Lừa đảo 'Sếp giả' bằng AI deepfake đang thúc đẩy gian lận kỹ thuật số tăng 40% – và ngân hàng của bạn bất lực

Gian lận kỹ thuật số không chỉ trở nên phổ biến hơn – mà nó còn trở nên khó phát hiện hơn về mặt cơ bản. Mức tăng 40% hàng năm của gian lận hầu như hoàn toàn do các công cụ AI tạo sinh thúc đẩy, cho phép tội phạm sao chép giọng nói, tạo video tổng hợp và xây dựng danh tính giả chỉ với khoảng 20 USD và 30 phút thực hiện.

Điều này không phải là chuyện xa vời. Vào năm 2024, một nhân viên tài chính của tập đoàn Arup (Anh) tham gia một cuộc gọi video với người trông như và nói giống hệt CFO của công ty cùng một số đồng nghiệp. Tất cả mọi người trên màn hình đó đều là deepfake do AI tạo ra. Công ty đã chấp thuận chuyển khoảng 25 triệu USD.

Những vụ lừa đảo 'Boss Scam' – nơi kẻ gian mạo danh CEO, giám đốc điều hành hoặc thành viên gia đình – hiện đang là loại hình gian lận phát triển nhanh nhất trong lĩnh vực dịch vụ tài chính. Chúng khai thác một điểm yếu chí tử: các hệ thống xác minh danh tính mà ngân hàng và doanh nghiệp đã dựa vào trong một thập kỷ nay không còn đủ khả năng chống đỡ.

Nguyên nhân nào thúc đẩy gian lận kỹ thuật số tăng 40% mỗi năm?

Sự gia tốc này có ba nguyên nhân chính:

AI tạo sinh đã trở thành hàng hóa. Các công cụ tạo video siêu thực, sao chép giọng nói và sinh tài liệu giả hiện có sẵn trên thị trường và có thể truy cập bởi những người có rất ít kỹ năng kỹ thuật. Các bộ dụng cụ phá vỡ hệ thống xác minh KYC bằng deepfake có giá khoảng 20 USD và mất 30 phút để triển khai. Sao chép giọng nói chỉ cần ba giây âm thanh – thường được lấy từ mạng xã hội, cuộc gọi thu nhập (earnings calls) hoặc các cuộc họp đã được ghi âm – để tạo ra bản sao có độ chính xác 85%.

Tự động hóa ở quy mô công nghiệp. Gian lận đang chuyển từ các đòn tấn công đơn lẻ giá trị cao sang các cuộc tấn công tự động dựa trên số lượng lớn. Các vụ lừa đảo mạo danh đã tăng hơn 1.400% chỉ trong năm 2025. Sự thay đổi này rõ rệt đến mức số lượng nạn nhân đang tăng lên ngay cả khi tổng thiệt hại không đổi – dấu hiệu của một hệ thống gian lận tự động hóa, AI hóa đã được tối ưu hóa cho số lượng lớn.

Gian lận danh tính tổng hợp. Loại hình này đã khiến ngành dịch vụ tài chính toàn cầu thiệt hại ước tính 22 tỷ USD trong năm 2024, 31 tỷ USD trong năm 2025, và dự kiến sẽ vượt quá 40 tỷ USD vào năm 2026 – với công nghệ deepfake là động lực chính. Các vụ gian lận tinh vi sử dụng danh tính do AI tạo ra đã tăng 180% so với cùng kỳ năm ngoái.

Deepfake hiện chiếm 11% tổng số hoạt động gian lận toàn cầu, theo dữ liệu tổng hợp của Vectra AI. Gian lận danh tính bằng deepfake đang trên đà tăng 495% trong năm 2026 so với năm 2025. Riêng lĩnh vực dịch vụ tài chính đã chứng kiến sự gia tăng 2.137% các nỗ lực gian lận deepfake kể từ năm 2022.

'Boss Scam' – Cách kẻ gian dùng AI nhái giọng nói và video tổng hợp để chiếm đoạt tiền

Trong một vụ 'Boss Scam', kẻ gian mạo danh một lãnh đạo cấp cao – CEO, giám đốc điều hành hoặc CFO – để lừa các bộ phận tài chính phê duyệt các khoản chuyển tiền khẩn cấp. Các kỹ thuật được sử dụng gồm:

Sao chép giọng nói bằng AI. Tội phạm sử dụng một mẫu âm thanh ngắn (thường lấy từ các cuộc gọi công bố kết quả kinh doanh, các cuộc họp đã ghi âm hoặc clip trên mạng xã hội) để tổng hợp một giọng nói thuyết phục. Giọng nói đã được sao chép được sử dụng trong các cuộc gọi điện thoại hoặc tin nhắn thoại chỉ đạo cấp dưới chuyển tiền. Vào tháng 1 năm 2026, một doanh nhân Thụy Sĩ đã mất vài triệu franc Thụy Sĩ sau một loạt cuộc gọi điện thoại sử dụng giọng nói do AI sao chép mạo danh một đối tác kinh doanh đáng tin cậy.

Cuộc gọi video deepfake. Vụ việc của Arup là ví dụ nổi tiếng nhất, nhưng không phải là cá biệt. Vào tháng 3 năm 2025, một giám đốc tài chính tại Singapore đã chấp thuận chuyển khoảng 42 triệu USD sau khi nhận được hướng dẫn từ một người trông giống hệt CFO của công ty trong một cuộc gọi video. Những kẻ tấn công đã sử dụng các bản sao video và âm thanh do AI tạo ra của CFO và các giám đốc điều hành khác.

Mạo danh người thân trong tình huống khẩn cấp. Một biến thể song song sử dụng công nghệ sao chép giọng nói để mạo danh người thân – thường là con cái hoặc cháu – báo rằng họ đang gặp tai nạn xe hơi, bị bắt cóc, tai nạn y tế để yêu cầu thanh toán khẩn cấp. Thiệt hại được ghi nhận từ các vụ lừa đảo deepfake mạo danh người thân khẩn cấp đã vượt quá 5 triệu USD.

Chiến thuật đa kênh. Kẻ lừa đảo sử dụng WhatsApp, email, Microsoft Teams và các cuộc gọi điện thoại để tạo ra cảm giác có thẩm quyền và khẩn cấp. Chúng thường nghiên cứu thông tin công khai để làm cho việc mạo danh trở nên thuyết phục hơn, và gây áp lực lên nạn nhân bằng sự khẩn cấp và yêu cầu bảo mật. Vào tháng 7 năm 2026, các công tố viên liên bang Hoa Kỳ đã truy tố 14 bị cáo trong một vụ lừa đảo deepfake trị giá 47 triệu USD nhắm vào hơn 1.200 người cao tuổi, mạo danh nhân viên ngân hàng và thành viên gia đình.

Tại sao hệ thống xác minh danh tính của ngân hàng đang thất bại

Các ngân hàng và công ty fintech đã dành cả thập kỷ qua để xây dựng hệ thống xác minh danh tính từ xa dựa trên một mô hình đơn giản: xuất trình giấy tờ tùy thân, chụp ảnh tự sướng, có thể kiểm tra sinh trắc học nhanh. Vào năm 2026, mô hình đó đang thất bại một cách có thể đo lường được.

Xác minh KYC bằng giấy tờ + ảnh tự sướng đang bị đánh bại. Phương thức xác minh tiêu chuẩn này bị đánh bại bởi các công cụ hoán đổi khuôn mặt và tiêm mã camera. Các cuộc tấn công tiêm mã – nơi kẻ tấn công đưa video deepfake đã ghi sẵn trực tiếp vào luồng camera trực tiếp – đã tăng 783% chỉ trong năm 2024. Hoán đổi khuôn mặt deepfake vượt qua các kiểm tra sinh trắc học tiêu chuẩn 58% số lần.

Danh tính tổng hợp vượt qua quá trình đăng ký. Kẻ gian thay đổi ảnh trên giấy tờ tùy thân bị mất hoặc bị đánh cắp và sử dụng deepfake để vượt qua các quy trình xác minh từ xa. Sau đó, chúng mở tài khoản được sử dụng cho các khoản vay, gian lận thẻ tín dụng và rửa tiền. Cứ 100 lần xác minh thì có một lần liên quan đến một số dạng deepfake.

Tấn công tiêm mã và phát lại đã trở thành hàng hóa. Kẻ tấn công sử dụng các công cụ như OBS Virtual Camera hoặc trình điều khiển tùy chỉnh để đưa một luồng video đã ghi sẵn hoặc do AI tạo vào một phiên xác minh. Phần mềm này hiện được bán như một mặt hàng thông thường.

Quy mô quá lớn. Các nỗ lực gian lận deepfake tại Hoa Kỳ đã tăng 1.100% chỉ trong quý 1 năm 2025. Ước tính 85% các vụ gian lận danh tính hiện sử dụng các công cụ AI tạo sinh. Báo cáo Gian lận Danh tính 2026 của Entrust cho thấy deepfake có liên quan đến 1/5 nỗ lực gian lận sinh trắc học, và số lượng ảnh selfie bị deepfake đã tăng 58% trong năm 2025.

Cảnh báo của SEBI về 'Boss Scam' (Tháng 7 năm 2026)

Ủy ban Chứng khoán và Giao dịch Ấn Độ (SEBI) đã ban hành một khuyến cáo chính thức vào ngày 17 tháng 7 năm 2026 (Thông cáo báo chí số 40/2026) cảnh báo tất cả các công ty niêm yết và các tổ chức được quản lý về 'Boss Scam'. Những điểm chính từ khuyến cáo:

• SEBI tuyên bố những kẻ lừa đảo đang triển khai công nghệ sao chép giọng nói bằng deepfake và các cuộc gọi video do AI tạo ra để mạo danh các giám đốc điều hành cấp cao và lừa các bộ phận tài chính chuyển tiền.
• Khuyến cáo được đưa ra sau các cảnh báo từ Trung tâm Điều phối Tội phạm Mạng Ấn Độ (I4C).
• SEBI yêu cầu các công ty thực hiện các quy trình xác minh chặt chẽ hơn cho tất cả các khoản chuyển tiền, bao gồm xác nhận qua kênh riêng biệt (ví dụ: gọi lại cho người đó qua số điện thoại đã biết và đã được xác minh độc lập) và phê duyệt bởi nhiều người đối với các khoản thanh toán trên một ngưỡng nhất định.
• Cơ quan quản lý cảnh báo rằng những kẻ lừa đảo nghiên cứu thông tin công khai để tạo ra những vụ mạo danh thuyết phục và thường gây áp lực lên nạn nhân bằng sự khẩn cấp và bảo mật giả tạo.

Khuyến cáo của SEBI là một phần của một xu hướng rộng lớn hơn. Trong quý 4 năm 2025, Mạng lưới Thực thi Tội phạm Tài chính Hoa Kỳ (FinCEN) đã ban hành một khuyến cáo cảnh báo các tổ chức tài chính về việc sử dụng deepfake trong gian lận danh tính. Nghị viện châu Âu, INTERPOL và nhiều cơ quan quản lý quốc gia khác cũng đã đưa ra các cảnh báo tương tự.

Các doanh nghiệp cần làm gì ngay lúc này?

Các chuyên gia an ninh và cơ quan quản lý luôn khuyến nghị cùng một bộ biện pháp kiểm soát:

• Xác minh qua kênh riêng biệt (Out-of-band verification). Đừng bao giờ phê duyệt một lệnh chuyển tiền chỉ dựa trên một cuộc gọi điện thoại, cuộc gọi video hoặc email. Hãy gọi lại cho người đó qua một số điện thoại đã biết và đã được xác minh độc lập – không phải số điện thoại đã gọi cho bạn.
• Phê duyệt bởi nhiều người. Yêu cầu ít nhất hai người phê duyệt các khoản thanh toán trên một ngưỡng nhất định.
• Hạn mức giao dịch. Đặt hạn mức giao dịch hàng ngày hoặc mỗi lần giao dịch yêu cầu phải được cấp trên phê duyệt.
• Đào tạo nhân viên. Các đội ngũ tài chính cần biết rằng một giọng nói hoặc khuôn mặt quen thuộc trong một cuộc gọi không còn là bằng chứng đáng tin cậy về danh tính nữa.
• KYC liên tục (Continuous KYC). Mô hình 'xác minh một lần khi đăng ký' cũ là không đủ. Việc giám sát liên tục danh tính và hành vi đang trở nên cần thiết.

Như một nhà quan sát trong ngành đã nhận xét: "Niềm tin đang bị vũ khí hóa trong kỷ nguyên kỹ thuật số. Với công nghệ sao chép giọng nói, deepfake và các nền tảng gian lận dưới dạng dịch vụ trở nên dễ dàng tiếp cận, các nhà điều tra cần các nền tảng pháp y tích hợp, chia sẻ thông tin tình báo theo thời gian thực và các khuôn khổ bằng chứng mới."

Thông điệp rất đơn giản nhưng khó chịu: những tín hiệu cảm quan mà chúng ta đã luôn dựa vào để biết mình đang nói chuyện với ai – một giọng nói quen thuộc, một khuôn mặt dễ nhận ra – không còn đáng tin cậy nữa. Các tổ chức cần xây dựng các quy trình xác minh dựa trên giả định rằng mọi kênh liên lạc đều có thể đã bị xâm phạm.