Xác thực sinh trắc học không còn an toàn tuyệt đối: Cảnh báo từ các chuyên gia an ninh mạng

Một báo cáo từ MIT Technology Review cho thấy sự tồn tại của hàng chục hội nhóm trên Telegram chuyên rao bán các công cụ có khả năng qua mặt hệ thống nhận diện khuôn mặt, vốn được nhiều ngân hàng và tổ chức tài chính sử dụng để xác thực danh tính khách hàng. Những công cụ này đang khiến quy trình bảo mật từng được xem là “lá chắn” vững chắc trở nên dễ bị tổn thương.

Theo chuyên gia an ninh mạng Ngô Minh Hiếu (Hiếu PC), một trường hợp thực tế cho thấy mức độ tinh vi của các thủ đoạn hiện nay: chỉ với một bức ảnh tĩnh kết hợp công nghệ “camera ảo”, đối tượng có thể đánh lừa hệ thống kiểm tra “liveness” – bước xác minh nhằm đảm bảo người dùng là người thật đang thao tác trực tiếp.

Không chỉ dừng lại ở các trường hợp cá lẻ, dữ liệu thống kê cho thấy ít nhất 22 kênh Telegram đang công khai cung cấp dịch vụ vượt qua quy trình KYC (định danh khách hàng) của nhiều tổ chức tài chính lớn. Các dịch vụ này hoạt động như một “chợ đen”, nơi tội phạm dễ dàng tìm kiếm giải pháp để hợp thức hóa danh tính giả.

Sự phát triển của các công cụ này song hành với sự gia tăng của các mạng lưới lừa đảo tài chính xuyên quốc gia. Khi các quốc gia siết chặt quy định về xác thực sinh trắc học, tội phạm nhanh chóng chuyển hướng, tận dụng các nền tảng trực tuyến để tiếp cận công nghệ vượt rào bảo mật.

Một số công ty trong lĩnh vực xác minh sinh trắc học cũng ghi nhận sự gia tăng đột biến của các cuộc tấn công bằng “camera ảo”, với mức tăng gấp nhiều lần chỉ trong một năm. Điều này cho thấy các phương thức tấn công đang liên tục được nâng cấp, ngày càng khó phát hiện.

Đáng lo ngại hơn, các đối tượng không chỉ sử dụng công cụ bên ngoài mà còn can thiệp sâu vào hệ điều hành thiết bị hoặc chỉnh sửa mã nguồn ứng dụng để kích hoạt camera ảo. Khi kết hợp với công nghệ deepfake, chúng có thể tạo ra những danh tính giả có độ chân thực cao, gần như không thể phân biệt bằng mắt thường.

Theo nhận định của các chuyên gia, việc vượt qua lớp bảo mật KYC đóng vai trò then chốt trong các đường dây rửa tiền. Sau khi chiếm đoạt được tiền, các đối tượng sẽ luân chuyển qua nhiều tài khoản trung gian, trước khi chuyển đổi sang các loại tài sản kỹ thuật số nhằm che giấu dấu vết.

Dù các tổ chức tài chính lớn khẳng định đã ngăn chặn được nhiều vụ gian lận, không ít ý kiến cho rằng các lỗ hổng vẫn tồn tại và bị khai thác triệt để. Các cơ quan quản lý trên thế giới cũng đã phát đi cảnh báo về nguy cơ giả mạo trong quy trình định danh điện tử.

Tuy vậy, theo chuyên gia Ngô Minh Hiếu, cuộc chiến giữa công nghệ bảo mật và tội phạm mạng sẽ còn kéo dài. Mỗi lớp phòng vệ mới được thiết lập chỉ khiến các đối tượng mất thêm thời gian để tìm cách vượt qua, tạo nên một vòng xoáy đối đầu không có hồi kết.