Fake Liveness là gì? Hiểm họa đe dọa an ninh tài chính số

Trong kỷ nguyên số hóa hiện nay, việc xác thực danh tính từ xa thông qua công nghệ eKYC (Electronic Know Your Customer) đã trở thành tiêu chuẩn tại các ngân hàng và tổ chức tài chính Việt Nam. Tuy nhiên, cùng với sự tiện lợi đó, một khái niệm nguy hiểm đã xuất hiện: Fake Liveness (giả mạo sự sống). Đây là hình thức tấn công nhằm đánh lừa hệ thống nhận diện khuôn mặt, đặt ra thách thức lớn đối với bảo mật tài chính cá nhân.

1. Fake Liveness là gì?

Fake Liveness là một kỹ thuật tấn công trong lĩnh vực sinh trắc học, nơi kẻ gian cố gắng đánh lừa thuật toán nhận diện khuôn mặt để hệ thống tin rằng một người giả mạo hoặc hình ảnh không có thật (ảnh tĩnh, video, mặt nạ, mô hình 3D) là một người thật đang tương tác trực tiếp (liveness).

Nói cách khác, kẻ tấn công tìm cách “qua mặt” các bước kiểm tra sự sống (liveness detection) của ứng dụng ngân hàng khi người dùng mở tài khoản hoặc thực hiện các giao dịch quan trọng.

(Lưu ý: Hình ảnh minh họa mang tính biểu trưng về bảo mật dữ liệu và giao dịch tài chính)

2. Các hình thức Fake Liveness phổ biến

Kẻ gian thường sử dụng các thủ đoạn tinh vi để thực hiện hành vi Fake Liveness, bao gồm:

• Sử dụng ảnh tĩnh (Spoofing with Photos): In ảnh chất lượng cao hoặc dùng ảnh trên màn hình điện thoại/máy tính bảng để đưa trước camera.
• Video giả mạo (Replay Attack): Sử dụng video ghi lại khuôn mặt của nạn nhân, sau đó phát lại video đó trước camera của ứng dụng eKYC.
• Mặt nạ sinh học (Masks/3D Models): Chế tạo các loại mặt nạ bằng silicon, cao su hoặc in 3D mô phỏng khuôn mặt của nạn nhân một cách chân thực.
• Deepfake: Đây là hình thức nguy hiểm nhất, sử dụng Trí tuệ nhân tạo (AI) để tổng hợp và thay đổi khuôn mặt, biểu cảm của người thật, tạo ra các video "sống" cực kỳ khó phân biệt bằng mắt thường.

3. Tại sao Fake Liveness lại nguy hiểm?

Khi kẻ gian vượt qua được lớp bảo mật Liveness Detection, hậu quả để lại là vô cùng nghiêm trọng:

1. Mở tài khoản ngân hàng ảo: Dùng thông tin người khác để mở tài khoản nhằm mục đích rửa tiền hoặc lừa đảo.
2. Chiếm đoạt tài khoản: Thay đổi thông tin cá nhân, số điện thoại hoặc mật khẩu của người dùng thật.
3. Vay tín dụng trái phép: Sử dụng danh tính bị đánh cắp để đăng ký các khoản vay tín chấp, gây ra nợ xấu cho nạn nhân.
4. Mất uy tín tài chính: Nạn nhân bị liệt vào danh sách đen của hệ thống ngân hàng (CIC) mà không hề hay biết do bị đánh cắp danh tính.

4. Cách các tổ chức tài chính ngăn chặn Fake Liveness

Để đối phó với Fake Liveness, các tổ chức tài chính hiện nay áp dụng nhiều công nghệ tiên tiến:

• Active Liveness Detection (Kiểm tra chủ động): Yêu cầu người dùng thực hiện các hành động ngẫu nhiên như chớp mắt, quay đầu, hoặc đọc các con số xuất hiện trên màn hình.
• Passive Liveness Detection (Kiểm tra thụ động): Sử dụng AI để phân tích các yếu tố như chiều sâu, độ phản xạ ánh sáng trên da, nhịp thở, và các chuyển động vi mô mà mắt thường khó thấy để xác định người thật.
• Phân tích bề mặt da (Texture Analysis): Nhận diện sự khác biệt giữa da người thật với các bề mặt in ấn hoặc màn hình.

5. Lời khuyên bảo mật cho người dùng

Để bảo vệ bản thân trước các rủi ro liên quan đến đánh cắp danh tính và Fake Liveness, bạn cần lưu ý:

• Bảo mật dữ liệu cá nhân: Tuyệt đối không chia sẻ hình ảnh khuôn mặt, căn cước công dân rõ nét lên mạng xã hội.
• Cảnh giác với các yêu cầu xác thực: Chỉ thực hiện eKYC trên ứng dụng chính thống của ngân hàng, không truy cập vào các đường link lạ yêu cầu "cập nhật thông tin định danh".
• Sử dụng xác thực đa yếu tố (MFA): Luôn bật tính năng xác thực 2 lớp (OTP, vân tay, FaceID) cho mọi ứng dụng tài chính.
• Kiểm tra định kỳ: Thường xuyên kiểm tra lịch sử giao dịch và thông tin tài khoản trên ứng dụng ngân hàng để phát hiện kịp thời các bất thường.

Kết luận:

Fake Liveness không chỉ là một thuật ngữ kỹ thuật, mà là mối đe dọa trực tiếp đến an toàn tài sản của mỗi người. Việc hiểu rõ cơ chế này giúp người dùng nâng cao cảnh giác, đồng thời thúc đẩy các ngân hàng không ngừng cập nhật công nghệ bảo mật để tạo ra môi trường tài chính số an toàn và bền vững.