Ngân hàng siết sinh trắc học chống deepfake: người dùng cần biết gì

Từ ngày 01/7/2026, các tổ chức tín dụng phải dùng giải pháp đối chiếu sinh trắc học có khả năng phát hiện tấn công giả mạo đạt chuẩn ISO 30107 cấp độ 2, và định kỳ kiểm thử bằng cách mô phỏng tấn công deepfake. Với người dùng, điều đó nghĩa là bước quét khuôn mặt trên ứng dụng ngân hàng giờ không chỉ hỏi "có giống ảnh căn cước không" mà còn hỏi "đây có phải người thật đang đứng trước camera không". Dù vậy, lớp bảo vệ này chỉ hiệu quả khi chính bạn không trao dữ liệu khuôn mặt cho kẻ gian.

ISO 30107 cấp độ 2 nói một cách dễ hiểu

ISO 30107 là bộ tiêu chuẩn quốc tế về phát hiện tấn công trình diện, tức các kiểu đưa ảnh in, video phát lại, mặt nạ hay hình ảnh dựng bằng AI ra trước camera để đánh lừa hệ thống. Theo bài viết trên 24hMoney ngày 19/09/2026, mốc 01/7/2026 yêu cầu ngân hàng áp dụng giải pháp đạt cấp độ 2 của tiêu chuẩn này. Bài viết không nêu số hiệu văn bản cụ thể, nên ở đây chỉ dừng ở mô tả yêu cầu.

Có thể hình dung cơ chế "kiểm tra sự sống" như sau: hệ thống phân tích chuyển động, độ sâu, phản xạ ánh sáng trên da và các dấu hiệu bất thường của khung hình. Một bức ảnh in sẽ phẳng, một video phát lại trên màn hình sẽ có hiện tượng nhiễu điểm ảnh, và một khuôn mặt dựng bằng AI có thể để lộ chi tiết không tự nhiên khi nghiêng đầu.

Vì sao ngân hàng phải nâng chuẩn

Cùng bài báo cho biết hệ thống SIMO247 tính đến 29/6/2026 đã cảnh báo khoảng 4,6 triệu lượt khách hàng, với hơn 1,5 triệu lượt tạm dừng hoặc hủy giao dịch có tổng giá trị trên 5.200 tỷ đồng. Con số này phản ánh áp lực lừa đảo rất lớn lên kênh ngân hàng số.

Ở góc độ quốc tế, Việt Nam News ngày 28/08/2026 dẫn khảo sát Gartner năm 2025 cho thấy 62% tổ chức được hỏi từng gặp ít nhất một vụ tấn công deepfake liên quan đến lừa đảo phi kỹ thuật hoặc quy trình tự động trong 12 tháng trước đó. Khi khuôn mặt và giọng nói đều có thể bị giả lập, một bước so khớp ảnh đơn thuần không còn đủ.

Kẻ gian vẫn có đường vòng nào

Công nghệ phát hiện giả mạo tốt hơn không có nghĩa là hết rủi ro. Kẻ lừa đảo chuyển sang những cách không cần đánh bại thuật toán:

• Dụ chính bạn quét mặt. Giả nhân viên ngân hàng gọi điện "hỗ trợ cập nhật sinh trắc", hướng dẫn bạn mở một ứng dụng giả hoặc quét mặt trên trang web lạ. Người thật đang đứng trước camera là bạn, nên lớp phát hiện giả mạo không có tác dụng.
• Thu thập video khuôn mặt. Yêu cầu bạn quay video "xác minh danh tính" để nhận quà, nhận hàng, vay vốn.
• Chiếm điện thoại bằng mã độc. Ứng dụng độc hại được cấp quyền trợ năng có thể thao tác thay bạn khi bạn đã mở khóa ứng dụng ngân hàng.

Điểm chung của cả ba là kẻ gian lợi dụng hành động tự nguyện của nạn nhân. Vì vậy, thói quen của người dùng vẫn là mắt xích quyết định.

Dữ liệu khuôn mặt của bạn nên được đối xử như mật khẩu

Khác với mật khẩu, bạn không thể đổi khuôn mặt khi nó bị lộ. Đó là lý do nên áp dụng vài nguyên tắc cứng:

Nếu nghi điện thoại có ứng dụng lạ chạy ngầm, bài nhận diện phần mềm độc hại trên điện thoại có danh sách dấu hiệu để rà soát.

Xác thực trên thiết bị: hướng đi giảm rủi ro lộ sinh trắc

Bài viết của Việt Nam News dẫn ý kiến của một kiến trúc sư giải pháp định danh thuộc HID, cho rằng nên xác minh người dùng ngay trên thiết bị, bảo vệ khóa xác thực trong máy và chỉ chia sẻ với dịch vụ những thông tin thật sự cần. Theo hướng này, dữ liệu sinh trắc không phải gửi lên một máy chủ trung tâm, giảm bớt lo ngại về quyền riêng tư. Ông cũng lưu ý bảo mật cần bao phủ toàn bộ hành trình khách hàng, từ mở tài khoản, đổi thiết bị, giao dịch đến khôi phục tài khoản, không chỉ bước đăng nhập.

Với người dùng phổ thông, ý tưởng này gần với cách mở khóa điện thoại bằng vân tay hay khuôn mặt: dữ liệu nằm trong chip bảo mật của máy, không gửi đi đâu cả.

Khi ứng dụng từ chối khuôn mặt của chính bạn

Cơ chế phát hiện giả mạo chặt hơn đôi khi khiến người dùng thật bị từ chối: ánh sáng ngược, camera bẩn, đeo kính phản quang hoặc thay đổi ngoại hình nhiều so với ảnh trên căn cước. Trước khi nghĩ đến chuyện tài khoản có vấn đề, hãy thử lau camera, đứng nơi đủ sáng, nhìn thẳng và làm đúng các thao tác ứng dụng yêu cầu. Nếu vẫn không được, cách an toàn là ra quầy giao dịch, tuyệt đối không tìm "dịch vụ xác thực hộ" trên mạng.

Giữ điện thoại đủ sạch để sinh trắc phát huy tác dụng

Bài trên 24hMoney cho biết ứng dụng ngân hàng phải ngừng hoạt động trên thiết bị đã bẻ khóa hoặc can thiệp hệ thống. Nếu ứng dụng ngân hàng của bạn đột nhiên không mở được và báo lỗi bảo mật, đừng tìm cách "lách" bằng công cụ bên ngoài, mà hãy kiểm tra lại thiết bị. Song song, cập nhật hệ điều hành đều đặn để vá những lỗ hổng mà mã độc có thể lợi dụng; bài tầm quan trọng của việc cập nhật phần mềm giải thích lý do.

Tóm lại, ngân hàng đã nâng hàng rào kỹ thuật, còn phần việc của người dùng nằm ở những quyết định nhỏ hằng ngày: không quét mặt theo hướng dẫn của người lạ, không gửi video khuôn mặt, không cài ứng dụng ngoài kho chính thức.