Tội phạm công nghệ cao tìm cách vượt xác thực sinh trắc học

Thủ đoạn mới nhằm vô hiệu hóa lớp bảo vệ sinh trắc học

Chỉ cần đưa khuôn mặt trước camera điện thoại, nhiều người cho rằng đó là một "lá chắn" đủ để bảo vệ tài khoản và các giao dịch tài chính của mình. Tuy nhiên, một chuyên án vừa được Công an tỉnh Thanh Hóa triệt phá đã cho thấy tội phạm công nghệ cao đang tìm cách khai thác những điểm yếu mới để vượt qua bước xác thực khuôn mặt.

Theo thông tin từ Công an tỉnh Thanh Hóa, phần mềm do các đối tượng sử dụng có khả năng chiếm quyền camera trên điện thoại. Thay vì sử dụng hình ảnh trực tiếp của người đang thực hiện giao dịch, phần mềm này đưa dữ liệu hình ảnh đã được lưu sẵn vào hệ thống xác thực nhằm đánh lừa cơ chế nhận diện khuôn mặt.

Quá trình điều tra cho thấy, cơ quan công an đã phát hiện một hội nhóm trên Telegram chuyên mua bán tài khoản ngân hàng và các phần mềm vượt xác thực sinh trắc học. Các đối tượng hoạt động dưới hình thức ẩn danh trên không gian mạng, sử dụng tài khoản không chính chủ để giao dịch, đồng thời chia sẻ, hướng dẫn nhau cách khai thác các phần mềm phục vụ hoạt động phạm pháp.

Đáng chú ý, để cài đặt phần mềm độc hại lên thiết bị của nạn nhân, các đối tượng thường sử dụng những kịch bản quen thuộc như giả danh nhân viên ngân hàng, nhân viên hỗ trợ kỹ thuật hoặc cơ quan chức năng. Chúng đưa ra nhiều lý do khác nhau như cập nhật ứng dụng, đồng bộ dữ liệu hoặc nâng cấp hệ thống bảo mật để thuyết phục người dân cài đặt ứng dụng chứa mã độc và cấp quyền truy cập cho thiết bị.

Xác thực sinh trắc học là lớp bảo vệ quan trọng trong giao dịch ngân hàng.

Khi điện thoại đã bị chiếm quyền điều khiển, camera có thể không còn ghi nhận hình ảnh trực tiếp của người dùng. Thay vào đó, hệ thống sẽ tiếp nhận những dữ liệu hình ảnh đã được chuẩn bị từ trước. Điều này khiến bước xác thực khuôn mặt có nguy cơ bị qua mặt, trong khi giao dịch vẫn được thực hiện như bình thường.

Thực tế này cho thấy, sinh trắc học dù là một công cụ quan trọng nhưng không phải là giải pháp có thể bảo đảm an toàn tuyệt đối nếu thiết bị của người dùng đã bị kiểm soát.

Tăng cường nhiều lớp phòng vệ trước nguy cơ giả mạo bằng AI

Theo đại diện Ngân hàng TNHH MTV Kỷ Nguyên Thịnh Vượng (GPBank), sinh trắc học vẫn là một trong những lớp bảo vệ quan trọng nhất đối với các giao dịch ngân hàng điện tử. Tuy nhiên, trước sự gia tăng của các thủ đoạn công nghệ, việc xác thực sinh trắc học luôn được triển khai cùng nhiều lớp kiểm soát khác nhằm tăng cường khả năng bảo vệ khách hàng.

Ông Hồ Quốc Hưng, Trưởng phòng cao cấp an ninh thông tin GPBank, cho biết: "Tại GPBank, chúng tôi tiếp cận theo nhiều lớp bảo mật".

Theo đại diện GPBank, lớp bảo vệ đầu tiên là cơ chế phòng chống giả mạo khuôn mặt, hay còn gọi là công nghệ phát hiện sự sống. Thông qua lớp bảo vệ này, hệ thống có thể xác định hình ảnh đang xuất hiện trước camera là người thật hay chỉ là hình ảnh hoặc video được phát lại nhằm phục vụ quá trình xác thực.

Lớp bảo vệ thứ hai tập trung vào việc kiểm tra tính toàn vẹn của thiết bị và ứng dụng. Hệ thống có thể phát hiện thiết bị đã bị can thiệp hay chưa, có đang vận hành trên môi trường giả lập hay không, đồng thời nhận biết thiết bị có bị điều khiển từ xa hay không. Đây được xem là những yếu tố quan trọng giúp phát hiện các hành vi bất thường trong quá trình giao dịch.

Đại diện GPBank cũng cho biết, khi phát hiện các dấu hiệu giao dịch bất thường, ngân hàng sẽ triển khai quy trình tiếp nhận thông tin, xác minh giao dịch, áp dụng các biện pháp xử lý cần thiết, đồng thời phối hợp với cơ quan công an và các ngân hàng trong chuỗi chuyển tiền để điều tra, truy vết nhằm hạn chế thiệt hại cho khách hàng.

Không chỉ khai thác các lỗ hổng trên thiết bị di động, tội phạm hiện nay còn sử dụng trí tuệ nhân tạo (AI) để thực hiện các hành vi gian lận.

Ông Hoàng Minh Tiến, Phó Cục trưởng Cục Công nghệ thông tin, Ngân hàng Nhà nước cho biết, một vấn đề đáng lưu ý hiện nay là tội phạm cũng đang sử dụng chính AI để phục vụ các hoạt động lừa đảo. Theo đó, các đối tượng có thể sử dụng công nghệ deepfake (nội dung video, âm thanh hoặc hình ảnh được tạo ra bởi AI) để giả mạo hình ảnh, tìm cách vượt qua các giải pháp bảo vệ của ngân hàng, trong đó có xác thực sinh trắc học.

Trước thực tế này, Ngân hàng Nhà nước đã tham mưu ban hành các quy định yêu cầu các tổ chức tín dụng triển khai những tiêu chuẩn và giải pháp nhằm phòng, chống các hình thức giả mạo sử dụng AI. Đồng thời, AI cũng đang được ứng dụng theo hướng ngược lại, trở thành công cụ hỗ trợ các ngân hàng nhận diện và ngăn chặn hành vi gian lận.

Cụ thể, AI được sử dụng để phân tích dữ liệu xác thực đầu vào, góp phần nhận diện chính xác khách hàng. Bên cạnh đó, công nghệ này còn được ứng dụng để phân tích thông tin và hành vi giao dịch nhằm xác định liệu giao dịch đó có thực sự do chính chủ tài khoản thực hiện hay không.

Hệ thống có thể nhận diện những dấu hiệu bất thường dựa trên nhiều yếu tố như thời gian, địa điểm, tần suất giao dịch và các thông tin liên quan. Từ đó, các nguy cơ gian lận có thể được phát hiện sớm, đồng thời cảnh báo cũng được đưa ra trước khi giao dịch gây ra những thiệt hại đáng kể.

Cùng với việc tăng cường ứng dụng công nghệ, thời gian qua, Ngân hàng Nhà nước cũng đã triển khai hệ thống thông tin hỗ trợ quản lý, giám sát và phòng ngừa rủi ro gian lận trong hoạt động thanh toán (SIMO) nhằm phát hiện và cảnh báo những tài khoản có dấu hiệu nghi ngờ gian lận, lừa đảo. Khi khách hàng thực hiện giao dịch liên quan đến các tài khoản thuộc diện cảnh báo, hệ thống có thể phát đi tín hiệu để người dùng nhận biết rủi ro và chủ động dừng giao dịch nếu phát hiện dấu hiệu bất thường.

Các chuyên gia cũng khuyến nghị người dân không bán, cho thuê hoặc cho mượn tài khoản ngân hàng và ví điện tử; không chia sẻ hình ảnh căn cước công dân, ảnh chân dung hoặc video xác thực khuôn mặt cho người lạ. Đồng thời, người dùng cần tránh cài đặt ứng dụng từ các đường dẫn ngoài kho ứng dụng chính thống, không cấp quyền camera hoặc quyền trợ năng cho các ứng dụng không rõ nguồn gốc.

Bên cạnh đó, việc thường xuyên cập nhật hệ điều hành, cập nhật ứng dụng ngân hàng lên phiên bản mới nhất và chủ động thông báo cho ngân hàng hoặc cơ quan công an khi phát hiện những dấu hiệu bất thường trên thiết bị cũng là những biện pháp cần thiết để giảm thiểu rủi ro trong bối cảnh các thủ đoạn gian lận công nghệ ngày càng tinh vi.