eKYC, định danh khách hàng điện tử, là cách ngân hàng và ví điện tử xác minh bạn là ai từ xa: chụp giấy tờ tuỳ thân, rồi quay khuôn mặt để hệ thống so với ảnh trên giấy tờ. Vì khuôn mặt trở thành chìa khoá, kẻ gian tìm cách đưa khuôn mặt giả qua bước này để mở tài khoản đứng tên người khác, thường để làm tài khoản nhận tiền lừa đảo. Ngân hàng chống bằng nhiều lớp kiểm tra chồng lên nhau; còn khách tự bảo vệ chủ yếu bằng một việc: không trao ảnh giấy tờ, ảnh và video khuôn mặt của mình cho người lạ.
Bài này nói ở mức cơ chế để hiểu và phòng, không mô tả cách vượt qua bất kỳ hệ thống nào.
eKYC hoạt động thế nào và vì sao bị nhắm tới
Một lượt định danh điện tử thường gồm ba phần. Phần một, hệ thống đọc giấy tờ tuỳ thân: chụp hai mặt, có nơi đọc thêm chip điện tử trên thẻ. Phần hai, hệ thống quay khuôn mặt người đang cầm điện thoại và kiểm xem đó có phải người thật đang có mặt hay không. Phần ba, so khuôn mặt vừa quay với ảnh trên giấy tờ hoặc với dữ liệu gốc.
Điểm mạnh của cách làm này là tiện: khách ở Biên Hoà hay ở vùng xa đều mở được tài khoản mà không phải ra quầy. Điểm yếu là mọi thứ đi qua camera và mạng, nên kẻ gian không cần đứng trước nhân viên. Họ chỉ cần làm cho hệ thống tin rằng khuôn mặt trước camera là khuôn mặt thật của chủ giấy tờ.
Lý do kẻ gian nhắm vào đây khá thực tế. Các đường dây lừa đảo cần rất nhiều tài khoản để nhận và chuyển tiếp tiền, sao cho dòng tiền khó truy về họ. Tài khoản đứng tên người khác là thứ họ cần nhất. Có hai đường để có: mua, thuê tài khoản của người thật, hoặc tự mở tài khoản bằng giấy tờ và khuôn mặt của người khác.
Ở mức khái niệm, các kiểu giả mặt được chia thành vài nhóm: đưa ảnh hoặc video có sẵn ra trước camera, dùng mặt nạ, dùng khuôn mặt do AI dựng, hoặc tìm cách thay hình ảnh từ camera thật bằng hình ảnh dựng sẵn. Mỗi nhóm có lớp chống tương ứng, và hệ thống tốt phải chống được cả bốn.
Ngân hàng chống giả mặt bằng những lớp nào
Kiểm tra người sống. Phân tích hình ảnh để phân biệt một khuôn mặt thật đang có mặt với ảnh, màn hình phát lại hay mặt nạ.
Yêu cầu thao tác ngẫu nhiên. Quay đầu, nhìn theo hướng, đổi biểu cảm theo yêu cầu ngẫu nhiên, khó chuẩn bị trước.
Đọc chip trên giấy tờ. Dữ liệu trong chip có chữ ký số, khó làm giả hơn nhiều so với ảnh chụp mặt thẻ.
Đối chiếu với dữ liệu gốc. So khuôn mặt với ảnh lưu trong chip hoặc nguồn dữ liệu được phép, không chỉ với ảnh chụp mặt thẻ.
Kiểm thiết bị và camera. Phát hiện dấu hiệu luồng hình không đến từ camera thật của điện thoại, máy đã bị can thiệp hệ điều hành.
Phân tích hành vi khi mở tài khoản. Tốc độ thao tác, số lần thử lại, nhiều hồ sơ mở từ cùng một thiết bị là tín hiệu đáng ngờ.
Giới hạn tài khoản mới. Hạn mức giao dịch thấp trong thời gian đầu, giảm giá trị của tài khoản mở gian lận.
Theo dõi dòng tiền bất thường. Tài khoản mới nhận nhiều khoản nhỏ từ nhiều người rồi chuyển đi ngay là mẫu hình của tài khoản nhận tiền lừa.
Xác thực lại khi đổi thiết bị. Đăng nhập trên điện thoại mới hoặc giao dịch lớn phải quét khuôn mặt lại.
Người duyệt ca nghi ngờ. Hồ sơ bị hệ thống đánh dấu được chuyển cho nhân viên xem xét, có thể mời ra quầy.
Cập nhật liên tục. Kỹ thuật giả mặt thay đổi nhanh, nên bộ phát hiện phải được thử và cập nhật thường xuyên.
Vì sao khách hàng vẫn phải tự bảo vệ
Dù ngân hàng có nhiều lớp chống, nguyên liệu để giả mặt vẫn chủ yếu đến từ chính khách hàng. Ảnh hai mặt căn cước, ảnh chân dung rõ nét, video quay mặt theo các hướng là bộ nguyên liệu kẻ gian cần. Và cách dễ nhất để có bộ đó là xin thẳng.
Kịch bản xin nguyên liệu thường khoác áo hợp lý: nhà tuyển dụng yêu cầu "xác minh hồ sơ", ứng dụng vay tiền yêu cầu "quay video xác thực", người tự xưng nhân viên ngân hàng gọi tới hướng dẫn "cập nhật sinh trắc học" qua một đường dẫn lạ. Mỗi lần gửi đi là một bộ nguyên liệu có thể dùng nhiều lần.
Đường thứ hai là mua bán, cho thuê tài khoản. Có người được rủ "cho mượn tài khoản" hay "mở hộ vài tài khoản lấy tiền công", nghĩ là vô hại. Thực tế tài khoản đó thường thành nơi nhận tiền của nạn nhân lừa đảo, và người đứng tên có thể phải làm việc với cơ quan chức năng, gặp rắc rối pháp lý.
Nhân viên quầy giao dịch là lớp bảo vệ cuối mà nhiều người không nghĩ tới. Một khách lớn tuổi được "người quen" dẫn tới mở tài khoản, người đi cùng trả lời thay, cầm luôn điện thoại của khách; nhân viên tinh ý có thể hỏi riêng khách vài câu. Khách cũng nên hiểu những câu hỏi đó là để bảo vệ mình, không phải làm khó.
Khách hàng nên làm và không nên làm gì
Không gửi ảnh căn cước cho người lạ. Nhất là kèm ảnh chân dung hoặc ảnh cầm căn cước cạnh mặt.
Không quay video khuôn mặt theo yêu cầu qua đường dẫn lạ. Cập nhật sinh trắc học chỉ làm trong ứng dụng chính thức của ngân hàng, do bạn tự mở.
Không cho mượn, bán, thuê tài khoản. Dù được trả tiền hay được hứa vô hại, tài khoản đứng tên bạn là trách nhiệm của bạn.
Không mở tài khoản hộ người khác. Kể cả người quen nhờ, nếu bạn không biết rõ mục đích.
Khi phải nộp bản sao giấy tờ, ghi rõ mục đích. Viết lên bản sao "chỉ dùng để nộp cho ..." kèm ngày, giảm khả năng dùng lại cho việc khác.
Kiểm tra tài khoản đứng tên mình. Nếu nghi giấy tờ bị lộ, hỏi ngân hàng hoặc kiểm tra qua kênh chính thức xem có tài khoản lạ không.
Báo ngay khi mất giấy tờ. Báo cơ quan cấp và ngân hàng đang dùng để họ lưu ý.
Cảnh giác với người tự xưng nhân viên ngân hàng. Ngân hàng không hướng dẫn cài ứng dụng lạ hay quét mặt qua đường dẫn gửi trong tin nhắn.
Bảo vệ điện thoại. Khoá màn hình, không cài ứng dụng ngoài kho chính thức, không cho người lạ cầm máy thao tác.
Đi cùng người lớn tuổi khi mở tài khoản. Người nhà đáng tin đi cùng, và để chính người lớn tuổi tự trả lời nhân viên.
Hợp tác khi ngân hàng hỏi thêm. Bị mời ra quầy xác minh hay hỏi thêm câu hỏi là lớp bảo vệ, không phải phiền phức.
Những hiểu lầm hay gặp về xác thực khuôn mặt
"Quét mặt rồi là an toàn tuyệt đối." Khuôn mặt là một lớp bảo vệ mạnh nhưng không phải lớp duy nhất; mật khẩu, mã xác nhận, thiết bị đăng ký vẫn cần được giữ.
"Ảnh mặt mình đầy trên mạng nên chẳng còn gì để giữ." Ảnh mạng xã hội khác với bộ ảnh giấy tờ kèm video quay mặt theo yêu cầu; bộ sau mới là thứ kẻ gian cần nhất.
"Ngân hàng gọi bảo cập nhật sinh trắc học thì làm theo." Việc cập nhật làm trong ứng dụng chính thức do bạn tự mở; cuộc gọi kèm đường dẫn là dấu hiệu lừa đảo.
"Hệ thống từ chối mình là hệ thống lỗi." Đôi khi đúng, do ánh sáng hay camera; nhưng cũng có thể là lớp chống gian lận đang làm việc. Thử lại nơi đủ sáng, hoặc ra quầy.
"Người giống mình có thể mở tài khoản thay mình." Hệ thống so khuôn mặt với dữ liệu gốc và kiểm người sống, nên người trông giống không đủ; kẻ gian vẫn cần nguyên liệu từ chính bạn.
"Cho mượn tài khoản một lần không sao." Một lần đủ để tài khoản thành mắt xích trong đường dây chuyển tiền lừa đảo.
"Chỉ người trẻ mới bị nhắm." Người lớn tuổi bị nhắm vì ít quen thao tác, còn người trẻ bị nhắm qua lời mời việc làm, tiền công mở tài khoản.
"Xoá ứng dụng là hết rủi ro." Tài khoản vẫn tồn tại ở ngân hàng; nếu nghi bị lộ, phải báo ngân hàng chứ không chỉ gỡ ứng dụng.
"Video deepfake chỉ dùng để lừa người, không lừa được máy." Kẻ gian thử cả hai; vì vậy ngân hàng phải kiểm cả nguồn hình chứ không chỉ nội dung hình.
"Ra quầy là phiền, online mới tiện." Với người lớn tuổi hay khi nghi có vấn đề, ra quầy gặp nhân viên lại là cách an toàn hơn.
"Mất căn cước chỉ cần làm lại." Cần báo cả cơ quan cấp lẫn ngân hàng, vì giấy tờ cũ có thể bị dùng để mở tài khoản trước khi bạn kịp làm lại.
Câu hỏi thường gặp
Khuôn mặt do AI tạo có qua được eKYC không?
Các hệ thống định danh đều được thiết kế để chống giả mặt, và kẻ gian cũng liên tục tìm cách mới, nên đây là cuộc chạy đua. Không hệ thống nào an toàn tuyệt đối, vì vậy ngân hàng chồng nhiều lớp và theo dõi cả hành vi sau khi mở tài khoản.
Lỡ gửi ảnh căn cước và ảnh mặt cho người lạ thì phải làm gì?
Liên hệ ngân hàng và ví điện tử mình đang dùng để báo và nhờ theo dõi, kiểm tra xem có tài khoản lạ đứng tên mình không, và cảnh giác với các cuộc gọi tiếp theo. Nếu phát hiện bị mạo danh, báo cơ quan công an.
Cho người khác mượn tài khoản ngân hàng có sao không?
Có thể gặp rắc rối lớn. Nếu tài khoản bị dùng để nhận tiền lừa đảo, người đứng tên phải giải trình với cơ quan chức năng. Mức trách nhiệm tuỳ từng vụ việc, nhưng tốt nhất là không cho mượn dưới bất kỳ hình thức nào.
Vì sao ngân hàng bắt quét mặt lại khi đổi điện thoại?
Đổi thiết bị là lúc kẻ gian chiếm tài khoản hay lợi dụng nhất. Quét lại khuôn mặt giúp bảo đảm người dùng điện thoại mới đúng là chủ tài khoản.
Giấy tờ có chip điện tử an toàn hơn ảnh chụp thẻ như thế nào?
Dữ liệu trong chip được ký số, nên hệ thống kiểm được nó có bị sửa hay không. Ảnh chụp mặt thẻ thì có thể bị chỉnh sửa. Vì vậy những bước định danh có đọc chip thường khó giả hơn.
