Lừa Đảo Ngân Hàng Bằng Giọng Nói Tổng Hợp: Trộm Danh Tính Dựa Trên AI

Thủ đoạn phổ biến

• • Thu thập mẫu giọng nói từ các nguồn công khai — video YouTube, hồ sơ LinkedIn, mạng xã hội, ghi âm hội nghị chuyên nghiệp hoặc nhật ký cuộc gọi dịch vụ khách hàng — sau đó tải lên các nền tảng sao chép giọng nói AI để tạo file âm thanh deepfake.
• • Giả mạo số điện thoại hợp pháp bằng dịch vụ VoIP và công cụ giả mạo ID người gọi (chi phí từ 115.000 đến 1.150.000 đồng/tháng) để xuất hiện như các số ngân hàng đáng tin cậy, người thân hoặc lãnh đạo doanh nghiệp, tạo sự hợp pháp giả tạo cho cuộc gọi.
• • Sử dụng kịch bản kỹ thuật xã hội được thiết kế riêng cho việc giả giọng, đưa ra các tình huống tài chính khẩn cấp (tài khoản bị xâm phạm, cảnh báo gian lận, cơ hội đầu tư) yêu cầu hành động ngay lập tức trước khi 'hệ thống xác minh' kịp phát hiện.
• • Nhắm vào nhân viên ngân hàng trong các ca làm việc chuyển giao hoặc thời điểm bận rộn khi quy trình xác minh lỏng lẻo hơn, sử dụng thuật ngữ kỹ thuật và ngôn ngữ quyền uy học được từ việc nghiên cứu quy trình ngân hàng hoặc kinh nghiệm nhân viên trước đó.
• • Tạo áp lực thời gian bằng cách tuyên bố phát hiện hoạt động gian lận trên tài khoản, đe dọa đóng băng tài khoản hoặc viện dẫn thời gian bảo mật sắp kết thúc, yêu cầu phê duyệt chuyển tiền hoặc thay đổi thông tin đăng nhập ngay lập tức.
• • Tăng cường cuộc tấn công bằng cách có đồng phạm đóng vai người thân, bộ phận hỗ trợ IT hoặc cơ quan thực thi pháp luật trong các cuộc gọi tiếp theo, tạo sự nhầm lẫn về cuộc trò chuyện hợp pháp và làm quá tải quy trình xác minh thông thường.

Cách nhận biết

• Nhận các cuộc gọi không mong muốn tự nhận là người thân hoặc liên hệ ngân hàng vào giờ lạ hoặc trong tình huống khẩn cấp, giọng nói nghe gần như tự nhiên nhưng không hoàn toàn — nhịp điệu hơi máy móc, ngữ điệu không tự nhiên hoặc kiểu thở không đúng lúc là dấu hiệu phổ biến của AI.
• Nhân viên ngân hàng báo cáo các cuộc gọi từ số điện thoại của CEO hoặc lãnh đạo với yêu cầu vượt qua kênh phê duyệt thông thường, kèm theo những điểm bất thường nhỏ về ngôn ngữ chuyên môn hoặc cụm từ lạ mà người đó thường không dùng.
• Các cuộc gọi tự nhận có vấn đề về bảo mật tài khoản, trong đó người gọi thể hiện thông tin cá nhân chi tiết bất ngờ (lấy từ các vụ rò rỉ dữ liệu công khai) kết hợp với áp lực yêu cầu phê duyệt chuyển tiền ngay mà không qua gọi lại xác minh tiêu chuẩn.
• Người thân báo cáo nhận được cuộc gọi từ người họ nhận ra giọng nói yêu cầu tiền khẩn cấp qua chuyển khoản hoặc tiền điện tử, nhưng 'người thân' không trả lời đúng các câu hỏi xác minh hoặc yêu cầu phương thức thanh toán bất thường.
• Nhiều cuộc gọi từ các số khác nhau trong vài giờ tự nhận là các liên hệ khác nhau (ngân hàng, gia đình, cơ quan thực thi pháp luật), mỗi cuộc đều nhấn mạnh yêu cầu tài chính khẩn cấp giống nhau dù trước đó không có đề cập.
• Chất lượng giọng nói gần như hoàn hảo nhưng có những điểm bất thường tinh tế — tiếng ồn nền nhẹ, lặp từ thỉnh thoảng, hoặc nhấn giọng không tự nhiên khác với cách người đó thường nói, đặc biệt trong những khoảnh khắc cảm xúc.

Cách tự bảo vệ

• Áp dụng quy trình xác minh giọng nói: dù người gọi là ai, không bao giờ phê duyệt giao dịch tài chính mà không gọi lại số chính thức của người đó (không phải số vừa được cung cấp). Ngân hàng ngày càng triển khai nhận diện giọng nói đa yếu tố, nhưng không bao giờ chỉ dựa vào so khớp giọng nói cho các giao dịch giá trị lớn.
• Giảm dấu vết giọng nói của bạn trên mạng bằng cách đặt tài khoản mạng xã hội ở chế độ riêng tư, gỡ bỏ hoặc ẩn các video chứa mẫu giọng nói dài, và chọn lọc khi tham gia các buổi thuyết trình hoặc phỏng vấn công khai. Mẫu âm thanh chỉ dài 3-5 giây cũng đủ để tạo deepfake, nên hãy kiểm tra kỹ sự hiện diện kỹ thuật số của bạn.
• Thiết lập mật khẩu bằng lời nói đã thỏa thuận trước với người thân và các liên hệ tài chính quan trọng, thay đổi hàng quý — nên là các cụm từ ngẫu nhiên không liên quan đến thông tin cá nhân, dùng mỗi khi bàn về tiền bạc hoặc truy cập tài khoản, và không giải thích chi tiết trên mạng.
• Kích hoạt các tính năng bảo mật của ngân hàng ngăn chuyển khoản trong ngày mà không có xác minh bổ sung (giữ tiền 24 giờ), áp dụng giới hạn giao dịch cần nhiều lớp phê duyệt, và thiết lập cảnh báo cho mọi thay đổi số điện thoại, email hoặc tài khoản thụ hưởng.
• Yêu cầu ngân hàng triển khai hệ thống xác thực giọng nói tiên tiến chống deepfake, bao gồm phát hiện giọng nói sống (xác minh giọng nói thời gian thực) và phân tích hành vi. Hỏi xem tổ chức của bạn có kiểm tra giọng nói do AI tạo ra trong đào tạo nhân viên không.
• Không bao giờ thảo luận giao dịch tài chính, số tài khoản hoặc thông tin cá nhân trong các cuộc gọi bạn chủ động thực hiện theo yêu cầu của người khác — dù bạn nhận ra giọng nói. Kết thúc cuộc gọi ngay, xác minh độc lập danh tính người gọi qua kênh chính thức, và đợi 5-10 phút trước khi gọi lại để tránh bị tấn công giữ cuộc gọi.

Ví dụ thực tế

Nơi báo cáo — Việt Nam

Các kênh chính thức trong khu vực của bạn để báo cáo lừa đảo này.