cơ bị chiếm đoạt tiền", ông Vũ Ngọc Sơn cho hay.

Dù vậy, theo ông Vũ Ngọc Sơn: "Phần mềm chỉ kiểm tra, phát hiện các dấu hiệu nghi ngờ lừa đảo và cảnh báo, còn quyết định cuối cùng vẫn phụ thuộc vào người dùng. Vì vậy, mỗi người dùng vẫn cần tự mình là một chiến sĩ trong mặt trận phòng chống lừa đảo. Không nên tin theo các hướng dẫn không rõ nguồn gốc, không cài phần mềm lạ từ đường link không chính thức, không chuyển tiền cho các đối tượng nếu chưa xác minh rõ, thường xuyên nâng cao kiến thức, kỹ năng, cập nhật các thông tin mới nhất về các hình thức lừa đảo mới để chủ động phòng tránh".