Một nhân viên tài chính chuyển 25 triệu USD cho kẻ lừa đảo sau cuộc gọi video với CFO deepfake

• Theo cảnh sát Hồng Kông, một nhân viên phụ trách tài chính của một tập đoàn đa quốc gia đã bị lừa chuyển 25 triệu USD cho những kẻ lừa đảo mạo danh Giám đốc Tài chính (CFO) của công ty bằng công nghệ deepfake
• Những kẻ lừa đảo đã đánh lừa nhân viên tài chính thông qua một cuộc họp video với các nhân viên giả được tái tạo bằng deepfake
• Nhân viên tài chính nhận được tin nhắn từ CFO có trụ sở tại Anh yêu cầu thực hiện một giao dịch bí mật và ban đầu nghi ngờ đây là phishing, nhưng sau đó đã gạt bỏ nghi ngờ vì bị đánh lừa bởi hình ảnh và giọng nói của những người mà họ nhận ra là đồng nghiệp trong cuộc họp video

Vụ lừa đảo deepfake xảy ra tại Hồng Kông

• Cảnh sát Hồng Kông cho biết gần đây đã xảy ra nhiều vụ việc sử dụng công nghệ deepfake để lừa người và đánh cắp tiền
• Cảnh sát đã bắt giữ sáu người liên quan
• Cảnh sát cho biết từ tháng 7 đến tháng 9 năm ngoái, 8 thẻ căn cước Hồng Kông được báo mất đã bị sử dụng để thực hiện 90 đơn xin vay và mở 54 tài khoản ngân hàng
• Trong ít nhất 20 trường hợp, AI deepfake đã mạo danh những người trên thẻ căn cước để đánh lừa các chương trình nhận diện khuôn mặt
• Vụ lừa đảo liên quan đến CFO giả chỉ bị phát hiện sau khi nhân viên tài chính xác minh với trụ sở chính

Mối lo ngại ngày càng gia tăng trên toàn cầu về công nghệ trí tuệ nhân tạo

• Trên toàn thế giới, lo ngại đang gia tăng về sự phát triển của công nghệ deepfake và khả năng bị lạm dụng của nó
• Vào cuối tháng 1, các hình ảnh khiêu dâm do AI tạo ra của ngôi sao nhạc pop Mỹ Taylor Swift đã lan truyền trên mạng xã hội, nhấn mạnh tiềm năng gây hại của công nghệ trí tuệ nhân tạo
• Những bức ảnh của nữ ca sĩ trong các tư thế gợi dục và phản cảm đã thu hút hàng chục triệu lượt xem trước khi bị gỡ khỏi các nền tảng xã hội

Ý kiến của GN⁺

• Sự phát triển của công nghệ deepfake cho thấy nó có thể trở thành một mối đe dọa nghiêm trọng trong các lĩnh vực xã hội và kinh tế. Điều quan trọng là phải hiểu cách công nghệ này có thể bị lạm dụng cho lừa đảo và tội phạm
• Bài viết này nâng cao nhận thức về mức độ nguy hiểm của công nghệ deepfake, đồng thời nhấn mạnh vì sao cá nhân và doanh nghiệp cần chú ý hơn đến bảo mật
• Bài viết này sẽ hữu ích trong việc cảnh báo về những mặt tiêu cực do sự phát triển công nghệ mang lại và cho thấy tầm quan trọng của việc chuẩn bị các biện pháp ứng phó

[GN⁺]

Ý kiến trên Hacker News

• Nhiều khách sạn hạng trung và cao cấp ở Mỹ thuộc sở hữu của những người mang họ Patel gốc Ấn Độ.

  • Lừa đảo gọi điện yêu cầu chuyển tiền với lý do khẩn cấp từ một người mang họ Patel là chuyện khá phổ biến.
  • Nhân viên khách sạn đôi khi tin lời, cạy két sắt hoặc chuyển tiền từ tài khoản cá nhân của mình.
  • Những vụ lừa đảo này dùng kỹ thuật social engineering mà không cần AI hay công nghệ deepfake.

• Yếu tố văn hóa gọi là "power distance" có thể ảnh hưởng đến kiểu lừa đảo này.

  • Ở một số nền văn hóa, người ta bỏ qua quy trình và tuyệt đối phục tùng chỉ thị của cấp trên.
  • Tình huống tương tự cũng từng được đưa tin tại một số công ty công nghệ phần cứng ở Mỹ.

• Ở Pháp, cũng có những nhân viên bị lừa chuyển tiền bởi các cuộc gọi giả danh CEO, CFO hoặc luật sư.

  • Một băng nhóm Pháp-Israel bị bắt trong giai đoạn 2022/2023 đã lừa được ít nhất 38 triệu euro.
  • Chúng giả danh CEO mà không cần đến AI deepfake.

• Có ý kiến cho rằng trong một cuộc họp video nhiều người tham gia, toàn bộ người tham gia đều là giả.

  • Điều này có thể là thật, nhưng cũng có thể nhân viên lấy cớ rồi nói là deepfake.
  • Có người đặt câu hỏi khi nào bọn lừa đảo sẽ bắt đầu thực hiện hàng loạt cuộc gọi video giả làm con cái để xin tiền từ cha mẹ hoặc ông bà, và làm sao để ngăn chuyện đó.

• Một nhân viên tài chính tại Boston đã chuyển 6 triệu USD cho bọn lừa đảo vào năm 2023.

  • Có yếu tố social engineering, nhưng không thấy nhắc đến deepfake.
  • Trong vụ hack sòng bạc MGM năm 2023, kẻ tấn công đã dùng deepfake để lừa nhân viên hỗ trợ kỹ thuật vi phạm MFA.

• Có suy đoán rằng CFO có thể cấu kết với chuyên gia deepfake để chia lợi nhuận.

  • Đây không phải điều đã thực sự xảy ra, mà là giả định tập trung vào các kịch bản tương lai.

• Nhận định rằng toàn bộ người tham gia trong một cuộc họp video nhiều người đều là giả lại được nhắc đến.

  • Điều đó cho thấy cần sự chuẩn bị đáng kể, chẳng hạn thu thập mẫu hình ảnh và giọng nói của từng người tham gia.
  • Nếu mức độ tinh vi này đã xuất hiện, có lẽ sẽ sớm có những cách xác minh người tham gia mới cho các cuộc họp nhạy cảm.

• Thật khó hiểu làm sao chuyện này có thể xảy ra ở một công ty lớn.

  • Để một giao dịch được thực hiện, phải có quy trình được lập thành văn bản rõ ràng.
  • Để giao dịch được phê duyệt, cần nhiều bước chấp thuận, và người nhập lệnh thanh toán phải khác người phê duyệt.
  • Khi giao dịch được nhập vào, nó phải qua bước phê duyệt đầu tiên, rồi tùy theo hạn mức thanh toán sẽ cần thêm các bước phê duyệt khác.

• Có người tò mò về phần mềm có thể dùng deepfake để đánh lừa con người.

  • Họ nói chưa từng thấy phần mềm như vậy, và nghi ngờ liệu có sản phẩm nào thực sự đủ sức đánh lừa người khác hay không.

• Có vẻ các vụ lừa đảo này xuất phát từ quy trình nội bộ yếu kém của công ty.

  • Với số tiền lớn, chỉ một cuộc gọi video là không đủ.
  • Cần có xác nhận qua email, trao đổi qua chat nội bộ công ty và gọi điện di động với cấp quản lý cao hơn.