Khi mắt thấy, tai nghe vẫn chưa chắc là thật

Nhận diện thủ đoạn lừa đảo bằng công nghệ Deepfake

Một cuộc gọi video bất ngờ xuất hiện. Trên màn hình là khuôn mặt của người thân, giọng nói quen thuộc, nét mặt có vẻ lo lắng: “Con đang gặp sự cố, cần chuyển tiền gấp”. Cuộc gọi chỉ kéo dài vài giây rồi bị ngắt với lý do sóng yếu. Ngay sau đó, một số tài khoản lạ được gửi đến, kèm theo lời thúc giục: “Chuyển ngay, đừng gọi lại vì đang rất nguy hiểm”.

Trong tình huống khác, một nhân viên nhận được tin nhắn và đoạn ghi âm có giọng nói giống lãnh đạo, yêu cầu thanh toán gấp một hợp đồng “bí mật”. Hình ảnh đúng, giọng nói giống, cách xưng hô quen thuộc, nhưng người đưa ra yêu cầu chưa chắc là người thật.

Đó là những kịch bản mà tội phạm có thể tạo dựng bằng Deepfake – công nghệ sử dụng trí tuệ nhân tạo để giả mạo khuôn mặt, giọng nói, hình ảnh hoặc video của một người. Trong kỷ nguyên AI, “thấy mặt” và “nghe đúng giọng” không còn là căn cứ đủ tin cậy để xác định danh tính.

Deepfake là gì?

Deepfake được ghép từ “deep learning” – học sâu và “fake” – giả mạo. Hiểu một cách đơn giản, đây là công nghệ sử dụng trí tuệ nhân tạo để phân tích dữ liệu thật của một người, sau đó tạo ra hình ảnh, âm thanh hoặc video mô phỏng người đó với mức độ chân thực ngày càng cao.

Để thực hiện hành vi giả mạo, đối tượng có thể thu thập hình ảnh, video và giọng nói từ những nguồn rất gần gũi như:

- Tài khoản Facebook, Zalo, TikTok và các nền tảng mạng xã hội.

- Video livestream, clip phỏng vấn hoặc cuộc trò chuyện công khai.

- Hình ảnh cá nhân, gia đình được chia sẻ trên mạng.

- Đoạn ghi âm, tin nhắn thoại hoặc dữ liệu bị lộ lọt.

- Tài khoản mạng xã hội đã bị chiếm quyền sử dụng.

Từ những dữ liệu này, công cụ AI có thể tạo giọng nói giống người thật, ghép khuôn mặt vào video, đồng bộ khẩu hình hoặc xây dựng một cuộc gọi giả mạo. Đối tượng không nhất thiết phải tạo ra một video hoàn hảo. Chúng chỉ cần khiến nạn nhân tin trong vài chục giây – đủ để chuyển tiền, cung cấp mã OTP, bấm vào đường link độc hại hoặc cài đặt ứng dụng giả mạo.

Bộ Công an cảnh báo hình ảnh, giọng nói và video không còn là căn cứ đủ tin cậy để xác thực danh tính; Deepfake thường được kết hợp với kịch bản tạo áp lực thời gian nhằm khiến nạn nhân bỏ qua bước kiểm chứng.

Deepfake không chỉ làm giả hình ảnh mà còn khai thác niềm tin

Điểm nguy hiểm nhất của Deepfake không nằm ở công nghệ, mà ở khả năng tác động trực tiếp vào tâm lý con người.

Khi nhìn thấy khuôn mặt người thân, nghe được giọng nói của lãnh đạo hoặc thấy hình ảnh một người nổi tiếng, nhiều người có xu hướng tin ngay mà không kiểm tra lại. Đối tượng thường kết hợp hình ảnh giả với những trạng thái cảm xúc mạnh như lo sợ, thương cảm, tham lợi hoặc áp lực phải hành động thật nhanh.

Một kịch bản lừa đảo Deepfake thường được thực hiện qua bốn bước:

Bước 1 – Thu thập dữ liệu: Đối tượng tìm kiếm hình ảnh, giọng nói, thông tin quan hệ gia đình, nơi làm việc và thói quen sinh hoạt của nạn nhân.

Bước 2 – Tạo danh tính giả: Công nghệ AI được sử dụng để tạo video, ảnh hoặc giọng nói giống người cần mạo danh.

Bước 3 – Dựng tình huống khẩn cấp: Đối tượng đưa ra lý do như bị tai nạn, đang cấp cứu, bị cơ quan chức năng làm việc, cần thanh toán hợp đồng hoặc cần vay tiền gấp.

Bước 4 – Chiếm đoạt tài sản hoặc dữ liệu: Nạn nhân bị yêu cầu chuyển tiền, cung cấp mật khẩu, mã OTP, quét mã QR, bấm vào đường link hoặc cài đặt ứng dụng do đối tượng chỉ định.

Như vậy, Deepfake chỉ là phương tiện tạo lòng tin. Mục tiêu cuối cùng vẫn thường là tiền, tài khoản, dữ liệu cá nhân hoặc quyền kiểm soát thiết bị.

Những kịch bản giả mạo thường gặp

1. Giả mạo người thân gặp sự cố

Đối tượng tạo cuộc gọi có khuôn mặt hoặc giọng nói giống con, cháu, vợ, chồng hay người thân của nạn nhân; thông báo đang bị tai nạn, cấp cứu, mất điện thoại hoặc cần tiền giải quyết công việc khẩn cấp.

Để tăng tính thuyết phục, một đối tượng khác có thể giả danh bác sĩ, giáo viên, bạn học hoặc đồng nghiệp, yêu cầu gia đình chuyển tiền ngay vào một tài khoản lạ.

2. Giả mạo lãnh đạo, đồng nghiệp hoặc đối tác

Đối tượng xâm nhập tài khoản email, Zalo hoặc mạng xã hội, sau đó kết hợp giọng nói, hình ảnh giả để yêu cầu nhân viên kế toán chuyển tiền, thay đổi tài khoản nhận thanh toán hoặc thực hiện một giao dịch “không được tiết lộ”.

Kịch bản thường xuất hiện vào thời điểm lãnh đạo đang đi công tác, ngoài giờ hành chính hoặc khi nhân viên khó liên hệ trực tiếp để xác minh.

3. Giả danh cơ quan Công an, Viện kiểm sát, Tòa án

Đối tượng sử dụng hình ảnh, trang phục, phông nền hoặc video giả mạo cán bộ cơ quan nhà nước, thông báo nạn nhân liên quan đến vụ án hình sự, ma túy, rửa tiền hoặc nợ ngân hàng.

Sau khi gây hoảng loạn, chúng yêu cầu nạn nhân giữ bí mật, cắt liên lạc với gia đình, cài ứng dụng, chia sẻ màn hình hoặc chuyển tiền vào “tài khoản an toàn”, “tài khoản phục vụ điều tra”.

Cơ quan Công an không làm việc với công dân bằng hình thức yêu cầu chuyển tiền qua điện thoại hoặc mạng xã hội; không yêu cầu người dân chuyển tiền để phục vụ điều tra, xác minh.

4. Giả mạo chuyên gia, người nổi tiếng để lôi kéo đầu tư

Hình ảnh và giọng nói của người nổi tiếng, doanh nhân hoặc chuyên gia tài chính có thể bị ghép vào video quảng cáo cho sàn đầu tư, dự án tiền số, khóa học làm giàu hay chương trình tặng quà.

Nạn nhân được dẫn vào nhóm kín, nhìn thấy nhiều tài khoản liên tục khoe lợi nhuận rồi bị thuyết phục chuyển tiền. Những tài khoản “đầu tư thành công” trong nhóm cũng có thể do chính các đối tượng điều khiển.

5. Cắt ghép hình ảnh nhạy cảm để đe dọa, tống tiền

Đối tượng lấy ảnh chân dung công khai, ghép vào hình ảnh hoặc video nhạy cảm rồi gửi cho nạn nhân, đe dọa phát tán cho gia đình, đồng nghiệp và cơ quan nếu không chuyển tiền.

Trong trường hợp này, việc chuyển tiền không làm sự việc chấm dứt. Đối tượng thường tiếp tục yêu cầu thêm tiền vì biết nạn nhân đang lo sợ và muốn che giấu.

6. Tạo phát ngôn giả để bôi nhọ hoặc gây hoang mang

Deepfake còn có thể bị sử dụng để tạo video giả mạo phát ngôn của cá nhân, lãnh đạo, cơ quan hoặc tổ chức; xuyên tạc sự việc, kích động dư luận, làm tổn hại danh dự và uy tín.

Người sử dụng mạng xã hội nếu chia sẻ nội dung chưa được kiểm chứng có thể vô tình giúp thông tin giả lan truyền nhanh hơn và gây hậu quả lớn hơn.

Nhận diện bằng cách nào khi hình ảnh giả ngày càng giống thật?

Một số sản phẩm Deepfake có thể xuất hiện dấu hiệu bất thường như khẩu hình không khớp với lời nói, ánh sáng trên khuôn mặt thiếu tự nhiên, giọng nói đều hoặc ngắt quãng, nét mặt ít biểu cảm, hình ảnh bị nhòe khi quay đầu. Tuy nhiên, công nghệ đang thay đổi nhanh và những dấu hiệu này ngày càng khó nhận biết bằng mắt thường.

Vì vậy, không nên chỉ cố tìm “lỗi kỹ thuật” trong video. Cách nhận diện hiệu quả hơn là xem xét toàn bộ bối cảnh và yêu cầu của người gọi.

Cần đặc biệt cảnh giác khi xuất hiện một hoặc nhiều dấu hiệu sau:

- Cuộc gọi diễn ra rất ngắn rồi bị ngắt với lý do mất sóng, hỏng camera hoặc hết pin;

- Người gọi liên tục thúc giục, tạo cảm giác phải quyết định ngay;

- Yêu cầu giữ bí mật, không được gọi cho người thân hoặc đồng nghiệp;

- Yêu cầu chuyển tiền đến tài khoản không đúng tên người đang gọi;

- Yêu cầu cung cấp mật khẩu, mã OTP, mã PIN hoặc thông tin thẻ ngân hàng;

- Gửi đường link, mã QR hoặc yêu cầu cài ứng dụng ngoài kho ứng dụng chính thức;

- Từ chối trả lời câu hỏi riêng chỉ hai bên biết;

- Không đồng ý để gọi lại bằng số điện thoại quen thuộc hoặc xác minh qua kênh khác;

- Nội dung giao dịch khác với quy trình bình thường của gia đình, cơ quan hoặc doanh nghiệp.

Điều cần nhớ là ngay cả khi hình ảnh trong cuộc gọi hoàn toàn là thật, tài khoản của người quen vẫn có thể đã bị chiếm quyền. Vì vậy, bất kỳ yêu cầu bất thường nào liên quan đến tiền, dữ liệu hoặc tài khoản đều phải được xác minh độc lập.

Gặp cuộc gọi nghi giả mạo: Thực hiện ngay bốn bước

Bước 1: Dừng lại

Không chuyển tiền, không cung cấp thông tin, không bấm đường link và không cài đặt ứng dụng. Hãy chủ động kết thúc cuộc gọi để thoát khỏi áp lực tâm lý do đối tượng tạo ra.

Việc chậm lại vài phút để kiểm tra có thể giúp tránh mất tài sản và ngăn đối tượng kiểm soát thiết bị.

Bước 2: Kiểm tra bằng kênh độc lập

Gọi lại vào số điện thoại đã lưu từ trước, không gọi theo số do đối tượng cung cấp. Có thể liên hệ với người thân đang ở gần người bị mạo danh hoặc kiểm tra qua một kênh liên lạc khác.

Đối với cơ quan, doanh nghiệp, mọi yêu cầu chuyển tiền hoặc thay đổi tài khoản thanh toán phải được kiểm tra theo quy trình nội bộ, không chỉ xác nhận bằng tin nhắn, giọng nói hay video call.

Mỗi gia đình có thể thống nhất trước một câu hỏi hoặc “mật khẩu an toàn” để xác minh khi xảy ra tình huống khẩn cấp. Không đăng tải mật khẩu này trên mạng xã hội.

Bước 3: Lưu giữ chứng cứ

Chụp màn hình tài khoản liên hệ, số điện thoại, nội dung tin nhắn, số tài khoản nhận tiền, đường link, mã QR và thời gian diễn ra sự việc. Không tiếp tục tranh luận, khiêu khích hoặc làm theo hướng dẫn của đối tượng.

Nếu đã cài đặt ứng dụng lạ, cần ngắt kết nối mạng của thiết bị và nhờ người có chuyên môn kiểm tra; không tự ý tiếp tục đăng nhập vào tài khoản ngân hàng trên thiết bị có nguy cơ bị kiểm soát.

Bước 4: Báo tin và ngăn chặn giao dịch

Nếu đã chuyển tiền, cần liên hệ ngay với ngân hàng để thông báo giao dịch có dấu hiệu lừa đảo và đề nghị hỗ trợ xử lý. Đồng thời, trình báo cơ quan Công an gần nhất, cung cấp đầy đủ thông tin và chứng cứ đã lưu giữ.

Cần báo cáo tài khoản giả mạo với nền tảng mạng xã hội, đồng thời thông báo cho người thân, bạn bè hoặc đồng nghiệp để tránh phát sinh thêm nạn nhân.

Chủ động bảo vệ mình trước khi Deepfake xuất hiện

Deepfake càng có nhiều dữ liệu thật thì càng dễ tạo ra sản phẩm giả mạo thuyết phục. Vì vậy, bảo vệ dữ liệu cá nhân chính là biện pháp phòng ngừa từ sớm.

Mỗi người cần:

- Hạn chế công khai số điện thoại, ngày sinh, địa chỉ, lịch trình, thông tin con cái và quan hệ gia đình;

- Không đăng ảnh căn cước, hộ chiếu, vé máy bay, thẻ ngân hàng hoặc giấy tờ có mã QR;

- Cân nhắc trước khi tải ảnh khuôn mặt, giọng nói hoặc giấy tờ cá nhân lên ứng dụng AI không rõ đơn vị cung cấp;

- Thiết lập quyền riêng tư cho tài khoản mạng xã hội;

- Sử dụng mật khẩu mạnh, không dùng chung một mật khẩu cho nhiều tài khoản;

- Kích hoạt xác thực hai lớp cho email, mạng xã hội và các tài khoản quan trọng;

- Không gửi mã OTP, mật khẩu hoặc mã khôi phục cho bất kỳ ai;

- Thống nhất quy trình xác minh giao dịch trong gia đình, cơ quan và doanh nghiệp;

- Thường xuyên hướng dẫn trẻ em, người cao tuổi nhận diện cuộc gọi giả mạo.

Sử dụng AI giả mạo người khác là hành vi bị nghiêm cấm

Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/7/2026, nghiêm cấm hành vi sử dụng trí tuệ nhân tạo hoặc công nghệ mới để giả mạo video, hình ảnh, giọng nói của người khác trái pháp luật; đồng thời tăng cường bảo vệ danh tính số và dữ liệu cá nhân.

Luật Trí tuệ nhân tạo số 134/2025/QH15 cũng đặt ra yêu cầu minh bạch đối với nội dung do AI tạo ra, nghiêm cấm việc lợi dụng AI để lừa dối, thao túng nhận thức, xâm phạm quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc gây nguy hại đến an ninh quốc gia, trật tự, an toàn xã hội.

Tùy theo tính chất, mức độ và hậu quả, người sử dụng Deepfake để lừa đảo, vu khống, làm nhục, tống tiền, xâm phạm dữ liệu cá nhân hoặc gây mất an ninh, trật tự có thể bị xử lý theo quy định của pháp luật.

Khuyến cáo của Công an tỉnh Tây Ninh

Công an tỉnh Tây Ninh đề nghị người dân không vội tin vào hình ảnh, giọng nói hoặc video xuất hiện trên điện thoại và mạng xã hội, nhất là khi kèm theo yêu cầu chuyển tiền, cung cấp dữ liệu hoặc thực hiện một việc bất thường.

Hãy luôn ghi nhớ:

• Không chuyển tiền chỉ dựa vào một cuộc gọi hoặc video call;

• Không cung cấp mật khẩu, mã OTP và thông tin tài khoản;

• Không bấm đường link, quét mã QR hoặc cài ứng dụng theo hướng dẫn của người lạ;

• Không giữ bí mật với gia đình khi đang bị đe dọa, gây áp lực;

• Không chia sẻ nội dung nghi giả mạo khi chưa kiểm chứng;

• Luôn xác minh bằng một kênh liên lạc độc lập trước khi hành động.

Sự phát triển của trí tuệ nhân tạo mang lại nhiều lợi ích, nhưng cũng làm thay đổi cách tội phạm tạo dựng lòng tin và tiếp cận nạn nhân. Trong môi trường số hiện nay, điều quan trọng không phải là nghi ngờ tất cả mọi người, mà là hình thành thói quen kiểm chứng trước những yêu cầu liên quan đến tiền, dữ liệu và danh tính./.

Minh Long