Rò Rỉ Dữ Liệu Khuôn Mặt Trên Điện Thoại: Rủi Ro Và Cách Bảo Vệ

Bạn có bao giờ tự hỏi điều gì sẽ xảy ra nếu khuôn mặt của mình — thứ vốn dùng để mở khóa điện thoại hay xác thực chuyển tiền ngân hàng — bị kẻ xấu đánh cắp? Việc mở khóa bằng Face ID hay quét khuôn mặt khi chuyển tiền mang lại sự tiện lợi tuyệt vời. Nhưng đằng sau sự tiện lợi đó là một thực tế phũ phàng: mật khẩu bị rò rỉ thì bạn đổi cái mới trong 30 giây, còn khuôn mặt bị lộ thì bạn không thể "đổi mặt" được.

Tóm tắt

• Từ khi Quyết định 2345/QĐ-NHNN có hiệu lực (tháng 7/2024), xác thực khuôn mặt đã trở thành thao tác quen thuộc hàng ngày của người dùng ngân hàng tại Việt Nam.
• Dữ liệu khuôn mặt không chỉ rò rỉ qua các vụ hack máy chủ, mà còn bị đánh cắp trực tiếp trên di động thông qua các dòng mã độc tinh vi như Trojan GoldPickaxe.
• Người dùng cần ưu tiên cơ chế bảo mật phần cứng (Secure Enclave/TEE), cảnh giác tuyệt đối với file APK lạ và quản lý chặt quyền truy cập camera trên điện thoại.

Làn sóng quét khuôn mặt và nguy cơ âm thầm tại Việt Nam

Từ ngày 1/7/2024, khi Ngân hàng Nhà nước áp dụng Quyết định 2345/QĐ-NHNN, việc quét khuôn mặt cho các giao dịch trên 10 triệu đồng hoặc tổng giao dịch trên 20 triệu đồng/ngày đã trở thành thói quen của hàng triệu người Việt. Tính năng này giúp giảm thiểu đáng kể tình trạng tài khoản ngân hàng rác và lừa đảo trực tuyến.

Tuy nhiên, khi sinh trắc học trở thành "chìa khóa vạn năng" mở cửa tài chính cá nhân, nó cũng trở thành mục tiêu săn đón hàng đầu của tội phạm mạng. Thay vì dò tìm mật khẩu hay đánh cắp mã OTP như trước, kẻ gian hiện nay tập trung mọi nguồn lực để thu thập dữ liệu khuôn mặt của người dùng.

Ảnh: Shawn Rain / Unsplash

Dữ liệu khuôn mặt bị rò rỉ qua những con đường nào?

Nhiều người nghĩ rằng dữ liệu khuôn mặt chỉ bị lộ khi máy chủ ngân hàng bị tấn công. Thực tế, hacker có những cách tiếp cận "mềm nắn rắn buông" và dễ dàng hơn rất nhiều:

1. Mã độc di động (Mobile Trojans): Theo báo cáo từ công ty an ninh mạng Group-IB năm 2024, dòng mã độc GoldPickaxe xuất hiện tại Đông Nam Á (trong đó có Việt Nam) chuyên nhắm vào thiết bị Android và iOS. Mã độc này mạo danh các ứng dụng dịch vụ công hoặc cơ quan nhà nước, dụ dỗ người dùng quay video khuôn mặt và thực hiện quét sinh trắc học, sau đó gửi dữ liệu về máy chủ kẻ gian.
2. Ứng dụng bên thứ ba thiếu an toàn: Các ứng dụng chỉnh sửa ảnh, app làm đẹp, hoặc ứng dụng quét tài liệu miễn phí thường yêu cầu quyền truy cập camera. Nếu nhà phát triển lưu trữ dữ liệu khuôn mặt trên đám mây mà không mã hóa chuẩn chỉnh, hacker có thể dễ dàng khai thác lỗ hổng để lấy toàn bộ bộ dữ liệu này.
3. Trang web Phishing giả mạo: Kẻ lừa đảo tạo ra các trang web có giao diện hệt như cổng dịch vụ công hoặc ngân hàng điện tử, yêu cầu người dùng "cập nhật thông tin Căn cước công dân" bằng cách bật camera quay quét khuôn mặt.

Tại sao mất dữ liệu khuôn mặt nguy hiểm hơn lộ mật khẩu?

Khi lộ mật khẩu hay số PIN, giải pháp rất đơn giản: nhấn nút "Quên mật khẩu" và tạo một chuỗi ký tự mới. Nhưng với sinh trắc học, dữ liệu gắn liền với đặc điểm sinh học duy nhất của cơ thể bạn.

Khi quét khuôn mặt, hệ thống sẽ phân tích các điểm đặc trưng (khoảng cách giữa hai mắt, độ cao sống mũi, xương hàm...) và chuyển thành một chuỗi mã hóa toán học gọi là Vector Embedding. Nếu kẻ xấu sở hữu được các thông số này hoặc video quay mặt chất lượng cao của bạn, họ có thể:

• Dùng công nghệ AI Deepfake dựng lại khuôn mặt 3D chuyển động để vượt qua các bước kiểm tra khuôn mặt động (Liveness Detection).
• Tạo lập các tài khoản trực tuyến mới đứng tên bạn để thực hiện hành vi vi phạm pháp luật.

Nhận định: Dữ liệu sinh trắc học không phải là chuỗi ký tự ngẫu nhiên. Một khi bản đồ khuôn mặt dạng số bị kẻ gian trích xuất, nguy cơ bị mạo danh sẽ kéo dài suốt đời nếu các hệ thống xác thực không liên tục nâng cấp công nghệ chống giả mạo.

Ảnh: FlyD / Unsplash

Phân tích rủi ro thực tế với người dùng Việt Nam

Sự kết hợp giữa dữ liệu sinh trắc học bị rò rỉ và công nghệ AI tạo hình (Generative AI) đang tạo ra những kịch bản lừa đảo vô cùng tinh vi:

• Chiếm quyền giao dịch ngân hàng: Kẻ gian kết hợp thông tin cá nhân (CCCD, số điện thoại) lộ rò rỉ từ trước với video Deepfake khuôn mặt để vượt qua bước xác thực khi đăng nhập ứng dụng ngân hàng trên thiết bị mới.
• Vay tiền qua app tín dụng đen: Rất nhiều ứng dụng cho vay trực tuyến hiện nay phê duyệt khoản vay chỉ bằng ảnh chụp CCCD và một đoạn video ngắn xác nhận khuôn mặt. Nạn nhân chỉ phát hiện ra khi nhận được cuộc gọi đòi nợ cho khoản vay mà mình chưa từng thực hiện.
• Lừa đảo người thân qua cuộc gọi video: Kẻ xấu thu thập giọng nói và khuôn mặt thu được từ các clip quét mặt để thực hiện cuộc gọi Deepfake FaceTime/Zalo cấp bách, hỏi mượn tiền người thân của bạn.

Cách "khóa chặt" dữ liệu sinh trắc học trên di động

Để bảo vệ bản thân trước nguy cơ rò rỉ dữ liệu khuôn mặt, bạn cần hiểu rõ cơ chế xác thực trên thiết bị và thực hiện các bước phòng thủ chủ động.

Phân biệt xác thực tại chỗ (On-device) và trên máy chủ (Server-side)

Các bước bảo vệ dữ liệu ngay hôm nay

1. Rà soát quyền truy cập Camera: Vào phần cài đặt ứng dụng trên điện thoại, tắt quyền sử dụng camera của tất cả các app không thực sự cần thiết (như trò chơi, app chỉnh sửa ảnh, app mua sắm).
2. Nói KHÔNG với việc cài file APK ngoài: Tuyệt đối không tải và cài đặt các file có đuôi .apk từ các đường link gửi qua SMS, Zalo, hay Telegram — dù người gửi có tự xưng là cán bộ công an hay nhân viên ngân hàng.
3. Chỉ thực hiện xác thực sinh trắc học trên ứng dụng chính thức: Quét khuôn mặt chuyển tiền chỉ thực hiện trực tiếp trong ứng dụng ngân hàng tải từ Google Play Store hoặc Apple App Store.
4. Bật tính năng bảo vệ nâng cao: Trên iPhone, hãy giữ tính năng Require Attention for Face ID (Yêu cầu chú ý cho Face ID) luôn bật. Trên Android, hãy bật tính năng Google Play Protect và cập nhật bản vá bảo mật hệ thống thường xuyên.

Lưu ý: Ngân hàng thật tại Việt Nam không bao giờ yêu cầu bạn gửi video quay mặt qua Zalo, Telegram hay truy cập vào một đường link trang web lạ để "hỗ trợ cập nhật sinh trắc học". Tất cả thao tác này chỉ diễn ra bên trong ứng dụng ngân hàng chính thức.

Ảnh: Dan Nelson / Unsplash

Kết luận

Xác thực bằng khuôn mặt là bước tiến lớn của công nghệ bảo mật, giúp chúng ta an tâm hơn trước các đợt tấn công mạng truyền thống. Tuy nhiên, nó chỉ thực sự an toàn khi người dùng biết cách bảo vệ dữ liệu định danh của chính mình. Dữ liệu khuôn mặt một khi đã mất thì không thể lấy lại hay thay thế.

Các bước bạn nên làm ngay lúc này:

• Vào Cài đặt di động và kiểm tra lại danh sách các ứng dụng đang có quyền bật Camera.
• Gỡ bỏ ngay các ứng dụng lạ, đặc biệt là các app được cài bằng file APK không rõ nguồn gốc.
• Nhắc nhở người thân trong gia đình về chiêu trò giả danh cán bộ hướng dẫn "cập nhật sinh trắc học" qua điện thoại.