eKYC là việc xác minh danh tính của người dùng thông qua việc ứng dụng công nghệ điện tử. Giải pháp này sử dụng dữ liệu hình ảnh, video chân dung và giấy tờ tùy thân như CMND/CCCD/Hộ chiếu, thường được dùng trong các dịch vụ trực tuyến.

Tại hội nghị về an ninh mạng ngày 30/5 ở Hà Nội, đại diện nền tảng định danh điện tử VNPT eKYC cho biết việc triển khai phương thức này đã thúc đẩy số lượng giao dịch trực tuyến tại Việt Nam tăng vượt bậc, với 27 triệu tài khoản online, 12,9 triệu thẻ ngân hàng được mở qua eKYC, thực hiện 11 tỷ giao dịch trực tuyến với giá trị 200 triệu tỷ đồng.

Với tầm quan trọng đó, eKYC cũng trở thành đích nhắm của tội phạm mạng khi muốn giả danh tính nhằm chiếm quyền sử dụng tài khoản. Đại diện VNPT eKYC cho biết trong số hơn một tỷ lượt truy vấn tới API của đơn vị đã phát hiện hơn 16 triệu trường hợp giả mạo khuôn mặt, 6,8 triệu giấy tờ giả hoặc không đạt chuẩn. Bên cạnh đó, xu hướng dùng AI làm ảnh deepfake cũng tạo ra một thách thức mới cho các nền tảng.

Deepfake mạo danh được tạo thế nào?

Hai dữ liệu quan trọng nhất trong eKYC là ảnh giấy tờ và khuôn mặt. Để xác minh một người là thật, công cụ sẽ so sánh khuôn mặt của họ với ảnh trên giấy tờ, đồng thời yêu cầu người dùng chứng minh khuôn mặt đó là dữ liệu "sống", bằng cách thực hiện các cử động theo yêu cầu, như nghiêng trái phải, ngẩng lên, cúi xuống.

Theo ông Nguyễn Hữu Giáp, Giám đốc BShield chuyên hỗ trợ bảo mật cho ứng dụng, việc tạo deepfake hiện không khó với sự tiến bộ của AI. Kẻ gian có thể dễ dàng thu thập dữ liệu người dùng từ thông tin công khai mà họ đăng trên mạng xã hội, hoặc lừa cung cấp qua các chiêu thức như phỏng vấn tuyển dụng online hoặc gọi điện dưới danh nghĩa "cơ quan chức năng".

Trong mô phỏng được BShield thực hiện tại sự kiện ngày 30/5, từ khuôn mặt có sẵn qua một cuộc gọi video, kẻ tấn công có thể đưa chúng vào giấy CCCD, ghép vào thân hình một người cử động để lừa công cụ eKYC và được hệ thống nhận định là "người thật".
Theo ông Giáp, kẻ tấn công thường thực hiện cuộc tấn công trung gian MitM (Man-in-the-Middle), can thiệp vào giữa giao tiếp của người dùng (thường là trên điện thoại) và máy chủ, để đưa dữ liệu deepfake vào xác thực.

Ngoài ra, một kiểu khai thác khác là dùng phần mềm giả lập điện thoại trên máy tính và kết nối "camera ảo", hoặc "chèn phần cứng" vào trong một chiếc điện thoại di động bị thay thế bằng một bộ chuyển đổi HDMI kết nối tới máy tính, theo đại diện VNPT.

 

Sơ đồ phương thức tấn công trung gian để đưa nội dung deepfake vào xác thực. Ảnh: VNPT eKYC

Với kinh nghiệm bảo vệ cho hơn 100 triệu thiết bị, ông Nguyễn Hữu Giáp cho biết ở các phương thức tấn công trên, kẻ gian thường khai thác lỗ hổng có sẵn trên ứng dụng, do giải pháp bảo vệ ứng dụng di động hiện chưa được áp dụng phổ biến tại Việt Nam.

Để đảm bảo an toàn từ phía người dùng, chuyên gia này khuyến nghị ứng dụng cần nâng cao hàng rào bảo mật thông qua các công cụ bảo vệ nhiều lớp, đồng thời có biện pháp phát hiện, theo dõi nguy cơ tấn công tới người dùng.

VNPT cũng cho biết đang tiến hành các biện pháp ngăn chặn nguy cơ mạo danh, trong đó sử dụng AI. Nhờ AI, hệ thống có thể phát hiện giấy tờ giả mạo, sự bất thường trong chuyển động của người dùng khi xác thực, tìm kiếm khuôn mặt trong hàng chục triệu khuôn mặt khác nhau, nhằm ngăn chặn gian lận trong eKYC, đặc biệt trong bối cảnh các giao dịch chuyển tiền online trên 10 triệu đồng cần xác thực sinh trắc học từ tháng 7./.