Ngày 24 tháng 4 năm 2026
Mọi chuyện bắt đầu từ một tin rao cho thuê nhà.
Tại Amsterdam, ai đó đã đăng tin cho thuê một căn hộ trên Marktplaats, một trong những nền tảng rao vặt phổ biến nhất ở Hà Lan. Những người thuê tiềm năng đã phản hồi bằng những giấy tờ thông thường: bản sao hộ chiếu, phiếu lương – bằng chứng cho thấy họ có khả năng trả tiền thuê nhà. Nhưng căn hộ đó không hề tồn tại, và giấy tờ tùy thân của họ sắp bị lợi dụng để tấn công.
Một người đàn ông 34 tuổi đã sử dụng những giấy tờ tùy thân bị đánh cắp đó – cùng với những giấy tờ khác thu thập được từ mạng xã hội – để mở 46 tài khoản ngân hàng giả mạo tại ABN AMRO , một trong những ngân hàng lớn nhất ở Hà Lan. Anh ta đã thực hiện toàn bộ việc này thông qua quy trình đăng ký tài khoản trên điện thoại di động của ngân hàng, yêu cầu người đăng ký phải tải lên ảnh chứng minh thư và chụp ảnh tự sướng để xác minh khuôn mặt .
Thủ đoạn này khá đơn giản. Anh ta sử dụng công nghệ deepfake để tạo ra hình ảnh giống với ảnh hộ chiếu trên các giấy tờ tùy thân bị đánh cắp. Hệ thống tự động so sánh hai hình ảnh, tìm thấy sự trùng khớp và phê duyệt tài khoản.
Không chỉ một lần, mà là bốn mươi sáu lần.
Kế hoạch Deepfake bị vạch trần như thế nào
Kế hoạch này đã hoạt động trong nhiều tháng trước khi một lỗi nhỏ bị bại lộ. Một ứng dụng sử dụng ảnh chứng minh thư của một phụ nữ, nhưng ảnh tự chụp lại là khuôn mặt của một người đàn ông. Công nghệ deepfake đã ghép các đặc điểm của người phụ nữ, mắt, miệng, lên khuôn mặt của người đàn ông, nhưng không đủ thuyết phục. Nhóm của ABN AMRO đã phát hiện ra sự bất thường, điều tra và vạch trần toàn bộ quy mô của vụ gian lận.
Khi cảnh sát biên giới chặn bắt nghi phạm tại một trạm kiểm soát, bằng chứng thu được rất rõ ràng. Các sĩ quan phát hiện anh ta đang xóa ứng dụng Telegram trên điện thoại. Trong xe của anh ta: các phong bì chứa thẻ ghi nợ và mã PIN của nhiều tài khoản ABN AMRO, hàng chục giấy tờ tùy thân giả, và nhật ký trò chuyện với ChatGPT trong đó anh ta hỏi cách vượt qua hệ thống bảo mật của ngân hàng . Hình ảnh từ camera giám sát cho thấy anh ta gửi những khoản tiền mặt lớn vào các tài khoản gian lận – các giao dịch mà công tố viên cho rằng có liên quan đến rửa tiền .
Viện kiểm sát yêu cầu mức án 30 tháng tù giam và bồi thường 6.240 euro cho ABN AMRO. Vào tháng 3 năm 2026, tòa án quận Amsterdam đã ra lệnh điều tra thêm thay vì đưa ra phán quyết. Bị cáo vẫn đang bị tạm giam trước khi xét xử trong khi phiên tòa mới dự kiến diễn ra trong vòng ba tháng.
Vì sao quy trình xác minh danh tính khách hàng (KYC) thất bại?
Trường hợp này phản ánh một xu hướng rộng hơn: các công cụ AI truyền thống, ngày càng dễ tiếp cận, đang dần đánh bại các giải pháp xác minh danh tính yếu hơn .
Một khi danh tính giả mạo đã lọt vào phạm vi xác minh danh tính khách hàng (KYC) , nó có thể được sử dụng cho hoạt động vận chuyển tiền bất hợp pháp, rửa tiền, tài trợ khủng bố, trốn tránh lệnh trừng phạt, và nhiều mục đích khác. Tác động tài chính không chỉ giới hạn ở những tổn thất trực tiếp; hậu quả về mặt pháp lý thường lớn hơn nhiều:
- Ngân hàng TD đã bị phạt 3,09 tỷ đô la vào năm 2024 vì những sai phạm trong việc chống rửa tiền.
- Chỉ riêng trong nửa đầu năm 2025, các cơ quan quản lý đã áp đặt mức phạt tài chính lên tới 1,23 tỷ đô la, tăng 417% so với cùng kỳ năm trước .
Ngân hàng ABN AMRO đã phát hiện 46 tài khoản. Câu hỏi đặt ra là còn bao nhiêu tài khoản khác chưa bị phát hiện.
Quy trình đăng ký tài khoản của ABN AMRO tuân theo một mô hình phổ biến trong ngành ngân hàng châu Âu: tải ảnh chứng minh thư lên, chụp ảnh tự sướng, và để hệ thống so sánh hai hình ảnh. Điều này dựa trên giả định rằng nếu khuôn mặt trong ảnh tự sướng khớp với ảnh trên giấy tờ, thì người đó đúng là người mà họ tự nhận. Giả định này sụp đổ ngay khi kẻ gian lận có thể tạo ra một khuôn mặt giả mạo, kết hợp giữa ngoại hình của chính chúng và ảnh trên giấy tờ tùy thân của người khác.
Và việc này ngày càng dễ dàng hơn mỗi tháng. Trí tuệ nhân tạo tạo sinh (Generative AI) đã phá vỡ rào cản gia nhập đối với các cuộc tấn công danh tính giả mạo : những gì trước đây đòi hỏi kỹ năng chuyên môn và phần cứng cao cấp giờ đây có thể được thực hiện bằng các công cụ giá rẻ, có sẵn trên thị trường. Báo cáo Tình báo Mối đe dọa năm 2026 của iProov đã ghi nhận mức tăng 1.151% so với cùng kỳ năm trước về các cuộc tấn công chèn mã độc vào iOS trong nửa cuối năm 2025. iOS từ lâu đã được coi là nền tảng di động an toàn hơn; giả định đó giờ đây không còn đúng nữa. Đối với các ngân hàng sử dụng quy trình xác thực khách hàng ưu tiên thiết bị di động trên bất kỳ hệ điều hành nào, ý nghĩa đều như nhau: nếu hệ thống xác minh không thể phát hiện video bị thao túng tại thời điểm ghi hình, nó sẽ chấp thuận.
Vụ việc của ABN AMRO minh họa lý do tại sao. Hệ thống đã xác minh rằng khuôn mặt khớp với tài liệu, nhưng không xác minh liệu khuôn mặt đó có phải là thật hay không.
Lớp còn thiếu: Phát hiện sự sống động hiệu quả
Điểm thiếu sót nghiêm trọng trong quy trình tiếp nhận nhân viên của ABN AMRO là sự thiếu vắng tính năng nhận diện người thật tiên tiến . Nếu không có tính năng này, hệ thống không thể phân biệt được khuôn mặt người thật với hình ảnh đã qua chỉnh sửa kỹ thuật số.
Các hệ thống mạnh mẽ không chỉ so sánh khuôn mặt. Chúng kiểm tra xem có người thật hay không tại thời điểm chụp ảnh. Một thử thách ngẫu nhiên thụ động, chỉ thực hiện một lần tại thời điểm xác thực, và các mô hình học sâu học hỏi dần dần từ các vectơ tấn công đang phát triển. Nếu được thực hiện đúng cách, nó sẽ xác nhận đồng thời ba điều: người dùng là đúng người, là người thật và đang xác thực trong thời gian thực.
Phương pháp này phát hiện ba vectơ tấn công chính:
- Tấn công bằng hình thức trình chiếu bao gồm việc giơ ảnh, video hoặc mặt nạ lên trước máy quay.
- Các cuộc tấn công chèn kỹ thuật số đưa video giả mạo (deepfake) trực tiếp vào quy trình xác minh, bỏ qua hoàn toàn camera. Đây là loại tấn công cấp bách và có khả năng mở rộng nhất.
- Các cuộc tấn công phát lại tái sử dụng dữ liệu sinh trắc học đã được thu thập trước đó, chẳng hạn như bản ghi của một phiên xác minh hợp lệ, để mạo danh người dùng thật.
Các báo cáo công khai về vụ việc ABN AMRO không nêu rõ phương pháp kỹ thuật chính xác để phát tán. Nhưng dù ảnh tự sướng bị chỉnh sửa được tải lên hay chèn vào, kết quả vẫn như nhau: việc kiểm tra đối sánh khuôn mặt không thể phân biệt được khuôn mặt tổng hợp với khuôn mặt thật. Đó là điều mà công nghệ nhận diện sự sống động được thiết kế để ngăn chặn.
Hiện nay, người mua cần đưa ra các tiêu chuẩn độc lập để yêu cầu người bán đáp ứng, bao gồm:
- Đạt tiêu chuẩn CEN/TS 18099 Cấp độ Cao và Ingenium Injection Attack Detection Cấp độ 4 về khả năng chống tấn công injection.
- và tiêu chuẩn NIST SP 800-63-4 , trong đó việc phát hiện tấn công chèn mã độc vào năm 2025 được coi là mục tiêu kiểm soát bắt buộc để đạt được mức độ đảm bảo cao hơn. Những tuyên bố của nhà cung cấp mà không có thử nghiệm độc lập, được chứng nhận theo các tiêu chuẩn này không phải là bằng chứng về khả năng chống chịu. Đó chỉ là chiêu trò tiếp thị.
Nếu quy trình tiếp nhận khách hàng của ABN AMRO bao gồm xác minh kiểu này, những bức ảnh tự sướng đã bị chỉnh sửa của kẻ gian lận sẽ bị gắn cờ không phải vì khuôn mặt không khớp với giấy tờ tùy thân, mà vì chính khuôn mặt đó không có thật hoặc không thực sự hiện diện.
Đây không phải là trường hợp lừa đảo Deepfake đơn lẻ.
Vụ việc ABN AMRO là trường hợp mới nhất trong danh sách ngày càng dài các vụ gian lận tài chính sử dụng công nghệ deepfake.
Vào tháng 4 năm 2025, cảnh sát Hồng Kông đã bắt giữ 8 người trong một đường dây lừa đảo sử dụng công nghệ deepfake , dùng 21 chứng minh thư Hồng Kông bị đánh cắp để thực hiện 44 đơn xin mở tài khoản ngân hàng, trong đó khoảng 30 đơn thành công. Nhóm này đã ghép khuôn mặt của chính mình vào ảnh chứng minh thư bị đánh cắp để vượt qua hệ thống nhận diện khuôn mặt, kỹ thuật tương tự đã được sử dụng để chống lại ngân hàng ABN AMRO, và các tài khoản này có liên quan đến hoạt động rửa tiền và lạm dụng tín dụng.
Điều này thể hiện sự thay đổi mang tính cấu trúc trong cách thức hoạt động của gian lận mở tài khoản mới – một sự thay đổi mà các công cụ có giá rẻ, kỹ năng yêu cầu tối thiểu, và các hệ thống xác minh mà hầu hết các ngân hàng dựa vào không được xây dựng để đối phó với mối đe dọa này.
Những điều các tổ chức tài chính nên rút kinh nghiệm
- Kỹ thuật thao túng tâm lý và truyền thông tổng hợp hoạt động song song với nhau. Kẻ lừa đảo không chỉ sử dụng deepfake. Hắn ta đã sử dụng một tin đăng cho thuê giả mạo để thu thập các giấy tờ tùy thân hợp lệ từ những người thật. Các hệ thống xác minh cần phải tính đến thực tế là các tài liệu được trình bày có thể là thật, ngay cả khi người trình bày chúng không phải là người thật.
- Xác minh tĩnh là chưa đủ. Việc kiểm tra ảnh tự chụp để xác thực danh tính, sử dụng cùng các quy tắc như khi mới ra mắt, chỉ là một ngưỡng cần vượt qua, chứ không phải là rào cản gia nhập. Các tổ chức tài chính cần phương thức xác minh có thể phát triển để chống lại các kỹ thuật tấn công mới , bao gồm cả các mối đe dọa do trí tuệ nhân tạo điều khiển đang phát triển nhanh nhất.
Câu hỏi đã chuyển từ việc liệu gian lận KYC bằng deepfake có ảnh hưởng đến tổ chức của bạn hay không, sang thời điểm và liệu bạn có phát hiện ra nó trước khi 46 – hoặc hàng nghìn – tài khoản được mở trên quy mô lớn hay không.
Quy trình đăng ký tài khoản của ABN AMRO khá phổ biến trong ngành ngân hàng. Và lỗ hổng bảo mật mà nó bộc lộ cũng ngày càng phổ biến. Hãy xem cách công nghệ Dynamic Liveness của iProov phát hiện các cuộc tấn công chèn mã độc, tấn công giả mạo (deepfake) và tấn công phát lại mà các phương pháp đối sánh ảnh selfie với giấy tờ tùy thân truyền thống không thể phát hiện. Đặt lịch xem bản demo trực tiếp.
