Bật mí về cơ chế robot qua mặt sinh trắc học trên ứng dụng ngân hàng

Hiện tại, trong các phương thức xác thực, sử dụng sinh trắc học là khó giả mạo nhất, có mức độ bảo mật cao nhất.

Tuy nhiên một vài thủ pháp tinh vi vẫn có thể ‘qua mặt’ hệ thống do hạn chế nhất định.

Thủ thuật thay đổi thuật toán của kẻ gian

Mới đây, cơ quan Cảnh sát điều tra Công an tỉnh Thái Bình vừa ra Quyết định khởi tố vụ án hình sự, khởi tố 21 bị can về tội đánh bạc và rửa tiền. Đường dây này hoạt động tinh vi, đáng chú ý là lần đầu tiên sử dụng công nghệ trí tuệ nhân tạo (AI) để phạm tội tại Việt Nam.

Cơ quan điều tra xác định trang web “KUBET”, có máy chủ ở nước ngoài, tổ chức nhiều hình thức cá cược, đánh bạc ăn tiền qua các trò chơi như xổ số, cá độ bóng đá, tài xỉu. Người chơi tạo tài khoản qua điện thoại và liên kết ngân hàng để nạp/rút tiền. Tại thời điểm triệt phá, đã có hơn 1 triệu tài khoản với số tiền đánh bạc ước tính hơn 1.000 tỷ đồng.

Bảo mật bằng sinh trắc học vẫn có thể bị hack tài khoản nếu không có các biện pháp ngăn chặn.

Ngoài hành vi đánh bạc, các đối tượng còn thực hiện rửa tiền, thuê người mở tài khoản ngân hàng tại Việt Nam cho người chơi nạp tiền.

Sau đó, đối tượng ở Đài Loan (Trung Quốc) điều khiển máy tính kết nối điện thoại đã cài đặt sẵn ứng dụng ngân hàng để chuyển tiền qua nhiều tài khoản khác nhau nhằm che giấu nguồn gốc .

Đặc biệt, với các giao dịch từ 10 triệu đồng trở lên yêu cầu quét sinh trắc học, các đối tượng đã tạo clip AI khuôn mặt của chủ tài khoản để vượt qua lớp bảo mật này mà chủ tài khoản không cần trực tiếp thực hiện.

Ông Vũ Ngọc Sơn, Trưởng Ban Nghiên cứu, tư vấn, phát triển công nghệ và Hợp tác quốc tế của Hiệp hội An ninh mạng quốc gia (NCA) cho biết, trong vụ việc các đối tượng lừa đảo dùng thiết bị root để qua mặt xác thực sinh trắc học tại Thái Bình, có một số bạn thắc mắc, các app của Bank phần lớn đã tích hợp khả năng detect điện thoại bị root, cụ thể là nếu thấy thiết bị đã có dấu hiệu bị root thì sẽ không chạy nữa, vậy làm sao mà có thể chuyển tiền được?

Root điện thoại là thuật ngữ chỉ các điện thoại đã có sự can thiệp, chỉnh sửa để người dùng (ở đây là nhóm tội phạm) có thể giành quyền truy cập cấp cao nhất (root access) trên thiết bị.

Ông Sơn phân tích, để hiểu được vấn đề này, hãy lấy một ví dụ tương tự về việc các mã độc mới xuất hiện hàng ngày và by pass được các công nghệ của phần mềm diệt virus. Hacker sẽ test (thử nghiệm) đến khi nào AV (phần mềm diệt virus) không phát hiện ra mã độc nữa thì mới mang đi tấn công người dùng. Tại sao? Vì nguyên tắc AV phát hiện ra mã độc là dựa vào 1 số đặc điểm nhận dạng. Nếu hacker làm cho các đặc điểm nhận dạng không còn tồn tại trên mã độc thì AV sẽ không thể nhận ra.

Điều tương tự đã được làm với điện thoại root. Các đối tượng lừa đảo sẽ tìm cách che dấu, thay đổi các đặc điểm điện thoại bị root để các thuật toán của app ngân hàng không thể nhận ra nữa. Kết quả là mặc dù điện thoại bị root nhưng app ngân hàng vẫn chạy.

Đây là cuộc chiến giữa con người và con người, sẽ không có hồi kết. Các kỹ thuật “phòng thủ” sẽ tìm cách để phát hiện ra dấu hiệu mới của các kỹ thuật “tấn công”. Ngược lại, những kẻ “tấn công” sẽ tìm ra cách để qua mặt (bypass) các kỹ thuật phòng thủ.

Xây dựng kho dữ liệu về các tài khoản lừa đảo

Theo chuyên gia an ninh mạng Trần Minh Quảng, hiện tại, trong các phương thức xác thực, sử dụng sinh trắc học là khó giả mạo nhất, có mức độ bảo mật cao nhất. Tuy nhiên một vài thủ pháp tinh vi vẫn có thể “qua mặt” hệ thống do hạn chế nhất định.

Độ chính xác của việc nhận diện khuôn mặt phụ thuộc vào công nghệ camera được sử dụng trên thiết bị. Camera ứng dụng công nghệ càng cao, có độ phân giải và cảm biến hình ảnh càng tốt sẽ cho chất lượng xác thực khuôn mặt chính xác. Ngược lại, thiết bị di động đời càng thấp sẽ càng dễ dàng bị “qua mặt” bởi các thủ tháp đánh lừa.

Ngoài ra, sinh trắc học được kiểm tra dựa trên thông tin khuôn mặt trên căn cước công dân. Trong trường hợp ảnh thẻ trên căn cước công dân không rõ nét, các dấu hiệu nhận diện như nốt ruồi, vết sẹo… không thể hiện rõ trên ảnh căn cước cũng tạo nên lỗ hổng trong quá trình xác thực.

Một vài nghiên cứu cho thấy, khi sử dụng tượng sáp mang khuôn mặt giống hệt người dùng để xác thực khuôn mặt, tính chất về chiều sâu của vật thể có khả năng “qua mặt” hệ thống. Tuy nhiên, tỷ lệ dùng các thủ thuật và vượt qua được hệ thống xác thực rất hy hữu.

Để tránh việc việc bị các đối tượng xâm nhập, chiếm dụng thiết bị và tài sản, chuyên gia khuyên mọi người chỉ nên truy cập các hệ thống liên quan đến tài chính từ những thiết bị an toàn. Các thiết bị đáng tin cậy có thể kể đến như điện thoại không tải ứng dụng ngoài Appstore, CH Play hay máy tính, laptop không sử dụng các phần mềm crack, không chính thống.

Sau vài tháng, người dùng nên tự đổi mật khẩu các tài khoản và không để trùng lặp với mật khẩu trước đó, tránh trường hợp thông tin trước đó đã bị đánh cắp. Ngoài ra, nếu có nhu cầu thực hiện giao dịch qua các trang web, cần đảm bảo vào đúng trang web của ngân hàng có dấu tích xanh.

Với các hình thức liên quan đến sinh trắc học, lời khuyên tốt nhất là không công khai các hình ảnh cá nhân. Ví dụ khi đăng hình lên Facebook, chúng ta chỉ nên để ở chế độ bạn bè. Còn với những trường hợp bắt buộc công khai hình ảnh thì rất khó tránh những rủi ro về việc bị lợi dụng cho những mục đích xấu.

Ông Phạm Anh Tuấn – Vụ trưởng Vụ Thanh toán, Ngân hàng Nhà nước cho biết, tội phạm công nghệ ngày càng gia tăng đòi hỏi ý thức của tổ chức trong việc đầu tư công nghệ nhằm nâng cao bảo mật và bảo vệ khách hàng. Chúng ta dùng AI để phát triển sản phẩm thì tội phạm cũng lợi dụng AI vào các hoạt động phạm tội. Trong vụ án trên, có tình trạng một số ứng dụng của các tổ chức cung ứng dịch vụ chưa đáp ứng được bảo mật cao nhất, chứng chỉ quốc tế về định danh điện tử – eKYC.

“Sau khi cơ quan công an phát hiện các đối tượng lừa đảo, Ngân hàng Nhà nước đã chấn chỉnh những tổ chức cung ứng dịch vụ liên quan. Tới đây, Ngân hàng Nhà nước sẽ quy định dừng cung cấp dịch vụ trên môi trường trực tuyến nếu tổ chức cung ứng không đáp ứng các tiêu chuẩn quốc tế. Cuộc chiến với tội phạm mạng là cuộc chiến không điểm dừng, do vậy đòi hỏi các tổ chức cung ứng cần phải quan tâm” – ông Tuấn nói.

Để ngăn ngừa tài khoản giả mạo, lừa đảo, lãnh đạo Vụ Thanh toán cho hay đã có quy định các tổ chức tín dụng phải gửi thông tin về tài khoản nghi ngờ gian lận về Ngân hàng Nhà nước để thực hiện dự án xây dựng kho dữ liệu nghi ngờ nhằm chia sẻ lại cho các tổ chức tín dụng. Tới nay, kho dữ liệu đã thu thập được trên 350.000 tài khoản nghi ngờ và sẽ được chia sẻ lại cho các tổ chức tín dụng theo tinh thần đơn vị nào gửi thông tin về Ngân hàng Nhà nước sẽ được chia sẻ lại.