Khuôn mặt không còn là chiếc khóa đáng tin tuyệt đối
Deepfake khuôn mặt là hình ảnh hoặc video do trí tuệ nhân tạo tạo hay chỉnh sửa để bắt chước một người, có thể bị dùng nhằm đánh lừa hệ thống nhận diện sinh trắc học. Đây không còn là nguy cơ xa vời: ảnh và video công khai trên mạng xã hội có thể trở thành nguyên liệu để giả mạo danh tính mà người trong hình không hề hay biết. Sáng 4/11, tại Quốc hội, đại biểu Phạm Trọng Nhân cảnh báo về độ an toàn của xác thực sinh trắc học trước công nghệ làm giả hình ảnh, giọng nói và video ngày càng tiến bộ. Ông không phủ nhận giá trị của sinh trắc học; ông phản đối việc xem nó như một hàng rào đủ sức đứng một mình. Mật khẩu có thể đổi, thẻ có thể khóa, nhưng khuôn mặt và giọng nói bị lộ thì khó thay thế. Khi dữ liệu sinh học đã phơi bày, gọi nó là “chìa khóa” an toàn mà không có lớp bảo vệ khác là đặt gánh nặng sai chỗ.
Quy mô sử dụng khiến lỗ hổng này đáng được xem như vấn đề hạ tầng, không phải sự cố cá biệt: đến ngày 24/10, ngành ngân hàng đã đối chiếu sinh trắc học với hơn 175 triệu hồ sơ khách hàng cá nhân. Theo các báo cáo quốc tế được đại biểu dẫn lại, cứ năm cuộc tấn công gian lận sinh trắc học thì có một vụ sử dụng deepfake. Con số ấy không chứng minh mọi hệ thống đều dễ bị đánh lừa, nhưng đủ để bác bỏ giả định rằng hình ảnh thật luôn đồng nghĩa với người thật.
Khi video giả vượt qua camera
Rủi ro không chỉ nằm ở những hình ảnh giả được gửi lên hệ thống theo cách thông thường. Kẻ gian có thể đưa video giả trực tiếp vào luồng xác thực qua camera, trong khi AI tạo hình ảnh và video ngày càng tinh vi. Vụ Công an Thanh Hóa triệt phá đường dây mua bán gần 1.000 tài khoản ngân hàng hồi tháng 6/2026 cho thấy thủ đoạn đã rời khỏi phòng thí nghiệm: các đối tượng dùng ảnh có sẵn của chủ tài khoản, dựng video bằng phần mềm và can thiệp thiết bị để qua mặt xác thực tại nhiều ngân hàng.
Điều đáng lo không chỉ là công nghệ có thể bị lạm dụng, mà còn là cách hệ thống được thiết kế. Nếu một giao dịch giá trị hoặc rủi ro cao vẫn có thể dựa chủ yếu vào khuôn mặt, thì mức xác thực được gọi là cao nhất có thể tạo cảm giác an toàn hơn thực tế. Sinh trắc học nên là một yếu tố trong nhiều lớp kiểm tra, kết hợp với yếu tố sở hữu gắn với phần cứng bảo mật hoặc chứng thư số, chữ ký số. Tổ chức cung cấp dịch vụ cũng cần kiểm định độc lập định kỳ và khi xuất hiện phương thức tấn công mới, thay vì chờ sự cố rồi mới điều chỉnh.
Nạn nhân không thể bị buộc chứng minh mình vô tội
Nguy cơ lớn nhất có thể xuất hiện sau khi hệ thống báo giao dịch đã được xác thực. Dự thảo luật quy định kết quả xác thực có giá trị xác nhận chủ thể tham gia giao dịch, đồng thời có thể được xem là nguồn chứng cứ; nhưng đại biểu Phạm Trọng Nhân cho rằng nghĩa vụ chứng minh khi phát sinh tranh chấp chưa được làm rõ. Nếu kẻ gian dùng hình ảnh giả vượt qua bước xác thực rồi chuyển tiền, chính kết quả do hệ thống tạo ra có thể trở thành chứng cứ bất lợi cho người bị chiếm đoạt danh tính.
Đây là nghịch lý pháp lý cần được ngăn chặn ngay trong luật: người dân có thể phải chứng minh mình không thực hiện giao dịch, dù dữ liệu kiểm tra, nhật ký truy cập và năng lực chống giả mạo đều nằm trong tay tổ chức cung cấp dịch vụ. Đại biểu đề nghị quy định rõ trách nhiệm của tổ chức xác thực và đặt nghĩa vụ chứng minh việc tuân thủ quy trình lên chính cơ quan, tổ chức đó. Nếu không, người ở vùng sâu, vùng xa hoặc người thiếu khả năng tiếp cận hỗ trợ pháp lý sẽ chịu bất lợi lớn hơn khi khiếu nại.
Bảo vệ danh tính phải đi kèm quy trình xử lý sự cố
Một cơ chế bảo vệ danh tính có ý nghĩa phải bắt đầu trước khi tranh chấp thành gánh nặng của nạn nhân: chủ quản dữ liệu cần thông báo kịp thời khi thông tin cá nhân bị lộ, lọt và hướng dẫn người bị ảnh hưởng cách phòng tránh lừa đảo. Khi người dân báo danh tính bị dùng trái phép hoặc khiếu nại giao dịch, kết quả xác thực không nên mặc nhiên được xem là bằng chứng họ đã tự thực hiện. Cùng lúc, cần giảm số đầu mối nắm giữ dữ liệu cá nhân và hạn chế ứng dụng trùng lặp để thu hẹp nơi thông tin có thể bị lộ.
Quốc hội dự kiến xem xét thông qua các dự luật ngày 21/11. Trước mốc đó, điều cần ưu tiên không phải là thêm lời khẳng định sinh trắc học an toàn, mà là quy định cụ thể cách xác thực giao dịch rủi ro cao, trách nhiệm khi hệ thống thất bại, nghĩa vụ chứng minh và cách bồi hoàn, xử lý khiếu nại. Xác thực điện tử chỉ tạo được niềm tin khi người dùng không bị bỏ lại một mình trước kết quả của máy móc. Sinh trắc học có thể giúp nhận diện một người; nhưng trách nhiệm bảo vệ người ấy phải thuộc về những tổ chức thiết kế, vận hành và dựa vào hệ thống xác thực.
