Sinh trắc học ngân hàng không phải “lá chắn thép”
Sinh trắc học ngân hàng là tập hợp các công nghệ dùng đặc điểm sinh học như khuôn mặt, vân tay, giọng nói của khách hàng để xác thực danh tính và cho phép thực hiện giao dịch tài chính trực tuyến, thay thế hoặc bổ sung cho mật khẩu và mã OTP truyền thống nhằm giảm gian lận và tài khoản giả mạo. Dù được quảng bá như lớp bảo vệ hiện đại, hệ thống này đang bộc lộ những lỗ hổng xác thực khuôn mặt nghiêm trọng. Thực tế, sinh trắc học trong nhiều trường hợp của nhiều ngân hàng vẫn bị vượt qua. Khi người dùng tin rằng “đã có khuôn mặt bảo vệ tài khoản”, họ dễ chủ quan, trong khi kẻ gian lại coi đây là cánh cửa mới để tấn công. Vấn đề không phải sinh trắc học vô dụng, mà là chúng ta đang thần thánh hóa một công nghệ chưa được triển khai đủ an toàn.
Lỗ hổng xác thực khuôn mặt: Ảnh tĩnh, video ngắn vẫn mở được khóa
Điểm đáng lo nhất hiện nay là nhiều hệ thống sinh trắc học ngân hàng vẫn có thể bị qua mặt bằng ảnh tĩnh và video ngắn. Lãnh đạo Cục A05 cho biết ở nhiều hệ thống, đối tượng chỉ cần chèn một bức ảnh tĩnh hoặc một đoạn video ngắn thay cho khuôn mặt thật là đã qua được bước xác thực. Nói cách khác, thứ đáng lẽ phải nhận diện “người thật, việc thật” lại bị đánh lừa bởi những nội dung số cực kỳ đơn giản. Đây là lỗ hổng xác thực khuôn mặt mang tính hệ thống, cho thấy nhiều ngân hàng vẫn ưu tiên sự tiện lợi hơn là độ an toàn. Khi một lớp bảo mật có thể bị phá bằng một bức ảnh, mọi lời hứa về “an ninh sinh trắc học tiên tiến” trở nên rỗng tuếch.
177 triệu hồ sơ sinh trắc học: Thành tựu lớn nhưng không đồng nghĩa an toàn
Ngành ngân hàng đã làm sạch 177 triệu hồ sơ khách hàng cá nhân và 3 triệu hồ sơ khách hàng tổ chức bằng sinh trắc học, gần như xóa bỏ tình trạng tài khoản đứng tên giả. Đây là bước tiến quan trọng, nhưng không nên bị hiểu nhầm là “đã an toàn”. Bởi ngay chính lãnh đạo Cục A05 thừa nhận kẻ gian vẫn tìm cách vượt qua lớp bảo vệ này ở nhiều ngân hàng, đặt ra yêu cầu tiếp tục siết chặt an toàn trong thanh toán số. Thực tế, vẫn xảy ra những vụ mất tiền lên tới hàng trăm tỷ đồng. Khi dòng tiền có thể bị chuyển đi rất nhanh trong các vụ lừa đảo trực tuyến hoặc tấn công xâm nhập hệ thống, việc có hồ sơ sinh trắc học chuẩn chỉ mới là “bước 1”. Nếu cơ chế xác thực và giám sát giao dịch không đủ chặt, kho dữ liệu sinh trắc học khổng lồ chỉ là lớp sơn đẹp trên một nền móng còn nhiều vết nứt.
Deepfake và lừa đảo: Khi AI trở thành vũ khí chống lại người dùng
Nếu ảnh tĩnh và video ngắn đã đủ để qua mặt một số hệ thống, hãy hình dung sức tàn phá của deepfake và lừa đảo dùng trí tuệ nhân tạo. Lãnh đạo A05 cảnh báo việc dùng trí tuệ nhân tạo để gian lận đang nổi lên. Ở nhiều vụ việc tại Ý, Singapore và Ấn Độ, kẻ gian dùng công nghệ tạo tin nhắn giả mạo hoặc dùng deepfake dựng kịch bản giả danh quan chức cấp cao của chính phủ, từ đó dẫn dắt nạn nhân để chiếm quyền tài khoản và chiếm đoạt tiền. Khi deepfake và lừa đảo kết hợp với lỗ hổng xác thực khuôn mặt, sinh trắc học ngân hàng có nguy cơ trở thành “cửa hậu” cho tội phạm công nghệ cao. Điều đáng nói là người dùng thường bị thuyết phục bởi hình ảnh và giọng nói “giống thật”, trong khi hệ thống lại thiếu cơ chế phát hiện nội dung giả mạo tinh vi.
Ngân hàng phải đi chậm mà chắc với AI, người dùng cần tỉnh táo với “bảo mật sinh trắc học”
Ngân hàng trung ương đã ban hành nhiều biện pháp mạnh: thiết bị bị can thiệp hệ điều hành không được thực hiện giao dịch thanh toán, giao dịch lần đầu trên thiết bị mới bị giới hạn hạn mức, còn giao dịch vượt ngưỡng phải xác thực sinh trắc học. Đồng thời, cơ quan này cho biết thời gian tới sẽ cập nhật quy định về an toàn bảo mật dịch vụ trực tuyến và thanh toán trực tuyến để ứng phó với các phương thức lừa đảo mới. Với AI, quy định yêu cầu ngân hàng phải quản trị theo hướng có trách nhiệm, có giám sát và yếu tố con người trong toàn bộ vòng đời hệ thống. Câu nói “Ngân hàng chậm đổi mới thì có thể bỏ lỡ cơ hội. Tuy nhiên nếu đi nhanh mà dùng AI thiếu kiểm soát, không có trách nhiệm thì sẽ phải đối mặt với rất nhiều rủi ro về dữ liệu, về an toàn, về tuân thủ” là lời nhắc thẳng thắn rằng bảo mật tài khoản ngân hàng không thể phó mặc cho thuật toán.
