Tội phạm sử dụng AI nhắm vào người dùng mạng
Sự phát triển nhanh của AI và công nghệ deepfake (giả mạo giọng nói, hình ảnh) đang khiến các thủ đoạn lừa đảo trên không gian mạng ngày càng tinh vi. Nhiều vụ lừa đảo thông qua giả giọng nói, khuôn mặt đến dựng “mối quan hệ” giả, khiến nhiều cá nhân, doanh nghiệp bị thiệt hại về tài sản thật.
Cuộc gọi giả, mã độc tràn lan
Tại hội thảo “AI & Deepfake - Vũ khí mới của lừa đảo nhắm vào lãnh đạo doanh nghiệp” vừa diễn ra tại TPHCM, Thiếu tướng Lê Minh Mạnh, Chi hội trưởng Chi hội phía Nam - Hiệp hội An ninh mạng Quốc gia cảnh báo, hoạt động tội phạm mảng sử dụng AI và công nghệ deepfake đang chọn nạn nhân là doanh nghiệp (DN) để tấn công. Xu hướng này cho thấy tội phạm mạng có tổ chức đang chuyển dịch mục tiêu, không chỉ lừa đảo cá nhân mà còn nhắm trực tiếp vào lãnh đạo, người quản lý DN để chiếm đoạt tài sản lớn, chiếm quyền điều hành hoặc đánh cắp dữ liệu.
Về các thủ đoạn mới của tội phạm mạng, ông Đặng Quang Minh, Giám đốc Công ty CP TPV Datatrust (chuyên về an ninh dữ liệu) cho biết, các yếu tố từng được xem là cơ sở xác minh danh tính như khuôn mặt, giọng nói, video, thậm chí OTP, SMS hay email, nếu sử dụng riêng lẻ, đều có thể bị tội phạm mạng khai thác để lừa đảo. Cụ thể, nếu trước đây, kẻ gian chủ yếu dùng ảnh 2D, sau đó chuyển sang video quay sẵn, camera ảo hoặc “video injection”, thì giai đoạn 2024-2025, chứng kiến xu hướng kết hợp nhiều dữ liệu danh tính. Từ năm 2026, các chuyên gia đặc biệt lưu ý nguy cơ AI agent có thể được sử dụng để tìm điểm yếu và tác động vào nhiều công đoạn của quy trình, từ tiếp nhận, xác thực đến hoàn tất giao dịch.
Không ít vụ việc gần đây cho thấy thủ đoạn này không chỉ nằm trên lý thuyết. Tại Cà Mau, Công an tỉnh này vừa cảnh báo, tội phạm mạng có thể lợi dụng sức hút của Giải Marathon Cà Mau 2026 để lập fanpage, hội nhóm, tài khoản giả mạo, từ đó thu thập dữ liệu hoặc lừa đảo những người tham gia. Ngay trong dịp Tết Trung thu mới đây cũng trở thành thời điểm tội phạm mạng lợi dụng. Công an nhiều địa phương phát đi cảnh báo, kẻ gian có thể gửi bánh, trà, voucher hoặc bưu phẩm đến tận nhà, kèm mã QR với lời mời “xác thực nhận quà”, “kích hoạt voucher”. Sau khi quét mã, nạn nhân có thể bị dẫn tới website giả, yêu cầu nhập thông tin ngân hàng, mật khẩu, OTP hoặc tải tệp ứng dụng không rõ nguồn gốc.
Theo kỹ sư Trần Văn Phương, chuyên gia an ninh mạng, hiện nay, hình thức tội phạm mạng sử dụng công nghệ cao (AI và deepfake) có hình thức khá phổ biến sử dụng mô tuýp “sự kiện thật - nhu cầu thật - thông tin giả - tiếp cận nạn nhân” để lừa đảo. Từ một lời mời đăng ký, mua BIB, nhận ưu đãi, người dùng mạng rất dễ bị dẫn dụ vào các nhóm kín, website giả, sau đó các đối tượng lừa đảo yêu cầu chuyển tiền hoặc cung cấp thông tin cá nhân.
Không thể chỉ nhìn mặt, nghe giọng để xác thực
Theo ông Đặng Quang Minh, Giám đốc Công ty An ninh dữ liệu Datatrust, trong các cuộc gọi video hoặc họp trực tuyến, việc nhìn thấy đúng khuôn mặt và nghe giọng nói quen thuộc không còn là căn cứ đủ chắc chắn để xác định danh tính. AI có thể tạo hình ảnh, giọng nói giả và sử dụng chúng để đưa ra những “mệnh lệnh” giả mạo.
Vì vậy, với các giao dịch có giá trị lớn hoặc bất thường, DN cần thiết lập nhiều lớp xác thực; không để một cá nhân hoặc một kênh liên lạc duy nhất quyết định giao dịch. Việc xác minh có thể gồm đối chiếu danh tính, kiểm tra tính sống, phát hiện camera ảo, nguồn dữ liệu và thiết bị. Điều quan trọng hơn là phải thiết lập quy trình xác minh lại qua một kênh độc lập.
Thiếu tướng Lê Minh Mạnh cho biết, thời gian qua Chi hội phía Nam – Hiệp hội An ninh mạng Quốc gia thường xuyên đưa ra các cảnh báo về an ninh mạng theo từng lĩnh vực, như tài chính - ngân hàng, hệ thống SCADA, điện, nước, giao thông, hàng không… Qua đó, DN có thể tiếp cận công nghệ mới, cập nhật diễn biến an ninh mạng và kết nối với các đơn vị cung cấp giải pháp an toàn.
Hiệp hội An ninh mạng Quốc gia khuyến cáo DN cần đặc biệt cảnh giác với yêu cầu xử lý gấp, giao dịch ngoài giờ, thay đổi tài khoản nhận tiền, yêu cầu giữ bí mật hoặc sử dụng kênh xác thực chưa từng được thiết lập. Với người dân, nguyên tắc tương tự cũng cần được áp dụng: Không xác thực một yêu cầu chỉ bằng chính kênh đang gửi yêu cầu đó. Người thân gọi điện xin tiền cần được kiểm tra bằng số điện thoại hoặc kênh khác; yêu cầu chuyển tiền từ doanh nghiệp, cơ quan phải được xác minh qua đầu mối chính thức.
Trong bối cảnh AI có thể tạo hình ảnh, giọng nói, văn bản và các tương tác giả với chi phí ngày càng thấp, câu hỏi an toàn không còn đơn giản là “người này có giống người thật không?”, mà phải đặt ra cảnh báo: “thông tin được xác thực bằng bằng chứng nào và có thể kiểm chứng qua một kênh độc lập hay không?”.