A-Train The Seven
...'cause for once, I didn't hate myself.
Trong quý 1/2025, các vụ lừa đảo sử dụng công nghệ deepfake đã gây thiệt hại gần 2 tỷ USD trên toàn cầu, đánh dấu mối đe dọa ngày càng nghiêm trọng đối với doanh nghiệp và cá nhân. Với khả năng sao chép giọng nói từ mẫu âm thanh chỉ 3-5 giây với độ chính xác 85%, tạo ra video giả mạo gần như không thể phân biệt, deepfake đang trở thành công cụ nguy hiểm trong tay tội phạm mạng. Một vụ lừa đảo điển hình tại Singapore đã khiến 1 công ty đa quốc gia thiệt hại 50 triệu USD, kẻ lừa đảo mạo danh giám đốc tài chính (CFO) để yêu cầu chuyển tiền. Trước thực trạng này, các giải pháp sử dụng trí tuệ nhân tạo (AI) như của Jericho Security và Resemble AI đang được chú ý như những lá chắn tiềm năng.
Theo báo cáo quý 1/2025 của Resemble AI, deepfake đã gây ra thiệt hại tài chính vượt quá 2 tỷ USD chỉ trong 3 tháng đầu năm 2025, số vụ lừa đảo tăng mạnh. Bắc Mỹ chịu ảnh hưởng nặng nề nhất chiếm 38% tổng số vụ, tiếp theo là châu Á (27%) và châu Âu (21%). Đặc biệt, Bắc Mỹ ghi nhận mức tăng trưởng 1.740% về số vụ lừa đảo deepfake so với năm trước, trong khi một số khu vực ở châu Âu tăng hơn 2.000% trong 3 năm qua. Con số này phản ánh bùng nổ công nghệ deepfake, với 68% video giả mạo đạt mức độ chân thực khó phân biệt bằng mắt thường.
Ngành tài chính và tiền điện tử là mục tiêu chính, các vụ lừa đảo deepfake trong lĩnh vực fintech tăng 700% trong năm 2023 và tiếp tục tăng mạnh trong năm 2024. Theo Deloitte, lừa đảo deepfake trong lĩnh vực tài chính tại Mỹ được dự báo sẽ gây thiệt hại 40 tỷ USD vào năm 2027, tốc độ tăng trưởng hàng năm 32%. Ngoài ra, các tổ chức giáo dục và cá nhân cũng ngày càng trở thành nạn nhân, 34% nạn nhân là người dân thường và 18% là tổ chức.
Một vụ lừa đảo điển hình tại Singapore vào tháng 3/2025 minh họa rõ sự tinh vi của deepfake. Một nhân viên tài chính của công ty đa quốc gia nhận được tin nhắn WhatsApp từ người tự xưng là CFO, yêu cầu tham gia một cuộc họp video khẩn cấp về tái cơ cấu kinh doanh khu vực. Cuộc họp Zoom có sự xuất hiện của các “giám đốc điều hành” và một “luật sư” từ công ty luật, nhưng tất cả đều là deepfake tạo bằng AI. Kẻ lừa đảo nhấn mạnh tính bảo mật và yêu cầu ký hợp đồng bảo mật để ngăn nhân viên xác minh với bên ngoài. Kết quả, ngày 26/3, nhân viên này đã chuyển gần 50 triệu USD từ tài khoản HSBC của công ty sang các tài khoản tại Hong Kong.
Vụ việc chỉ được phát hiện khi kẻ lừa đảo yêu cầu thêm 140 triệu USD, khiến nhân viên nghi ngờ và liên hệ trực tiếp với CFO thật. Nhờ sự phối hợp nhanh chóng giữa Trung tâm Chống Lừa đảo của Cảnh sát Singapore (ASC) và Trung tâm Phối hợp Chống Lừa đảo Hong Kong (ADCC), 49,4 triệu USD đã được phong tỏa, 5.000 USD còn lại được thu hồi từ tài khoản rửa tiền trong nước. Vụ việc này không chỉ gây chú ý về mức độ thiệt hại mà còn cho thấy sự kết hợp nguy hiểm giữa công nghệ deepfake và kỹ thuật thao túng tâm lý (social engineering).
Công nghệ deepfake đã đạt được những bước tiến đáng kinh ngạc. Theo Resemble AI, chỉ cần 3-5 giây mẫu âm thanh, AI có thể tái tạo giọng nói với độ chính xác 85%. Video deepfake cũng đạt mức độ chân thực cao với 68% video giả mạo không thể phân biệt bằng mắt thường. Các công cụ như DeepFaceLab và Avatarify vốn có sẵn dưới dạng mã nguồn mở trên GitHub, đã hạ thấp rào cản kỹ thuật, cho phép ngay cả những kẻ không chuyên về công nghệ cũng có thể tạo ra nội dung giả mạo.
Công nghệ này sử dụng mạng nơ-ron đối kháng (GANs) để phân tích và tái tạo đặc điểm khuôn mặt, giọng nói và cử chỉ. Ví dụ, trong vụ lừa đảo tại Singapore, kẻ tấn công đã sử dụng hình ảnh và video công khai của các giám đốc điều hành để tạo ra “phiên bản số” chân thực, xuất hiện trong các cuộc gọi Zoom mà không gây nghi ngờ. Theo Forbes, chi phí trung bình để tạo một deepfake chỉ khoảng 1,33 USD nhưng thiệt hại tiềm tàng có thể lên đến hàng triệu USD, như trường hợp công ty Arup tại Anh mất 25 triệu USD vào năm 2024 do 1 vụ lừa đảo tương tự.
Ngoài công nghệ, sự thành công của lừa đảo deepfake còn nằm ở kỹ thuật thao túng tâm lý. Tội phạm thường mạo danh các nhân vật cấp cao như CEO hoặc CFO, tạo cảm giác khẩn cấp hoặc bí mật để ngăn nạn nhân xác minh. Trong vụ Ferrari, kẻ lừa đảo giả danh CEO qua WhatsApp, tuyên bố rằng thương vụ mua lại đã được báo cáo cho cơ quan quản lý khiến nhân viên tin tưởng. Tương tự, trong vụ tại Hong Kong năm 2021, 1 ngân hàng bị lừa chuyển 35 triệu USD sau khi kẻ tấn công sử dụng deepfake âm thanh để giả giọng giám đốc.
Các chiến thuật này thường kết hợp nhiều kênh liên lạc như email, tin nhắn và cuộc gọi, để tăng tính thuyết phục. Ví dụ, nếu nạn nhân bỏ qua email, kẻ tấn công có thể gọi điện hoặc nhắn tin giả danh đồng nghiệp để thúc đẩy hành động. Theo Deloitte, 25,9% giám đốc điều hành báo cáo rằng tổ chức của họ đã bị tấn công deepfake nhắm vào dữ liệu tài chính, 43% chuyên gia tài chính tại Mỹ và Anh đã trở thành nạn nhân của các vụ lừa đảo này.
Deepfake không chỉ gây thiệt hại tài chính mà còn làm xói mòn niềm tin vào nội dung số. Theo khảo sát của Deloitte năm 2024, 50% người dùng cho biết họ nghi ngờ độ chính xác của thông tin trực tuyến hơn so với một năm trước, 68% lo ngại về việc nội dung AI-generated có thể bị sử dụng để lừa đảo. Điều này đặc biệt nghiêm trọng trong các lĩnh vực như truyền thông, tài chính và chính trị, nơi deepfake có thể gây ra tổn thất danh tiếng hoặc ảnh hưởng đến thị trường chứng khoán. Ví dụ, một video deepfake về vụ nổ giả tại Lầu Năm Góc năm 2023 từng gây hoảng loạn trên thị trường trước khi được đính chính.
Theo báo cáo quý 1/2025 của Resemble AI, deepfake đã gây ra thiệt hại tài chính vượt quá 2 tỷ USD chỉ trong 3 tháng đầu năm 2025, số vụ lừa đảo tăng mạnh. Bắc Mỹ chịu ảnh hưởng nặng nề nhất chiếm 38% tổng số vụ, tiếp theo là châu Á (27%) và châu Âu (21%). Đặc biệt, Bắc Mỹ ghi nhận mức tăng trưởng 1.740% về số vụ lừa đảo deepfake so với năm trước, trong khi một số khu vực ở châu Âu tăng hơn 2.000% trong 3 năm qua. Con số này phản ánh bùng nổ công nghệ deepfake, với 68% video giả mạo đạt mức độ chân thực khó phân biệt bằng mắt thường.
Lừa đảo ngày càng tinh vi
Ngành tài chính và tiền điện tử là mục tiêu chính, các vụ lừa đảo deepfake trong lĩnh vực fintech tăng 700% trong năm 2023 và tiếp tục tăng mạnh trong năm 2024. Theo Deloitte, lừa đảo deepfake trong lĩnh vực tài chính tại Mỹ được dự báo sẽ gây thiệt hại 40 tỷ USD vào năm 2027, tốc độ tăng trưởng hàng năm 32%. Ngoài ra, các tổ chức giáo dục và cá nhân cũng ngày càng trở thành nạn nhân, 34% nạn nhân là người dân thường và 18% là tổ chức.
Một vụ lừa đảo điển hình tại Singapore vào tháng 3/2025 minh họa rõ sự tinh vi của deepfake. Một nhân viên tài chính của công ty đa quốc gia nhận được tin nhắn WhatsApp từ người tự xưng là CFO, yêu cầu tham gia một cuộc họp video khẩn cấp về tái cơ cấu kinh doanh khu vực. Cuộc họp Zoom có sự xuất hiện của các “giám đốc điều hành” và một “luật sư” từ công ty luật, nhưng tất cả đều là deepfake tạo bằng AI. Kẻ lừa đảo nhấn mạnh tính bảo mật và yêu cầu ký hợp đồng bảo mật để ngăn nhân viên xác minh với bên ngoài. Kết quả, ngày 26/3, nhân viên này đã chuyển gần 50 triệu USD từ tài khoản HSBC của công ty sang các tài khoản tại Hong Kong.
Vụ việc chỉ được phát hiện khi kẻ lừa đảo yêu cầu thêm 140 triệu USD, khiến nhân viên nghi ngờ và liên hệ trực tiếp với CFO thật. Nhờ sự phối hợp nhanh chóng giữa Trung tâm Chống Lừa đảo của Cảnh sát Singapore (ASC) và Trung tâm Phối hợp Chống Lừa đảo Hong Kong (ADCC), 49,4 triệu USD đã được phong tỏa, 5.000 USD còn lại được thu hồi từ tài khoản rửa tiền trong nước. Vụ việc này không chỉ gây chú ý về mức độ thiệt hại mà còn cho thấy sự kết hợp nguy hiểm giữa công nghệ deepfake và kỹ thuật thao túng tâm lý (social engineering).
Sự tiến bộ của công nghệ Deepfake
Công nghệ deepfake đã đạt được những bước tiến đáng kinh ngạc. Theo Resemble AI, chỉ cần 3-5 giây mẫu âm thanh, AI có thể tái tạo giọng nói với độ chính xác 85%. Video deepfake cũng đạt mức độ chân thực cao với 68% video giả mạo không thể phân biệt bằng mắt thường. Các công cụ như DeepFaceLab và Avatarify vốn có sẵn dưới dạng mã nguồn mở trên GitHub, đã hạ thấp rào cản kỹ thuật, cho phép ngay cả những kẻ không chuyên về công nghệ cũng có thể tạo ra nội dung giả mạo.
Công nghệ này sử dụng mạng nơ-ron đối kháng (GANs) để phân tích và tái tạo đặc điểm khuôn mặt, giọng nói và cử chỉ. Ví dụ, trong vụ lừa đảo tại Singapore, kẻ tấn công đã sử dụng hình ảnh và video công khai của các giám đốc điều hành để tạo ra “phiên bản số” chân thực, xuất hiện trong các cuộc gọi Zoom mà không gây nghi ngờ. Theo Forbes, chi phí trung bình để tạo một deepfake chỉ khoảng 1,33 USD nhưng thiệt hại tiềm tàng có thể lên đến hàng triệu USD, như trường hợp công ty Arup tại Anh mất 25 triệu USD vào năm 2024 do 1 vụ lừa đảo tương tự.
Thao túng tâm lý
Ngoài công nghệ, sự thành công của lừa đảo deepfake còn nằm ở kỹ thuật thao túng tâm lý. Tội phạm thường mạo danh các nhân vật cấp cao như CEO hoặc CFO, tạo cảm giác khẩn cấp hoặc bí mật để ngăn nạn nhân xác minh. Trong vụ Ferrari, kẻ lừa đảo giả danh CEO qua WhatsApp, tuyên bố rằng thương vụ mua lại đã được báo cáo cho cơ quan quản lý khiến nhân viên tin tưởng. Tương tự, trong vụ tại Hong Kong năm 2021, 1 ngân hàng bị lừa chuyển 35 triệu USD sau khi kẻ tấn công sử dụng deepfake âm thanh để giả giọng giám đốc.
Các chiến thuật này thường kết hợp nhiều kênh liên lạc như email, tin nhắn và cuộc gọi, để tăng tính thuyết phục. Ví dụ, nếu nạn nhân bỏ qua email, kẻ tấn công có thể gọi điện hoặc nhắn tin giả danh đồng nghiệp để thúc đẩy hành động. Theo Deloitte, 25,9% giám đốc điều hành báo cáo rằng tổ chức của họ đã bị tấn công deepfake nhắm vào dữ liệu tài chính, 43% chuyên gia tài chính tại Mỹ và Anh đã trở thành nạn nhân của các vụ lừa đảo này.
Deepfake không chỉ gây thiệt hại tài chính mà còn làm xói mòn niềm tin vào nội dung số. Theo khảo sát của Deloitte năm 2024, 50% người dùng cho biết họ nghi ngờ độ chính xác của thông tin trực tuyến hơn so với một năm trước, 68% lo ngại về việc nội dung AI-generated có thể bị sử dụng để lừa đảo. Điều này đặc biệt nghiêm trọng trong các lĩnh vực như truyền thông, tài chính và chính trị, nơi deepfake có thể gây ra tổn thất danh tiếng hoặc ảnh hưởng đến thị trường chứng khoán. Ví dụ, một video deepfake về vụ nổ giả tại Lầu Năm Góc năm 2023 từng gây hoảng loạn trên thị trường trước khi được đính chính.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview