Gian lận mở tài khoản mới: Trí tuệ nhân tạo đang thay đổi mối đe dọa như thế nào và cách ngăn chặn nó

Hãy tưởng tượng một ngày nào đó bạn nhận được một bản sao kê cho thấy bạn nợ vài nghìn đô la trên thẻ tín dụng. Bức thư được gửi cho bạn, nhưng đây là lần đầu tiên bạn nghe nói Giới thiệu nó - bạn thậm chí chưa bao giờ có thẻ tín dụng với công ty này.

Bạn gọi điện để thông báo cho họ về sai sót, nhưng lại phát hiện ra mình là nạn nhân của hành vi gian lận tài khoản mới. Ai đó đã mạo danh bạn để đăng ký thẻ tín dụng mới, sử dụng hạn mức tín dụng để thực hiện các khoản chi tiêu gian lận dưới tên bạn. Giờ đây, bạn phải đối mặt với căng thẳng, nguy cơ mất mát tài chính và điểm tín dụng bị ảnh hưởng nghiêm trọng, khiến việc vay tiền, mở thẻ tín dụng hoặc thế chấp nhà trở nên khó khăn hơn.

Đây luôn là một vấn đề. Nhưng quy mô và mức độ tinh vi của các vụ gian lận tài khoản mới đã thay đổi đáng kể. Năm 2024, thiệt hại được báo cáo lên tới 6,2 tỷ đô la – tăng hơn gấp đôi so với thập kỷ trước. Và các phương thức cũng đã thay đổi: trước đây, những kẻ lừa đảo dựa vào thư từ bị đánh cắp và tài liệu giả mạo, thì giờ đây chúng sử dụng danh tính giả mạo được tạo ra bằng trí tuệ nhân tạo tạo sinh, hình ảnh deepfake vượt qua các bước xác minh cơ bản và các cuộc tấn công chèn mã độc bỏ qua hoàn toàn camera của thiết bị.

Các tổ chức không xác minh danh tính con người thực sự của mỗi ứng viên mới đang vô tình tạo điều kiện cho kẻ gian lận xâm nhập. Nếu quy trình tuyển dụng của bạn có thể hoàn tất chỉ bằng dữ liệu, thì kẻ gian lận có thể dễ dàng truy cập vào dữ liệu đó.

Gian lận mở tài khoản mới là gì?

Gian lận mở tài khoản mới – còn được gọi là gian lận mở tài khoản hoặc gian lận khởi tạo tài khoản – xảy ra khi kẻ gian lận mở một tài khoản bằng thông tin nhận dạng giả mạo hoặc bị thao túng để thực hiện hành vi phạm tội, đánh cắp tiền, rửa tiền hoặc truy cập các dịch vụ mà chúng không đủ điều kiện sử dụng với danh tính thật của mình.

Có hai phương pháp chính:

Gian lận đánh cắp danh tính: Sử dụng thông tin của người thật – thường lấy từ các vụ rò rỉ dữ liệu hoặc mua trên mạng đen – để mở tài khoản dưới tên của họ. Đối với nhiều người trong chúng ta, rất nhiều thông tin cá nhân đã có thể tìm thấy trực tuyến: ngày sinh, địa chỉ, số điện thoại và các dữ liệu khác có thể được ghép lại để mạo danh chúng ta. Trung bình mất 151 ngày để phát hiện ra hành vi gian lận tài khoản mới sau khi nó thành công, trong thời gian đó thiệt hại ngày càng gia tăng.

Gian lận danh tính giả mạo : Kết hợp các yếu tố dữ liệu có thật (chẳng hạn như số an sinh xã hội hợp lệ) với thông tin bịa đặt để tạo ra một người hoàn toàn hư cấu. Đây là một trong những hình thức gian lận tinh vi nhất – và cũng là một trong những hình thức phát triển nhanh nhất. Gian lận danh tính giả mạo hiện chiếm khoảng 30% tổng số vụ gian lận danh tính, với mức tăng 311% trong các vụ gian lận giấy tờ tùy thân giả mạo từ quý 1 năm 2024 đến quý 1 năm 2025.

Vì sao tình trạng gian lận tài khoản mới đang gia tăng?

Ba yếu tố đang hội tụ lại để làm cho vấn đề này trở nên tồi tệ hơn:

Trí tuệ nhân tạo tạo sinh đã công nghiệp hóa hành vi gian lận danh tính.

Deepfake và các tài liệu do AI tạo ra đã biến những tội phạm thủ công, quy mô nhỏ trước đây thành một hoạt động có thể mở rộng. Báo cáo Tình báo Mối đe dọa iProov năm 2025 cho thấy các cuộc tấn công hoán đổi khuôn mặt tăng 300% so với năm trước, và các cuộc tấn công camera ảo trực tiếp – trong đó kẻ gian lận chèn hình ảnh tổng hợp trực tiếp vào quy trình xác minh – tăng 2.665%.

Đây không phải là những rủi ro lý thuyết. Một cuộc gọi video giả mạo (deepfake) duy nhất đã khiến Arup thiệt hại 25 triệu đô la . Các đặc vụ từ các quốc gia bị OFAC trừng phạt đã xâm nhập hơn 300 công ty bằng cách sử dụng bộ lọc deepfake để vượt qua các cuộc phỏng vấn video từ xa.

Tội phạm theo mô hình dịch vụ đã làm giảm rào cản.

Các công cụ tấn công tinh vi không còn là đặc quyền của những hacker lành nghề. Các mạng lưới "Tội phạm dưới dạng dịch vụ" (Crime-as-a-Service) bán các bộ công cụ gian lận готовые cho những người điều hành có kỹ năng thấp. Báo cáo Tình báo Mối đe dọa của iProov đã xác định hơn 115.000 tổ hợp tấn công tiềm năng chỉ từ ba công cụ phổ biến.

Các quy trình kiểm tra khi tuyển dụng truyền thống không còn đáp ứng được nhu cầu.

Nhiều tổ chức đã cố gắng chống gian lận bằng cách đơn giản là yêu cầu thêm thông tin trong quá trình tuyển dụng – nhiều câu hỏi hơn, nhiều tài liệu hơn, nhiều bước xác minh dựa trên kiến ​​thức hơn. Nhưng bất kỳ thông tin nào có thể nhập vào đều có thể bị đánh cắp. Xác thực dựa trên kiến ​​thức về cơ bản dễ bị tổn thương vì dữ liệu mà nó dựa vào đã bị xâm phạm trên quy mô lớn.

Chỉ có xác minh sinh trắc học – xác nhận sự hiện diện thực sự của người ngồi sau màn hình – mới có thể khắc phục được lỗ hổng mà các phương thức xác minh dựa trên dữ liệu còn bỏ sót.

Chi phí đối với các tổ chức và người tiêu dùng

Đối với người tiêu dùng: Bên cạnh thiệt hại về tài chính, nạn nhân còn phải đối mặt với điểm tín dụng bị hủy hoại và trung bình mất 10 giờ để giải quyết mỗi vụ gian lận. Điểm tín dụng kém do các khoản vay chưa trả được đứng tên bạn có thể ngăn cản bạn tiếp cận các dịch vụ mà bạn thực sự cần.

Đối với các tổ chức: Thiệt hại vượt xa khoản tiền bị chiếm dụng tối đa trong tài khoản mà một cá nhân giả mạo bỏ lại. Mỗi khách hàng gian lận mà bạn tiếp nhận đều tiêu tốn nguồn lực xử lý KYC, dịch vụ khách hàng và giám sát tuân thủ lẽ ra phải dành cho khách hàng chân chính. Trong các ngành được quản lý chặt chẽ, việc xác minh khách hàng không đầy đủ có thể dẫn đến vi phạm quy định KYC , bị phạt và thiệt hại về uy tín. Và một tài khoản gian lận được mở thành công sẽ trở thành bàn đạp cho các hành vi phạm tội tiếp theo – rửa tiền, gian lận thanh toán ủy quyền hoặc chuẩn bị cho các chuỗi gian lận phức tạp hơn.

Đáng chú ý là, hiện nay chỉ có một phần ba các tổ chức tài chính phát hiện ra hầu hết các vụ gian lận ngay từ giai đoạn đăng ký. Phần lớn phát hiện ra chúng muộn hơn trong quy trình giao dịch – khi đó thiệt hại đã xảy ra rồi.

Xác thực sinh trắc học giúp ngăn ngừa gian lận mở tài khoản mới như thế nào?

Xác minh khuôn mặt bằng sinh trắc học giải quyết điểm yếu cơ bản trong quy trình tuyển dụng truyền thống: nó xác nhận rằng người ứng tuyển đúng là người mà họ tự nhận, rằng họ là người thật và họ thực sự có mặt tại thời điểm xác minh.

Người dùng quét một giấy tờ tùy thân đáng tin cậy (hộ chiếu hoặc bằng lái xe), sau đó thực hiện quét khuôn mặt nhanh. Hệ thống sẽ so khớp khuôn mặt trực tiếp với ảnh trên giấy tờ và xác minh sự hiện diện thực sự – tất cả chỉ trong vài giây.

Điều này ngăn chặn gian lận mở tài khoản mới ngay từ nguồn gốc. Nếu tội phạm có giấy tờ tùy thân của bạn, ảnh trên đó sẽ không khớp với khuôn mặt thật của chúng – chỉ bạn mới có thể cung cấp thông tin sinh trắc học trùng khớp. Danh tính giả mạo không có người thật đứng sau. Và tính năng nhận diện người thật tiên tiến sẽ xác định và chặn các video giả mạo (deepfake), hoán đổi khuôn mặt và các nội dung đa phương tiện được chèn kỹ thuật số.

Nhưng không phải tất cả các phương pháp xác thực sinh trắc học đều giống nhau. Sự tinh vi của các cuộc tấn công hiện đại có nghĩa là việc xác thực cơ bản – chỉ đơn giản là kiểm tra xem khuôn mặt có phải là "người thật" chứ không phải là ảnh chụp – không còn đủ nữa.

Vì sao phương pháp của iProov ngăn chặn được những điều mà các phương pháp khác bỏ sót?

Công nghệ Dynamic Liveness của iProov được thiết kế đặc biệt để đối phó với các mối đe dọa thường gặp trong gian lận tài khoản mới hiện nay. Nó kết hợp bốn khả năng tạo nên một hệ thống phòng thủ mà không một tính năng đơn lẻ nào có thể sánh được:

Được chứng nhận về tính xác thực và khả năng phát hiện tấn công chèn dữ liệu. Công nghệ Flashmark được cấp bằng sáng chế của iProov chiếu sáng khuôn mặt người dùng bằng một chuỗi màu sắc độc đáo, không thể đoán trước trong mỗi phiên. Sự phản chiếu của ánh sáng này từ khuôn mặt người dùng được phân tích để xác nhận sự hiện diện thực sự trong thời gian thực. Mỗi phiên tạo ra dữ liệu sinh trắc học độc nhất không thể phát lại, chặn hoặc ghi lại trước. iProov là nhà cung cấp đầu tiên và duy nhất được chứng nhận độc lập theo tiêu chuẩn NIST SP 800-63-4 , và là nhà cung cấp đầu tiên đạt được cấp độ CEN/TS 18099 Cao về khả năng phát hiện tấn công chèn dữ liệu – trong hơn 40 ngày thử nghiệm được công nhận, không có phương pháp tấn công nào thành công được thiết lập.

Quản lý mối đe dọa chủ động. Trung tâm điều hành an ninh iProov (iSOC) giám sát các mô hình tấn công theo thời gian thực trên tất cả khách hàng, khu vực địa lý và nền tảng. Khi các phương thức tấn công mới xuất hiện, các bản cập nhật phòng thủ sẽ được triển khai trên toàn cầu mà không gây gián đoạn. Hệ thống phòng thủ của iProov liên tục được cải tiến – điều này rất quan trọng khi các kỹ thuật gian lận thay đổi nhanh hơn so với khả năng xử lý của các bản cập nhật phần mềm hàng năm.

Xác minh dựa trên đám mây. Toàn bộ quá trình xác minh diễn ra trên đám mây, không phải trên thiết bị . Điều này tách biệt quy trình xác minh khỏi các lỗ hổng ở cấp độ thiết bị và cho phép giám sát thời gian thực, vốn là sức mạnh của iSOC.

Trải nghiệm người dùng dễ dàng. Toàn bộ quy trình diễn ra tự động – không cần quay đầu, gật đầu, chớp mắt hay hướng dẫn bằng lời nói. iProov tuân thủ WCAG 2.2 AA và Mục 508 , với các thuật toán được kiểm tra hiệu suất trên nhiều độ tuổi, giới tính và màu da. Các tổ chức có thể áp dụng các biện pháp phòng chống gian lận nghiêm ngặt ngay từ giai đoạn đăng ký mà không làm mất đi những khách hàng thực sự do các rào cản. Tỷ lệ thành công của iProov thường trên 98%.

Vượt ra ngoài quy trình tiếp nhận khách hàng: Nhận diện lực lượng lao động

Gian lận tài khoản mới không chỉ giới hạn ở các dịch vụ hướng đến người tiêu dùng. Các kỹ thuật tương tự – deepfake, danh tính giả mạo, thông tin đăng nhập bị đánh cắp – hiện đang được sử dụng để xâm nhập vào các tổ chức thông qua chính quy trình tuyển dụng.

Bộ giải pháp quản lý nhân lực iProov mở rộng khả năng xác minh sự hiện diện của con người thực sự trong toàn bộ vòng đời nhận dạng nhân viên: tuyển dụng và hội nhập từ xa, truy cập thiết bị dùng chung, xác thực nâng cao cho các hành động đặc quyền và khôi phục tài khoản. Nó giải quyết lỗ hổng cấu trúc trong các hệ thống nhận dạng doanh nghiệp được thiết kế để xác minh thông tin đăng nhập và thiết bị – chứ không phải con người đứng sau chúng.

---

Báo cáo Tình báo Mối đe dọa iProov năm 2025 ghi lại các phương thức tấn công đang thúc đẩy hành vi gian lận tài khoản mới hiện nay. Tải xuống báo cáo đầy đủ tại đây.

Để tìm hiểu cách iProov có thể bảo vệ quy trình đăng ký tài khoản mới của bạn khỏi gian lận, hãy đặt lịch dùng thử .

---

Câu hỏi thường gặp về gian lận tài khoản mới

Trí tuệ nhân tạo (AI) làm trầm trọng thêm tình trạng gian lận mở tài khoản mới như thế nào?

Trí tuệ nhân tạo tạo sinh (Generative AI) cho phép tội phạm mạng tạo ra các bản sao giả mạo (deepfake) thuyết phục, các tài liệu nhận dạng giả mạo và hoán đổi khuôn mặt ở quy mô công nghiệp. Những công cụ này có thể vượt qua các bước kiểm tra danh tính cơ bản dựa trên ảnh tài liệu hoặc phát hiện sự sống đơn giản. Các mạng lưới "Tội phạm như một dịch vụ" (Crime-as-a-Service) giúp những người vận hành có kỹ năng thấp dễ dàng tiếp cận các công cụ được hỗ trợ bởi AI này, làm tăng đáng kể quy mô và mức độ tinh vi của các cuộc tấn công.

Các tổ chức có thể làm gì để giảm thiểu tình trạng gian lận khi mở tài khoản mới?

Biện pháp phòng vệ hiệu quả nhất là xác minh khuôn mặt sinh trắc học với tính năng phát hiện sự hiện diện thực sự tại thời điểm đăng ký. Điều này xác nhận sự hiện diện của một người thật, đối chiếu khuôn mặt của họ với giấy tờ tùy thân đáng tin cậy và ngăn chặn các cuộc tấn công giả mạo (deepfake) và tấn công chèn mã độc. Các tổ chức nên tìm kiếm các giải pháp được chứng nhận độc lập theo các tiêu chuẩn như NIST SP 800-63-4 và CEN/TS 18099, với khả năng quản lý mối đe dọa chủ động, có thể thích ứng khi các phương thức tấn công thay đổi.

Gian lận mở tài khoản mới và chiếm đoạt tài khoản khác nhau như thế nào?

Gian lận tạo tài khoản mới liên quan đến việc tạo tài khoản mới bằng cách sử dụng dữ liệu nhận dạng bị đánh cắp hoặc giả mạo. Gian lận chiếm đoạt tài khoản liên quan đến việc truy cập trái phép vào một tài khoản hợp pháp hiện có. Cả hai đều là những mối đe dọa ngày càng gia tăng, nhưng chúng đòi hỏi các chiến lược phòng thủ khác nhau: gian lận tạo tài khoản mới được giải quyết tốt nhất ngay từ giai đoạn đăng ký bằng cách xác minh danh tính, trong khi chiếm đoạt tài khoản được giải quyết thông qua xác thực liên tục.