Gian lận danh tính giả mạo tăng gấp 8 lần: AI và deepfake khiến doanh nghiệp đối mặt rủi ro mới

Gian lận danh tính giả mạo đang trở thành một thách thức lớn đối với hệ thống tài chính và các doanh nghiệp trên toàn cầu. Thay vì đánh cắp thông tin của một người có thật, tội phạm mạng có thể tạo ra một danh tính hoàn toàn mới bằng cách kết hợp dữ liệu thật, thông tin bị đánh cắp, nội dung bị chỉnh sửa và các chi tiết bịa đặt.

Theo nghiên cứu được LexisNexis Risk Solutions công bố, 11% các vụ gian lận được ghi nhận có liên quan đến danh tính giả mạo, tăng gấp tám lần trên toàn cầu so với năm trước. Sự phát triển của trí tuệ nhân tạo tạo sinh (Generative AI) và công nghệ deepfake càng khiến những hồ sơ giả trở nên tinh vi, gây khó khăn cho các hệ thống xác minh danh tính truyền thống.

Danh tính giả mạo là gì và vì sao ngày càng nguy hiểm?

Danh tính giả mạo, hay synthetic identity fraud, là hình thức gian lận trong đó kẻ tấn công tạo dựng một danh tính không tương ứng với một cá nhân có thật. Thay vì sử dụng hoàn toàn thông tin giả, chúng thường kết hợp nhiều dữ liệu có vẻ hợp lệ để tạo ra một hồ sơ đủ thuyết phục nhằm vượt qua quy trình đăng ký tài khoản.

Một hồ sơ có thể sử dụng thông tin cá nhân bị đánh cắp, địa chỉ được tạo dựng, hình ảnh do AI sinh ra hoặc dữ liệu tài chính được thao túng. Khi các thành phần này được kết hợp khéo léo, hệ thống tự động có thể đánh giá hồ sơ là hợp lệ dù danh tính tổng thể không thực sự tồn tại.

Điểm nguy hiểm là không nhất thiết có một nạn nhân cụ thể phát hiện việc thông tin của mình bị sử dụng trái phép. Với những vụ đánh cắp danh tính truyền thống, người bị hại có thể phát hiện giao dịch bất thường, tài khoản lạ hoặc khoản nợ không thuộc về mình. Nhưng với danh tính tổng hợp, kẻ gian tạo ra một nhân vật mới, khiến quá trình phát hiện và điều tra phức tạp hơn.

Theo tài liệu nghiên cứu của LexisNexis Risk Solutions về ngăn chặn gian lận danh tính giả mạo và deepfake, 85% danh tính giả mạo được kiểm tra không bị các mô hình của bên thứ ba phát hiện trong nghiên cứu được trích dẫn. Con số này cho thấy những giới hạn đáng kể của một số công cụ phát hiện gian lận hiện nay, dù kết quả cụ thể có thể khác nhau tùy phương pháp và phạm vi đánh giá.

AI và deepfake khiến quy trình xác minh truyền thống gặp khó

Trong nhiều năm, các hệ thống chống gian lận tập trung vào việc phát hiện thông tin đăng nhập bị đánh cắp, giấy tờ giả hoặc giao dịch đáng ngờ. Tuy nhiên, mô hình này đang chịu sức ép khi kẻ gian có thể tạo ra một hồ sơ mới với các thuộc tính nhất quán ngay từ đầu.

AI tạo sinh có thể hỗ trợ tạo hình ảnh khuôn mặt, giấy tờ giả và nội dung phục vụ việc xây dựng hồ sơ. Công nghệ deepfake còn có thể được sử dụng để giả lập hình ảnh hoặc video trong những quy trình xác minh có yếu tố sinh trắc học.

Vấn đề nằm ở chỗ một thông tin trông hợp lệ chưa chắc chứng minh danh tính đó có thật. Hệ thống xác minh có thể xác nhận rằng ảnh, dữ liệu và giấy tờ tương thích với nhau, nhưng điều đó không đồng nghĩa người đứng sau hồ sơ là một cá nhân tồn tại ngoài đời thực.

Kimberly Sutherland, Trưởng bộ phận Chống gian lận và Xác thực toàn cầu tại LexisNexis Risk Solutions, nhấn mạnh rằng doanh nghiệp cần một hệ thống phòng thủ toàn diện, kết hợp thu thập dữ liệu xuyên suốt, phân tích gian lận và kiểm tra tính xác thực. Chỉ một mắt xích yếu cũng có thể tạo cơ hội cho kẻ tấn công vượt qua quy trình bảo vệ.

Nếu không được phát hiện sớm, danh tính giả có thể được sử dụng để mở tài khoản, mua sắm trực tuyến, rút tiền, lạm dụng ưu đãi dành cho khách hàng mới hoặc hỗ trợ hoạt động rửa tiền.

Vì sao kiểm tra tín dụng tốt vẫn chưa đủ?

Một hồ sơ có điểm tín dụng tốt không đồng nghĩa với việc danh tính đứng sau hồ sơ đó là đáng tin cậy. Theo nghiên cứu Ẩn mình ngay trước mắt: Phát hiện gian lận danh tính giả mạo của LexisNexis Risk Solutions, hơn 50% danh tính giả mạo được phát hiện có điểm tín dụng trên 650 nhưng không thuộc nhóm nổi bật.

Điều này cho thấy hồ sơ giả mạo có thể được xây dựng để trông giống một khách hàng thông thường. Nếu doanh nghiệp chỉ dựa vào điểm tín dụng, giấy tờ hoặc một lần xác minh tại thời điểm đăng ký, những dấu hiệu quan trọng có thể bị bỏ qua.

Doanh nghiệp cần đánh giá tổng thể nhiều yếu tố: dữ liệu nhận dạng, thiết bị truy cập, hành vi người dùng, lịch sử giao dịch và mối liên hệ giữa các tài khoản. Một hồ sơ thật đôi khi có dữ liệu thiếu sót, thay đổi địa chỉ hoặc lịch sử không hoàn toàn nhất quán. Ngược lại, hồ sơ giả có thể quá hoàn hảo hoặc thiếu những dấu vết thường thấy trong quá trình hình thành lịch sử của một người thật.

Tuy nhiên, đây chỉ là tín hiệu để đánh giá rủi ro, không phải bằng chứng kết luận gian lận. Khách hàng chân chính cũng có thể có lịch sử tín dụng mỏng, dữ liệu chưa đầy đủ hoặc thường xuyên thay đổi thiết bị và địa chỉ.

Doanh nghiệp cần thay đổi chiến lược chống gian lận như thế nào?

Trước hết, doanh nghiệp nên chuyển trọng tâm từ kiểm tra đơn lẻ sang đánh giá rủi ro xuyên suốt vòng đời khách hàng. Thay vì chỉ xác minh giấy tờ tại thời điểm mở tài khoản, hệ thống cần tiếp tục xem xét các tín hiệu phát sinh khi khách hàng đăng nhập, giao dịch hoặc thay đổi thông tin.

Thứ hai, các tổ chức nên kết hợp dữ liệu từ nhiều nguồn, gồm tài liệu định danh, thông tin thiết bị, hành vi sử dụng và mạng lưới liên kết giữa các tài khoản. Việc phối hợp những tín hiệu này có thể giúp phát hiện các mối liên hệ đáng ngờ mà một công cụ riêng lẻ khó nhận ra.

Thứ ba, quy trình xác minh cần có khả năng thích ứng. Khi xuất hiện tín hiệu rủi ro rõ ràng, hệ thống có thể yêu cầu kiểm tra bổ sung hoặc chuyển hồ sơ sang bộ phận chuyên trách. Ngược lại, khách hàng có đủ bằng chứng đáng tin cậy nên được tiếp tục giao dịch mà không phải trải qua quá nhiều bước không cần thiết.

Cách tiếp cận này giúp cân bằng hai mục tiêu: hạn chế gian lận và duy trì trải nghiệm khách hàng. Việc tăng cường kiểm soát một cách đồng loạt có thể làm tăng chi phí vận hành, kéo dài thời gian đăng ký và gây khó khăn cho người dùng hợp pháp.

Cuối cùng, doanh nghiệp cần bảo đảm các hệ thống chống gian lận phối hợp với nhau. Rủi ro thường xuất hiện tại những điểm giao nhau giữa xác minh tài liệu, phân tích thiết bị, hành vi và dữ liệu mạng lưới. Nếu mỗi công cụ chỉ đánh giá một phần nhỏ thông tin, những tín hiệu quan trọng có thể bị bỏ sót.

Ba câu hỏi quan trọng để đánh giá một danh tính

Một chiến lược chống gian lận hiệu quả cần trả lời ba câu hỏi theo trình tự.

Danh tính này có thật không? Doanh nghiệp cần xác định dữ liệu nhận dạng có cơ sở xác thực hay chỉ là sự kết hợp của các thành phần được tạo dựng hoặc thao túng.

Có thể tin tưởng danh tính này không? Ngay cả danh tính thật vẫn có thể bị lợi dụng. Vì vậy, cần đánh giá sự nhất quán giữa thông tin, hành vi, thiết bị và lịch sử giao dịch.

Danh tính này tiềm ẩn rủi ro gì ở thời điểm hiện tại và trong tương lai? Mức độ rủi ro có thể thay đổi theo thời gian. Một tài khoản ban đầu có vẻ bình thường vẫn cần được theo dõi nếu sau đó xuất hiện những dấu hiệu bất thường.

Trong bối cảnh AI giúp việc tạo dựng danh tính giả trở nên dễ dàng hơn, xác minh một lần không còn là giải pháp đầy đủ. Các tổ chức cần kết hợp công nghệ, dữ liệu và quy trình quản trị để phát hiện rủi ro sớm, đồng thời tránh gây trở ngại không cần thiết cho khách hàng hợp pháp.

Nguồn tham khảo: LexisNexis Risk Solutions, các tài liệu nghiên cứu về ngăn chặn gian lận danh tính giả mạo, deepfake và báo cáo Ẩn mình ngay trước mắt: Phát hiện gian lận danh tính giả mạo. Các số liệu được dẫn theo nội dung nghiên cứu được cung cấp.

Câu hỏi về gian lận danh tính trong giao dịch hiện nay

1. Gian lận danh tính giả mạo khác gì đánh cắp danh tính?

Đánh cắp danh tính thường liên quan đến việc sử dụng trái phép thông tin của một người có thật. Gian lận danh tính giả mạo tạo ra một hồ sơ tổng hợp từ dữ liệu thật, bị đánh cắp, bị chỉnh sửa hoặc bịa đặt.

2. Vì sao AI và deepfake làm tăng nguy cơ gian lận?

Chúng có thể giúp tạo hình ảnh, video và dữ liệu giả thuyết phục hơn, khiến một số bước xác minh tự động khó nhận biết dấu hiệu bất thường.

3. Điểm tín dụng tốt có chứng minh danh tính là thật không?

Không. Điểm tín dụng chỉ là một tín hiệu trong hồ sơ tài chính, không thể tự nó xác nhận một cá nhân có tồn tại hay không.

4. Doanh nghiệp nên làm gì để hạn chế gian lận danh tính?

Nên kết hợp xác minh dữ liệu, phân tích thiết bị, hành vi và mạng lưới tài khoản; giám sát liên tục; đồng thời áp dụng kiểm tra bổ sung dựa trên mức độ rủi ro thay vì gây thêm trở ngại cho tất cả khách hàng.