(Dân trí) - Một nghiên cứu từ MIT Technology Review phát hiện hàng chục hội nhóm trên Telegram mua bán các công cụ bẻ khóa sinh trắc học, giúp tội phạm vượt qua hệ thống nhận diện khuôn mặt của các ngân hàng.
Các chuyên gia an ninh mạng đang gióng lên hồi chuông cảnh báo về sự gia tăng đáng báo động của các công cụ vượt qua xác thực sinh trắc học, biến quy trình bảo mật tưởng chừng vững chắc này thành "mảnh đất màu mỡ" cho tội phạm rửa tiền và lừa đảo.Theo ông Ngô Minh Hiếu (Hiếu PC), chuyên gia an ninh mạng, một đối tượng trong trung tâm rửa tiền tại Campuchia đã dễ dàng "qua mặt" ứng dụng ngân hàng Việt Nam chỉ bằng một bức ảnh tĩnh và công cụ "camera ảo".
Công cụ này đã đánh lừa thành công bước kiểm tra "liveness", vốn được thiết kế để xác nhận người dùng là người thật đang tương tác trực tiếp.
Thống kê từ MIT Technology Review cho thấy, ít nhất 22 kênh Telegram (sử dụng tiếng Anh, tiếng Trung và tiếng Việt) đang công khai quảng bá các bộ công cụ vượt rào bảo mật. Các dịch vụ này nhắm trực tiếp vào quy trình KYC (định danh khách hàng) của các định chế tài chính lớn như Binance, Revolut hay ngân hàng BBVA.
Sự bùng nổ của các dịch vụ bẻ khóa KYC diễn ra song song với sự bành trướng của các mạng lưới lừa đảo "mổ heo" (pig butchering). Khi các quốc gia như Việt Nam và Thái Lan siết chặt quy định về xác thực sinh trắc học, tội phạm đã nhanh chóng tìm đến Telegram như một "chợ đen" để tìm kiếm giải pháp thay thế.
Công ty xác minh sinh trắc học iProov ước tính, các vụ tấn công bằng camera ảo trong năm 2024 đã tăng gấp 25 lần so với năm 2023, cho thấy mức độ nghiêm trọng của vấn đề.
Không chỉ dừng lại ở việc lừa đảo đơn thuần, hacker hiện nay còn chèn mã độc vào hệ điều hành điện thoại hoặc sửa đổi mã nguồn ứng dụng ngân hàng để kích hoạt camera ảo. Kết hợp với công nghệ Deepfake (video giả mạo), chúng tạo ra những danh tính giả mạo tinh vi, khó phân biệt với người thật.
Ông Sergiy Yakymchuk, CEO công ty an ninh mạng Talsec, nhận định: “Trước đây chỉ cần bẻ khóa ứng dụng là đủ, nhưng nay tội phạm phải can thiệp sâu vào hạ tầng của hệ điều hành để đối phó với các lớp bảo mật sinh trắc học ngày càng dày đặc”.
Đối với các mạng lưới rửa tiền, việc vượt qua KYC là mắt xích sống còn. Tiền chiếm đoạt từ nạn nhân được luân chuyển qua các tài khoản ngân hàng "rác" (tài khoản thuê hoặc bị đánh cắp danh tính), sau đó nhanh chóng quy đổi sang đồng tiền ổn định (stablecoin) để tẩu tán.
Dù các đơn vị như Binance khẳng định đã ngăn chặn hàng tỷ USD gian lận, các chuyên gia tài chính tại Đại học Texas (Austin) vẫn hoài nghi về hiệu quả thực sự. Thực tế cho thấy, các lỗ hổng vẫn tồn tại và dòng tiền bất hợp pháp vẫn tìm thấy kẽ hở để lưu thông.
Các cơ quan quản lý toàn cầu đang nỗ lực bám đuổi để ngăn chặn tình trạng này. Cuối năm 2024, Mạng lưới Thực thi Tội phạm Tài chính Mỹ (FinCEN) cũng đã phát đi cảnh báo về vấn nạn giả mạo KYC.
Tuy nhiên, chuyên gia Ngô Minh Hiếu nhận định: “Bất kỳ rào cản bảo mật mới nào cũng chỉ khiến tội phạm mất thêm chút thời gian. Đây là một cuộc chơi mèo vờn chuột không hồi kết”.
