Khuôn mặt công khai không còn là bằng chứng an toàn
Giả mạo khuôn mặt là việc dùng hình ảnh, video hoặc công nghệ AI để tạo diện mạo giả, đánh lừa hệ thống xác thực sinh trắc học và mạo danh một người trong giao dịch số. Đây không còn là nguy cơ xa vời: ảnh khuôn mặt và giọng nói được đăng công khai trên mạng xã hội có thể trở thành nguyên liệu cho thủ đoạn vượt qua camera xác thực.
Ngày 4/11, tại Quốc hội, đại biểu Phạm Trọng Nhân (đoàn TP.HCM) cảnh báo công nghệ AI có thể làm giả hình ảnh, giọng nói và video, đồng thời đề nghị xem xét lại mức độ an toàn của xác thực sinh trắc học. Quy mô sử dụng khiến vấn đề không thể bị xem nhẹ: đến ngày 24/10, ngành ngân hàng đã đối chiếu sinh trắc học với hơn 175 triệu hồ sơ khách hàng cá nhân.
Sinh trắc học vẫn hữu ích, nhưng không nên đứng một mình như thể khuôn mặt là mật khẩu không thể sao chép. Nếu một hình ảnh công khai đủ để khởi đầu màn giả mạo, hệ thống phải kiểm tra thêm nguồn dữ liệu, thiết bị và ngữ cảnh giao dịch, thay vì đặt niềm tin tuyệt đối vào kết quả camera.
Một khi lộ dữ liệu khuôn mặt, không thể bấm nút đổi
Mật khẩu bị lộ có thể đổi, thẻ mất có thể khóa; dữ liệu khuôn mặt thì không thể thay bằng một khuôn mặt mới. Đại biểu Phạm Trọng Nhân cảnh báo chính sự bất đối xứng đó khiến hậu quả của lộ dữ liệu khuôn mặt có thể kéo dài: người dùng không có cách làm mới đặc điểm sinh học đã bị khai thác.
Tháng 6/2026, Công an tỉnh Thanh Hóa triệt phá đường dây mua bán gần 1.000 tài khoản ngân hàng, trong đó có thủ đoạn dùng ảnh chủ tài khoản dựng thành video giả và can thiệp thiết bị để vượt xác thực tại nhiều ngân hàng. Vụ việc cho thấy rủi ro không chỉ nằm ở chất lượng mô hình nhận diện; nếu dữ liệu đầu vào hoặc thiết bị bị thao túng, một quy trình tưởng như nhiều lớp vẫn có thể thất bại.
Vì thế, coi sinh trắc học là chiếc khóa chính duy nhất là lựa chọn thiếu thận trọng. Khi khuôn mặt đã bị lộ, người dùng vẫn phải tiếp tục sống với nguy cơ bị tái sử dụng dữ liệu; trách nhiệm giảm thiểu rủi ro không thể bị đẩy hết sang cá nhân bằng lời khuyên hạn chế đăng ảnh.
Không thể biến nạn nhân thành người phải tự chứng minh
Rủi ro lớn không dừng ở việc bị qua mặt: kết quả xác thực có thể bị dùng làm căn cứ xác nhận chủ thể giao dịch hoặc làm nguồn chứng cứ. Nếu kẻ gian vượt qua hệ thống, người bị hại có nguy cơ phải chứng minh mình không thực hiện giao dịch—một gánh nặng đặc biệt bất công với người cao tuổi và người ở vùng sâu, vùng xa.
Đại biểu Phạm Trọng Nhân đề nghị làm rõ trách nhiệm chứng minh và bổ sung nguyên tắc rằng khi người dân kịp thời thông báo hoặc khiếu nại danh tính bị sử dụng trái phép, kết quả xác thực không mặc nhiên được xem là bằng chứng chính chủ đã giao dịch. Tổ chức xác thực phải chứng minh quy trình của mình đáp ứng yêu cầu chống giả mạo. Đây là cách phân bổ trách nhiệm hợp lý: bên thiết kế, vận hành hệ thống có dữ liệu và năng lực điều tra tốt hơn nạn nhân.
Luật cũng cần bảo đảm phương thức xác thực thay thế có giá trị tương đương cho người yếu thế. Bảo vệ danh tính số không chỉ là ngăn kẻ gian xâm nhập, mà còn là bảo đảm người bị hại có cơ hội được giải quyết tranh chấp công bằng.
Tăng lớp bảo vệ, giảm lệ thuộc vào camera
Một quy trình xác thực an toàn phải kết hợp nhiều yếu tố có tính độc lập, thay vì để camera và mã OTP cùng phụ thuộc vào một chiếc điện thoại có thể bị can thiệp. Đại biểu kiến nghị với giao dịch rủi ro cao phải áp dụng mức xác thực 3, gồm ít nhất hai yếu tố, trong đó có sinh trắc học; đồng thời bổ sung yếu tố sở hữu gắn với phần cứng như chip trên thẻ căn cước.
Đề xuất ấy có lý do rõ ràng: nếu thiết bị bị can thiệp, cả khuôn mặt thu qua camera lẫn OTP gửi đến chính thiết bị đều có thể không còn đáng tin. Hệ thống cũng cần kiểm tra tính toàn vẹn của thiết bị và kênh thu nhận dữ liệu, đồng thời có cơ chế xử lý khi khách hàng báo giao dịch giả mạo.
Kết luận phải dứt khoát: xác thực sinh trắc học là một lớp bảo vệ, không phải lời bảo đảm tuyệt đối. Khi AI làm giả ngày càng dễ, luật cần buộc tổ chức xác thực chịu trách nhiệm về chất lượng quy trình và không mặc nhiên đẩy hậu quả sang nạn nhân. Đó mới là nền tảng thực chất để bảo vệ danh tính số.
