Đại diện VNPT eKYC cho biết việc triển khai phương thức eKYC ở Việt Nam đã thúc đẩy số lượng giao dịch trực tuyến tăng vượt bậc, cụ thể là 27 triệu tài khoản online, 12,9 triệu thẻ ngân hàng được mở qua eKYC, thực hiện 11 tỷ giao dịch trực tuyến với giá trị 200 triệu tỷ đồng.
Vì vậy, eKYC cũng trở thành mục tiêu của các băng nhóm tội phạm mạng khi muốn giả danh tính để chiếm đoạt tài khoản của người dùng. Trong số hơn một tỷ lượt truy vấn tới API của đơn vị đã phát hiện hơn 16 triệu trường hợp giả mạo khuôn mặt và 6,8 triệu giấy tờ giả hoặc không đạt chuẩn. Ngoài ra, xu hướng dùng AI làm ảnh deepfake cũng tạo ra một thách thức mới cho các nền tảng.
Dữ liệu được cho là quan trọng nhất trong eKYC là ảnh giấy tờ và khuôn mặt. Theo đó, công cụ sẽ so sánh khuôn mặt của người dùng với ảnh trên giấy tờ và yêu cầu chứng minh khuôn mặt đó là dữ liệu “sống” bằng cách thực hiện các cử động theo yêu cầu như nghiêng, cúi đầu…
Giám đốc Bshield – ông Nguyễn Hữu Giáp tiết lộ: Hiện nay, việc ứng dụng tạo deepfake không khó khi AI đang ngày càng phát triển. Hacker có thể dễ dàng thu thập dữ liệu người dùng từ thông tin công khai mà họ đăng trên mạng xã hội hoặc lừa cung cấp qua các chiêu thức như phỏng vấn tuyển dụng online hoặc thậm chí mạo danh cơ quan chức năng để thực hiện các lành vi lừa đảo.
Mô phỏng được Bshield thực hiện tại sự kiện này cũng đã làm rõ được cách thức tiếp cận của hacker. Từ khuôn mặt có sẵn, chỉ qua một cuộc gọi video, kẻ tấn công có thể đưa chúng vào CCCD, ghép vào thân hình một người cử động để lừa công cụ eKYC và được hệ thống nhận định là “người thật”.
Hacker thường thực hiện cuộc tấn công trung gian MitM (Man-in-the-Middle) để can thiệp vào giữa giao tiếp của người dùng, chủ yếu trên điện thoại để đưa dữ liệu deepfake vào xác thực, ông Giáp nhấn mạnh.
Bên cạnh đó, một kiểu khai thác khác nữa là dùng phần mềm giả lập điện thoại trên máy tính và kết nối camera ảo hoặc chèn phần cứng vào trong một chiếc điện thoại di động bị thay thế bằng một bộ chuyển đổi HDMI kết nối với máy tính.
Ông Nguyễn Hữu Giáp với kinh nghiệm bảo vệ cho hơn 100 triệu thiết bị cho rằng ở các phương thức tấn công nêu trên, hacker thường khai thác lỗ hổng có sẵn trên ứng dụng do giải pháp bảo vệ ứng dụng di động hiện nay chưa được áp dụng phổ biến ở nước ta. Từ đó, vị chuyên gia này cũng đưa ra những khuyến nghị như nâng cao hàng rào bảo mật bằng các công cụ bảo vệ nhiều lớp và có biện pháp phát hiện, theo dõi nguy cơ tấn công tới người dùng.
Từ tháng 7/2024, VNPT eKYC đang tiến hành mạnh các biện pháp ngăn chặn nguy cơ mạo danh trong đó sử dụng AI. Nhờ AI, hệ thống có thể phát hiện giấy tờ giả mạo hoặc những bất thường trong chuyển động của người dùng khi xác thực, tìm kiếm khuôn mặt trong hàng chục triệu khuôn mặt khác nhau.
Trước đó, Cục An toàn thông tin cũng đã đưa ra khuyến cáo người dùng sử dụng chính các công cụ AI để nhận diện deepfake nhằm giảm thiểu xác suất thành công của các vụ lừa đảo như Microsoft Video Authenticator, Intel FakeCatcher….Đặc biệt, cần nâng cao tinh thần cảnh giác, tuyệt đối không cung cấp thông tin cá nhân như CCCD, tài khoản ngân hàng, mã OTP và những thông tin cá nhân quan trọng khác.
