Rủi ro mất tiền khi lộ thông tin chứng minh nhân dân

Cách đây vài ngày, 17 GB dữ liệu của 10.000 người bị rao bán trên diễn đàn hacker, gồm ảnh chụp chứng minh nhân dân, căn cước công dân (mặt trước, mặt sau), ảnh, video selfie, đi kèm địa chỉ, số điện thoại và email.

Người rao bán nói lấy thông tin từ sàn tiền ảo Pi NetWork. Còn theo thông tin ban đầu từ Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC), dữ liệu này xuất phát từ việc người dùng đăng ký sử dụng dịch vụ có yêu cầu cung cấp thông tin KYC (Know Your Customer - định danh khách hàng).

Việc lộ thông tin cá nhân, ảnh chứng minh nhân dân hai mặt và ảnh chân dung, theo chuyên gia xuất hiện rủi ro lừa đảo và mất tiền, nếu kẻ gian sử dụng để mở tài khoản tại những đơn vị đang triển khai định danh trực tuyến khách hàng, đặc biệt trong lĩnh vực tài chính.

Một phần trong số các ảnh chụp chứng minh thư và căn cước công dân của người Việt đang bị rao bán.

Rủi ro lớn nhất là kẻ gian dùng những thông tin này để giả mạo đăng ký vay tiền tại các công ty tài chính.

Tại công ty tài chính, ba bước để được vay tiền online gồm xác minh số điện thoại, chụp ảnh giấy tờ tuỳ thân và khuôn mặt, xác thực thông tin. Tuy nhiên, chỉ cần ảnh chứng minh nhân dân hai mặt có phôi gốc (sau đó được photoshop ảnh), kẻ gian có thể lọt qua hàng rào định danh khách hàng của các công ty tài chính, dù dùng giải pháp eKYC hay có hệ thống xét duyệt "chạy bằng cơm", tức có nhân viên nghiệp vụ xét duyệt.

Một công ty tài chính có thị phần cho vay tiêu dùng lớn nhất thị trường xác nhận sử dụng công nghệ eKYC khi cấp khoản vay. Tuy nhiên, theo đánh giá của các lãnh đạo ngân hàng, bước eKYC vẫn rất lỏng lẻo.

Lâu nay có nhiều trường hợp, thậm chí không phải do khách hàng để lộ thông tin mà kẻ gian tự làm phôi chứng minh nhân dân giả (sai thông tin), hay ảnh của người vay khác với ảnh trên chứng minh nhân dân, vẫn có thể vay được tiền online. Điều này dẫn đến nhiều người thực tế dù không vay nhưng lại thành nạn nhân mắc nợ công ty tài chính, bị ảnh hưởng đến điểm tín dụng cá nhân và gặp nhiều rắc rối, phiền hà.

Kẻ gian dùng chứng minh nhân dân thật của người khác để vay online từ công ty tài chính. Ảnh người mở và ảnh trên chứng minh nhân dân khác nhau nhưng vẫn vay được tiền. Nguồn: NVCC.

Tất nhiên, thực tế này cần đặt trong lĩnh vực cho vay tiêu dùng vốn có khẩu vị rủi ro cao. Theo một chuyên gia am hiểu trong ngành, chi phí cho một khoản vay tiêu dùng với hạn mức nhỏ vài triệu đồng có thể lên tới 1,8 triệu đồng. Vì thế, để tối ưu hoá lợi nhuận, công ty tài chính buộc phải "scale up - mở rộng quy mô" bằng cách giải ngân càng nhiều khoản vay qua ứng dụng càng tốt. Mục tiêu hàng đầu của họ là giải ngân, do đó họ chấp nhận một tỷ lệ gian lận theo khẩu vị rủi ro. Tuy nhiều tai tiếng nhưng những lĩnh vực này trên thực tế giúp họ "hái ra tiền".

Rủi ro thứ hai là kẻ gian có thể mở tài khoản ảo tại ngân hàng, tạo một "mắt xích" để thực hiện hành vi lừa đảo.

Trong trường hợp kẻ gian dùng ảnh/video thật của nạn nhân và chứng minh nhân dân thật không qua chỉnh sửa, gần như không có khả năng mở tài khoản tại ngân hàng vì hầu hết đều có công nghệ nhận diện được thực thể sống. Tuy nhiên, nếu chứng minh thư có phôi gốc được chỉnh sửa tinh vi (chỉnh sửa ảnh nạn nhân), hàng rào eKYC của các nhà băng vẫn sẽ bỏ lọt.

Một lãnh đạo của đơn vị đang dùng eKYC thừa nhận, công nghệ phát hiện làm giả chứng minh nhân dân, hay căn cước công dân đang là bài toán "khó nhằn" nhất, trong bối cảnh chưa có dữ liệu dân cư quốc gia.

Nhiều lãnh đạo ngân hàng và chuyên gia trong ngành đều nêu quan điểm, độ chính xác của việc nhận diện không phải 100% nên vẫn có rủi ro tài khoản ảo lọt hệ thống. Xác suất để lọt những tài khoản ảo tại các ngân hàng đang dùng eKYC cũng là khác nhau, tuỳ thuộc vào giải pháp công nghệ và quy trình mà các đơn vị này áp dụng.

Một trong các bước xác thực khách hàng khi mở tài khoản trực tuyến. Ảnh: TPBank.

Thực tế, rủi ro sử dụng tài khoản ảo để vay tiền ngân hàng là gần như không có, vì để được cấp hạn mức tín dụng từ ngân hàng còn nhiều quy trình thẩm định sau đó. Tuy nhiên, kẻ gian có thể dùng tài khoản ngân hàng ảo làm nơi nhận và chuyển tiền cho các hành vi lừa đảo, nhằm xoá dấu vết dòng tiền.

Lâu nay, xuất hiện tình trạng thuê mở tài khoản ảo với mục đích chính của kẻ gian là nhận tiền chiếm đoạt bất hợp pháp, khiến cơ quan chức năng khó truy tìm được đối tượng lừa đảo thực sự.

Hiện nay, VietinBank đang là ngân hàng duy nhất bắt buộc khách hàng xác thực gương mặt khi giao dịch trực tuyến - công cụ nhằm xác định người thực hiện các giao dịch có đúng là chủ tài khoản. Theo nhận định của đại diện VietinBank, ngoài việc ngăn ngừa rủi ro phát sinh ở khâu mở tài khoản, ngân hàng cần đầu tư nâng cao biện pháp xác thực ở bước thực hiện giao dịch, đặc biệt khi tiền được chuyển đi. Việc xác thực gương mặt khi thực hiện giao dịch trực tuyến dù đã mở tài khoản thành công, là "hàng rào" ngăn được tình trạng thuê người mở tài khoản ảo để phục vụ mục đích lừa đảo.

Ngoài những rủi ro lập các tài khoản ảo tại các tổ chức tài chính, kẻ gian nếu có nhiều thông tin hơn cũng có thể liên hệ với nạn nhân, dùng các thủ đoạn lừa đảo khác nhau để chiếm đoạt tiền khi người dân chủ quan.

Theo nhận định của một phó giám đốc ngân hàng đang thực hiện eKYC, việc lộ các dữ liệu nhạy cảm bao gồm thông tin cá nhân, ảnh chứng minh nhân dân và ảnh chân dung là vấn đề quan trọng. Tuy nhiên, ông cũng cho biết, thực tế hiện nay cũng không khó để tìm kiếm ảnh những chứng minh nhân dân hai mặt ở trên mạng.

Tình trạng mua bán dữ liệu (tuỳ mức độ lộ thông tin) xảy ra ngày càng nhiều. Trong thời buổi dữ liệu được đánh giá là "dầu mỏ", ngày càng nhiều vụ khai thác thu lợi bất chính mua bán trái phép dữ liệu, gần đây nhất là vụ mua bán gần 1.300 GB dữ liệu, chứa hàng tỷ thông tin cá nhân, tổ chức trên toàn quốc.

Thậm chí, có nhiều cách để kẻ gian lấy thông tin người dùng thực hiện hành vi giả mạo, dù người dùng có để lọt thông tin hay không. Do đó, ngoài việc nhắc nhở khách hàng chỉ nên cung cấp thông tin cho đơn vị uy tín, bản thân các tổ chức tài chính đang thực hiện định danh khách hàng trực tuyến, cũng phải tự nâng cao giải pháp công nghệ và quy trình để bảo vệ người dùng.