Deepfake và mã độc giả mạo AI: Vũ khí mới của tội phạm mạng
Deepfake và mã độc giả mạo AI là các hình thức lạm dụng trí tuệ nhân tạo để giả mạo hình ảnh, giọng nói hoặc ứng dụng nhằm lừa người dùng tiết lộ thông tin nhạy cảm, qua đó chiếm đoạt tài khoản online, dữ liệu cá nhân và tài sản tài chính theo cách tinh vi, khó nhận biết hơn so với các chiêu trò truyền thống.
Điều đáng sợ không phải là AI, mà là cách tội phạm tận dụng nó để cá nhân hóa kịch bản lừa đảo. Chúng thu thập ảnh, video, giọng nói trên mạng xã hội hoặc từ tài khoản bị chiếm quyền, rồi dùng deepfake và deepvoice giả làm người thân, bạn bè, cán bộ cơ quan nhà nước hay “chuyên gia tài chính” nhằm chiếm đoạt tài sản. Khi hình ảnh và giọng nói đều có thể là giả, “mắt thấy, tai nghe” không còn là bằng chứng đủ để tin.
Song song đó, mã độc giả mạo AI đang nấp dưới vỏ bọc ứng dụng tạo ảnh, video, hoán đổi khuôn mặt, chatbot AI… để dụ người dùng tải về. Một khi bạn cấp quyền quá rộng, đặc biệt trên điện thoại Android cài file .apk ngoài kho chính thức, thiết bị sẽ bị biến thành cánh cửa mở toang cho kẻ gian.
Ứng dụng AI giả, mã QR độc hại và các bẫy nhắm vào thói quen người dùng
Thực tế, phần lớn rủi ro không đến từ AI mà từ thói quen bất cẩn: nhấp link lạ, quét mã QR vô tội vạ, tải ứng dụng không rõ nguồn gốc rồi cấp đủ loại quyền truy cập. Tội phạm hiểu rất rõ sự tò mò và tâm lý “ham miễn phí” của người dùng, nên biến các công cụ AI thành mồi câu hoàn hảo.
Cơ quan chức năng đã cảnh báo các chiến dịch phát tán mã độc núp bóng ứng dụng AI giả mạo trên điện thoại Android, chủ yếu thông qua file .apk tải từ ngoài kho ứng dụng chính thức. Sau khi cài đặt, ứng dụng giả yêu cầu quyền Trợ năng, đọc tin nhắn, thông báo, hiển thị đè lên ứng dụng khác… những quyền không hề liên quan đến tính năng được quảng cáo. Đó là dấu hiệu kinh điển của mã độc giả mạo AI.
Bên cạnh đó là bẫy mã QR độc hại. Kẻ gian mạo danh nhân viên dịch vụ, nắm sẵn thông tin cá nhân để gây lòng tin rồi gửi mã QR có giao diện giống đơn vị uy tín. Phía sau mã QR có thể là phần mềm độc hại, cho phép chiếm quyền kiểm soát thiết bị và chiếm đoạt tài sản. Người cao tuổi được cảnh báo là nhóm mục tiêu ưa thích, bởi họ dễ tin vào các kịch bản “khẩn cấp” và ít thói quen kiểm chứng.
Nếu bạn vẫn giữ thói quen cài app từ link quảng cáo, quét mọi mã QR được đưa, thì việc bảo vệ tài khoản online chỉ là ảo tưởng. Ý thức cảnh giác phải đi trước tiện ích.
Deepfake, eKYC không còn tuyệt đối an toàn và mặt trận sinh trắc học
Một hiểu lầm phổ biến là “dùng khuôn mặt là an toàn tuyệt đối”. Khi ngân hàng áp dụng xác thực sinh trắc học cho giao dịch giá trị lớn, nhiều người tin đây là lá chắn mạnh mẽ chống lừa đảo trực tuyến và chiếm đoạt tài khoản. Nhưng sinh trắc học đang trở thành “mặt trận” mới của tội phạm mạng, không còn là bức tường không thể xuyên thủng.
Các công cụ gian lận mới tận dụng AI, deepfake và xử lý hình ảnh để tạo khuôn mặt chuyển động với biểu cảm, cử chỉ, phản ứng gần giống người thật, thậm chí đánh lừa bước kiểm tra “liveness” trong quy trình eKYC. Một đường dây sản xuất, mua bán phần mềm độc hại có khả năng vượt qua xác thực sinh trắc học của một số tổ chức tín dụng đã bị triệt phá, cho thấy eKYC không còn là “lá chắn tuyệt đối” như nhiều người vẫn nghĩ.
Điểm yếu có thể nằm ở mọi khâu: giấy tờ tùy thân, ảnh chân dung, video liveness, thiết bị đầu cuối, đến việc kiểm tra thiết bị bị can thiệp hoặc camera ảo. Nói thẳng: nếu bạn dễ dãi cung cấp CCCD, ảnh khuôn mặt, quay video xác minh hay nhấp vào link lạ theo yêu cầu người khác, thì mọi công nghệ eKYC tiên tiến cũng không cứu được bạn.
Deepfake và lừa đảo cá nhân hóa: Khi người thân, công an hay “chuyên gia tài chính” đều có thể là giả
Deepfake và lừa đảo không còn là chuyện xa lạ. Cơ quan chức năng ghi nhận hàng trăm vụ lừa đảo sử dụng deepfake, gây thiệt hại hàng chục tỷ đồng. Điều khiến xu hướng này nguy hiểm là mức độ cá nhân hóa: mỗi nạn nhân được xây dựng một kịch bản riêng, dựa trên thông tin thu thập từ chính mạng xã hội của họ.
Tội phạm có thể dùng ảnh, video, giọng nói thu được để giả làm người thân, bạn bè, cán bộ công an, viện kiểm sát hoặc “chuyên gia tài chính”, chủ động gọi video, dựng tình huống khẩn cấp rồi yêu cầu chuyển tiền hoặc cung cấp mã OTP. Khi hình, tiếng và cả video call đều giống người thật, nạn nhân dễ rơi vào trạng thái hoảng loạn và nghe theo. Nếu bạn tiếp tục coi hình ảnh, giọng nói hay video call là căn cứ duy nhất để xác thực danh tính, bạn tự đặt mình vào thế yếu.
Nguyên tắc sống còn là: với mọi yêu cầu chuyển tiền bất thường, hãy lập tức kết thúc cuộc gọi và xác minh qua một kênh độc lập trước khi làm gì thêm. Đừng để cảm xúc bị dắt mũi bởi “người thân” hay “cán bộ” trên màn hình, vì đó có thể là sản phẩm của AI.
Cách nhận diện ứng dụng giả, bảo vệ tài khoản online và dữ liệu cá nhân
Trong bối cảnh deepfake và mã độc giả mạo AI lan rộng, chiến lược khôn ngoan không phải là sợ AI, mà là nâng cấp thói quen bảo mật của chính bạn. Nếu không thay đổi, mọi lớp bảo vệ công nghệ đều có thể bị vô hiệu hóa từ bên trong – chính thiết bị và tài khoản của bạn.
Để nhận diện ứng dụng giả, nguyên tắc đầu tiên là chỉ tải app từ kho chính thức như Google Play hoặc App Store; kiểm tra kỹ tên ứng dụng, nhà phát triển, danh sách quyền truy cập và thông tin công bố trên trang chính thức của đơn vị cung cấp. Bất cứ ứng dụng nào mượn danh AI mà yêu cầu quyền Trợ năng, đọc tin nhắn, hiển thị đè lên ứng dụng khác… đều đáng nghi.
Cơ quan chức năng khuyến cáo: không nhấp vào đường dẫn, quét mã QR hoặc tải tệp cài đặt từ quảng cáo, tin nhắn và tài khoản không rõ nguồn gốc. Với yêu cầu chuyển tiền bất thường, luôn xác minh lại qua kênh độc lập. Các chuyên gia nhấn mạnh người dân phải cảnh giác khi có người yêu cầu cung cấp CCCD, ảnh khuôn mặt, quay video xác minh, cài ứng dụng lạ hoặc truy cập link không rõ nguồn gốc. Ngân hàng không yêu cầu khách hàng cung cấp OTP, mật khẩu hay xác thực sinh trắc học qua đường link lạ.
Cuối cùng, để bảo vệ tài khoản online, hãy coi tên đăng nhập, mật khẩu, mã OTP và dữ liệu sinh trắc học là tài sản quan trọng nhất: không chia sẻ cho bất kỳ ai. Công nghệ có thể bị tội phạm khai thác, nhưng thói quen cảnh giác và kiểm chứng nhiều kênh là thứ AI không dễ vượt qua.
