Bảo mật sinh trắc học cần được quản lý chủ động | Vượt xa khả năng hoạt động tĩnh

Các mối đe dọa đối với việc xác minh danh tính từ xa đã thay đổi về cơ bản. Điều từng là thách thức của việc phát hiện ảnh in được đưa lên trước máy ảnh nay đã phát triển thành một cuộc tấn công quy mô công nghiệp được hỗ trợ bởi trí tuệ nhân tạo tạo sinh , mạng lưới tội phạm dưới dạng dịch vụ (Crime-as-a-Service) và các công cụ chèn dữ liệu kỹ thuật số tinh vi .

Các phương pháp xác thực truyền thống – chẳng hạn như mã xác thực một lần – đang dần lỗi thời. Xác minh sinh trắc học khuôn mặt đã nổi lên như một trong những phương pháp bảo mật nhất để các tổ chức xác minh danh tính người dùng trực tuyến. Tuy nhiên, không phải tất cả các hệ thống sinh trắc học đều được trang bị để đối phó với các mối đe dọa mà các tổ chức đang phải đối mặt hiện nay.

Triển khai xác thực sinh trắc học mà không nắm rõ sự phát triển của các mối đe dọa cũng giống như xây dựng hệ thống phòng thủ mà không hiểu mình đang phòng thủ trước cái gì. Để hiệu quả, các giải pháp phải có khả năng thích ứng với bối cảnh mối đe dọa đang thay đổi và được quản lý chủ động – chứ không chỉ đơn thuần là chống lại các hình thức giả mạo đã biết và được thiết lập.

Mức độ nguy hiểm: Những thông tin tình báo mới nhất về mối đe dọa tiết lộ điều gì?

Báo cáo Tình báo Mối đe dọa iProov 2025 , dựa trên những quan sát trực tiếp về hoạt động tội phạm trên toàn thế giới từ Trung tâm Điều hành An ninh (iSOC) của iProov, ghi nhận sự leo thang chưa từng có về mức độ tinh vi và quy mô của các cuộc tấn công.

Sự gia tăng mạnh mẽ các vụ tấn công hoán đổi khuôn mặt, sử dụng camera ảo và tấn công chèn mã độc kỹ thuật số.

• Các cuộc tấn công bằng camera ảo tự phát đã tăng 2.665% trong năm 2024, trở thành phương thức tấn công chính khi các công cụ này xâm nhập vào các cửa hàng ứng dụng phổ biến.
• Các cuộc tấn công đánh cắp khuôn mặt đã tăng vọt 300% so với năm 2023, với việc các tác nhân đe dọa nhắm mục tiêu cụ thể vào các hệ thống sử dụng giao thức phát hiện sự sống động.
• Chỉ với ba công cụ tấn công phổ biến, có thể tạo ra hơn 115.000 tổ hợp tấn công tiềm năng , điều này cho thấy tại sao việc kiểm thử tại một thời điểm nhất định không còn đủ nữa.
• Chỉ có 0,1% người tham gia nghiên cứu của iProov nhận diện chính xác tất cả nội dung deepfake và nội dung thật , chứng tỏ rằng khả năng phán đoán của con người đơn thuần không thể chống lại những mối đe dọa này.

Những con số này thể hiện một sự thay đổi cơ bản. Các cuộc tấn công đơn giản, do cá nhân thực hiện đã phát triển thành một thị trường phức tạp, đa tác nhân, nơi các công cụ tinh vi được mua, bán và triển khai bởi các đối tượng có kỹ năng thấp ở quy mô công nghiệp. Bạn có thể đọc thêm về cách thức hoạt động của hệ sinh thái tội phạm này trong phân tích của chúng tôi về mạng lưới Tấn công dưới dạng dịch vụ (Attack-as-a-Service) .

Chỉ triển khai kiểm tra trạng thái hoạt động tĩnh thôi là không còn đủ nữa.

Việc xác nhận sự hiện diện của người thật — tức là xác nhận có một người đang sống tại thời điểm chụp ảnh — vẫn rất cần thiết. Nhưng nó đã trở thành một tiêu chuẩn cơ bản, chứ không phải là yếu tố tạo nên sự khác biệt. Các mối đe dọa mà các tổ chức phải đối mặt ngày nay vượt xa những gì mà việc xác nhận sự hiện diện của người thật có thể giải quyết.

Cuộc thảo luận trong ngành đã chuyển hướng. Câu hỏi không còn là “bạn có tính năng phát hiện người thật không?” mà là “bạn có thể chứng minh người đó thực sự có mặt tại thời điểm chụp ảnh VÀ đánh bại các cuộc tấn công tinh vi vượt qua hoàn toàn camera — và bạn có thể tiếp tục làm điều đó khi các phương pháp tấn công mới xuất hiện không?”

Sự thay đổi này hiện đã được hệ thống hóa trong hai tiêu chuẩn mang tính bước ngoặt:

NIST SP 800-63-4: Tiêu chuẩn Liên bang mới của Hoa Kỳ

Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) đã ban hành NIST SP 800-63-4 — bản cập nhật đầu tiên cho Hướng dẫn Nhận dạng Kỹ thuật số kể từ năm 2017. Tiêu chuẩn mới này đưa ra các biện pháp kiểm soát cụ thể đối với các cuộc tấn công chèn mã độc và phương tiện truyền thông giả mạo, yêu cầu các hệ thống sinh trắc học ở Cấp độ Đảm bảo Nhận dạng 2 (IAL2) trở lên phải triển khai tính năng phát hiện tấn công giả mạo VÀ phân tích phương tiện truyền thông để tìm dấu hiệu của nội dung do AI tạo ra và deepfake.

iProov là nhà cung cấp giải pháp sinh trắc học đầu tiên và duy nhất được chứng nhận độc lập đáp ứng các yêu cầu này .

CEN/TS 18099: Tiêu chuẩn phát hiện tấn công chèn mã độc

CEN/TS 18099 là tiêu chuẩn kiểm thử đầu tiên được thiết kế đặc biệt để đánh giá khả năng của các hệ thống sinh trắc học trong việc phát hiện và vô hiệu hóa các mối đe dọa dựa trên phương pháp tiêm mã. iProov Dynamic Liveness là giải pháp đầu tiên và duy nhất đạt được cấp độ CEN/TS 18099 Cao (Cấp độ 4 của Ingenium) — cấp độ kiểm thử độc lập cao nhất — sau khi được đánh giá bởi Phòng thí nghiệm Sinh trắc học Ingenium được chứng nhận ISO/IEC 17025.

Trong hơn 40 ngày thử nghiệm, không có phương pháp tấn công chèn mã nào thành công được thiết lập chống lại hệ thống của iProov.

Những chứng nhận này rất quan trọng vì chúng chuyển cuộc thảo luận từ những lời quảng cáo hoa mỹ sang bằng chứng được xác minh độc lập và kiểm nghiệm trong phòng thí nghiệm. Tìm hiểu thêm về toàn bộ hệ thống chứng nhận của iProov tại đây .

Quản lý mối đe dọa chủ động giúp bảo vệ như thế nào trước các mối đe dọa đang phát triển và chưa được biết đến

Kiến trúc phòng thủ của iProov được xây dựng trên ba trụ cột liên kết chặt chẽ. Mỗi trụ cột củng cố lẫn nhau, và cùng nhau chúng tạo ra một mô hình bảo mật mà không một khả năng đơn lẻ nào có thể sánh kịp.

Trụ cột 1: iSOC — Hệ thống Tình báo Mối đe dọa Sinh trắc học đầu tiên trong ngành

Trung tâm điều hành an ninh iProov (iSOC) là hệ thống quản lý mối đe dọa chủ động và thu thập thông tin tình báo về mối đe dọa sinh trắc học toàn cầu đầu tiên trong ngành.

Thông qua iSOC, iProov giám sát lưu lượng truy cập theo thời gian thực để phát hiện các mô hình tấn công trên tất cả khách hàng, khu vực địa lý, thiết bị và nền tảng. Điều này mang lại khả năng giám sát và học hỏi liên tục từ các nguồn tấn công, mô hình và phương pháp tấn công — giúp hệ thống phòng thủ luôn đi trước bối cảnh mối đe dọa đang phát triển.

Tại sao điều này lại quan trọng?

Một khi các công cụ hoặc phương pháp tấn công xâm nhập thành công vào một hệ thống, chúng sẽ nhanh chóng được chia sẻ — thường là trên mạng đen hoặc trong các mạng lưới Tội phạm dưới dạng dịch vụ — và có thể lan rộng rất nhanh. Nếu không nắm được cách thức các cuộc tấn công đang phát triển, sẽ rất khó để ưu tiên các biện pháp phòng thủ hoặc hiểu được hành vi của kẻ tấn công đang thay đổi như thế nào.

Tại sao các nhà cung cấp khác không thể sao chép iSOC?

Không có nhà cung cấp công nghệ sinh trắc học nào khác vận hành hệ thống tương tự. Lý do nằm ở kiến ​​trúc: để vận hành một chiến dịch tình báo mối đe dọa toàn cầu về các cuộc tấn công sinh trắc học, bạn cần ba yếu tố cùng lúc:

1. Xác minh dựa trên nền tảng đám mây — để xem toàn bộ lưu lượng truy cập của tất cả khách hàng trong thời gian thực.
2. Một lượng khách hàng đủ lớn trải rộng trên các lĩnh vực đòi hỏi bảo mật cao — chính phủ, ngân hàng, cơ quan biên giới — để quan sát các mô hình tấn công đa dạng và tinh vi.
3. Một đội ngũ khoa học chuyên trách — gồm các nhà khoa học máy tính, tin tặc đạo đức và chuyên gia tình báo mối đe dọa, những người chuyển đổi thông tin tình báo thô thành các bản cập nhật phòng thủ.

Nếu thiếu một trong ba yếu tố này, nhà cung cấp sẽ thiếu khả năng quan sát (mô hình tại chỗ), thiếu sự đa dạng về các cuộc tấn công (cơ sở khách hàng nhỏ hoặc chỉ phục vụ một lĩnh vực), hoặc thiếu chuyên môn để hành động dựa trên những gì họ thấy.

iSOC cung cấp:

• Phát hiện theo thời gian thực: Các cuộc tấn công được phát hiện và điều tra ngay khi chúng xảy ra.
• Chia sẻ thông tin: Mọi khách hàng đều được hưởng lợi từ các cuộc tấn công được phát hiện nhắm vào bất kỳ khách hàng nào, trên tất cả các khu vực địa lý và lĩnh vực.
• Khả năng thích ứng liên tục: Các bản cập nhật bảo mật được triển khai trên toàn cầu mà không gây gián đoạn cho các tổ chức hoặc người dùng cuối.

94% các tổ chức đồng ý rằng đối tác bảo mật sinh trắc học nên cung cấp một dịch vụ có khả năng nâng cấp liên tục, chứ không chỉ là một sản phẩm phần mềm. iSOC là cách iProov thực hiện điều đó. Tìm hiểu thêm về lý do tại sao khả năng phòng thủ liên tục nâng cấp lại quan trọng trong thời đại AI .

Trụ cột 2: Xác minh dựa trên đám mây như một kiến ​​trúc bảo mật

Xác minh dựa trên đám mây không chỉ đơn thuần là một lựa chọn triển khai. Đó là một quyết định về bảo mật kiến ​​trúc, cho phép thực hiện các khả năng không thể có được trong các mô hình trên thiết bị hoặc tại chỗ.

Quá trình xác minh diễn ra trên đám mây, chứ không phải trên thiết bị. Nếu kẻ tấn công tìm cách xâm nhập thiết bị về mặt vật lý hoặc kỹ thuật số — ví dụ như bằng phần mềm tống tiền — thì quá trình xác minh vẫn không bị ảnh hưởng vì nó được tách biệt khỏi các lỗ hổng tiềm ẩn trên thiết bị.

Điện toán đám mây cung cấp sức mạnh cho iSOC. iProov giám sát và phân tích các cuộc tấn công trong thời gian thực vì quá trình xác thực diễn ra trên đám mây. Điều này mang lại khả năng hiển thị đầy đủ về môi trường thực thi — điều mà các giải pháp trên thiết bị đơn thuần không thể đạt được.

Các bản cập nhật được triển khai tức thì. Việc triển khai SDK dựa trên đám mây có nghĩa là các bản cập nhật bảo mật được triển khai ở phía máy chủ, mà không cần phải vá lỗi thủ công trên các thiết bị. Các biện pháp phòng vệ và thuật toán liên tục được cải tiến, khiến cho việc tấn công trở nên khó khăn hơn đáng kể.

Tính bảo mật của hệ thống sinh trắc học tại chỗ là cố định ngay từ khi xuất xưởng. Tuy nhiên, bối cảnh các mối đe dọa thì không. Tìm hiểu thêm về bảo mật sinh trắc học trên đám mây so với trên thiết bị .

Trụ cột 3: Flashmark — Dữ liệu sinh trắc học duy nhất cho mỗi phiên

Công nghệ Flashmark được cấp bằng sáng chế của iProov gửi một chuỗi màu sắc độc đáo, không thể đoán trước đến màn hình thiết bị của người dùng trong mỗi phiên xác minh. Sự phản chiếu của chuỗi ánh sáng này từ khuôn mặt người dùng được phân tích để xác nhận rằng người đó thực sự có mặt — một con người ba chiều thực sự, đang xác minh ngay bây giờ.

Cơ chế hoạt động như thế nào? Chuỗi màu phản chiếu từ khuôn mặt phải khớp với chuỗi màu mà thiết bị được lập trình để hiển thị. Nếu hình ảnh trông chân thực nhưng chuỗi màu không chính xác, hệ thống sẽ nhận diện đó là giả mạo. Vì mỗi chuỗi màu là duy nhất và hết hạn ngay sau khi sử dụng, nên nó không thể được phát lại, chặn lại hoặc ghi trước.

Cơ chế này hoàn toàn thụ động — không cần quay đầu, gật đầu, chớp mắt hay bất kỳ hướng dẫn bằng lời nói nào. Người dùng chỉ cần nhìn vào camera, và quá trình hoàn tất trong vài giây.

Điều này quan trọng vì hai lý do:

1. Bảo mật: Mỗi phiên giao dịch tạo ra dữ liệu sinh trắc học độc nhất, dữ liệu này sẽ vô giá trị nếu bị đánh cắp vì không thể tái sử dụng.
2. Tính toàn diện: Xác minh thụ động giúp tránh các rào cản về khả năng tiếp cận do các thử thách chủ động tạo ra. iProov tuân thủ WCAG 2.2 AA và Mục 508 , với các thuật toán được đào tạo trên các tập dữ liệu cân bằng và được kiểm tra hiệu suất trong môi trường sản xuất đối với các nhóm tuổi, giới tính và màu da khác nhau.

Ba trụ cột cùng phối hợp hoạt động.

Ba thành phần này tạo thành một kiến ​​trúc tích hợp duy nhất. Flashmark tạo ra dữ liệu độc nhất cho mỗi phiên. Quá trình xác minh dựa trên đám mây xử lý dữ liệu trong môi trường chống giả mạo và cung cấp cho iSOC khả năng hiển thị theo thời gian thực. iSOC phát hiện các mẫu mới nổi và đồng thời đẩy các bản cập nhật phòng thủ đến tất cả khách hàng. Vòng phản hồi này – phát hiện, phân tích, thích ứng, triển khai – là điều khiến bảo mật của iProov luôn phát triển chứ không phải tĩnh tại.

Điều này giúp bảo vệ người dùng và tổ chức của bạn khỏi những mối đe dọa trong tương lai và chưa được biết đến. Và điều tuyệt vời nhất là, tất cả đều được chúng tôi xử lý liên tục.

Cái giá phải trả khi mắc sai lầm này là gì?

Một cuộc gọi video giả mạo (deepfake) duy nhất đã khiến Arup thiệt hại 25 triệu đô la do chuyển khoản gian lận. Các đặc vụ từ các quốc gia bị OFAC trừng phạt đã xâm nhập hơn 300 công ty bằng cách sử dụng bộ lọc deepfake để vượt qua các cuộc phỏng vấn video từ xa. 62% các tổ chức đã trải qua một cuộc tấn công deepfake trong năm qua.

Câu hỏi đặt ra cho bất kỳ tổ chức nào sử dụng xác thực sinh trắc học không phải là “chúng ta có đủ khả năng để trang bị hệ thống phòng thủ kiên cố nhất không?” mà là “chúng ta có đủ khả năng để mắc sai lầm không?”

Các giải pháp sinh trắc học của iProov được các tổ chức tin dùng trong những lĩnh vực mà câu trả lời cho câu hỏi đó mang tính quyết định cao nhất: Bộ An ninh Nội địa Hoa Kỳ , Bộ Nội vụ Anh , GovTech Singapore , Cục Thuế Úc , ING , UBS và ID.me.

---

Báo cáo Tình báo Mối đe dọa iProov 2025 cung cấp những hiểu biết độc quyền về các phương pháp tấn công, công cụ và tác nhân đe dọa mà iSOC đã quan sát được. Tải xuống báo cáo đầy đủ tại đây.

Để tìm hiểu cách iProov có thể bảo vệ tổ chức của bạn trước bối cảnh các mối đe dọa ngày càng gia tăng, hãy đặt lịch dùng thử .