Niềm tin đã được xác minh chống lại Deepfake

Cuộc gọi không có thật

Đầu năm 2024, một nhân viên tài chính tại công ty kỹ thuật Arup đã tham gia một cuộc gọi video tưởng chừng như hoàn toàn bình thường. Giám đốc tài chính (CFO) có mặt. Các đồng nghiệp cũng có mặt. Các chỉ thị được đưa ra, và nhân viên đã thực hiện theo, chuyển 200 triệu đô la Hồng Kông — khoảng 25 triệu đô la Mỹ — ra khỏi văn phòng của công ty tại Hồng Kông. Không một ai trong cuộc gọi đó là người thật. Mọi khuôn mặt và giọng nói đều được tái tạo tổng hợp. Số tiền đã biến mất trước khi bất kỳ ai nhận ra rằng chính cuộc họp đó là một vụ lừa đảo.

Sự cố đơn lẻ đó đã thu hút sự chú ý của các nhà điều hành nhiều hơn so với nhiều năm báo cáo tóm tắt về an ninh mạng trừu tượng. Nó cho thấy rằng lừa đảo deepfake không còn đòi hỏi một mục tiêu cả tin hay một kịch bản thô thiển. Nó chỉ cần một cuộc gọi video thuyết phục và một chỉ thị hợp lý. Đối với các nhà lãnh đạo tài chính, pháp lý và trải nghiệm khách hàng (CX), Arup trở thành một từ viết tắt: trường hợp chứng minh rằng việc mạo danh đã chuyển từ sự mới lạ sang mối đe dọa hoạt động.

Tại sao xác minh giờ đây là một vấn đề thiết kế

Xác minh danh tính từng là cơ sở hạ tầng nền tảng — mật khẩu, câu hỏi bảo mật, thỉnh thoảng gọi lại. Nó nằm phía sau trải nghiệm, vô hình trừ khi có điều gì đó sai sót. Lừa đảo deepfake phá vỡ mô hình đó vì thứ bị làm giả không còn là thông tin xác thực. Đó là một con người. Một giọng nói. Một khuôn mặt trên màn hình nói những điều mà người đó có thể nói một cách hợp lý.

Điều đó chuyển việc xác minh từ một kiểm soát kỹ thuật thành một lớp được thiết kế trong trải nghiệm của khách hàng và nhân viên. Thách thức không chỉ đơn thuần là phát hiện gian lận — mà là quyết định khi nào và làm thế nào để yêu cầu ai đó chứng minh họ là ai, mà không khiến họ cảm thấy bị buộc tội. Các bước xác minh mà cảm thấy như một cuộc thẩm vấn sẽ làm xói mòn niềm tin mà chúng tồn tại để bảo vệ. Một CFO phải liên tục chứng minh họ là CFO, ngay cả với nhân viên của mình, sẽ trải nghiệm việc kiểm tra đó như sự cản trở và nghi ngờ hơn là sự bảo vệ.

Vấn đề mà deepfake tạo ra không phải là mọi người bị lừa. Mà là mọi người, bao gồm cả người thật, giờ đây phải chứng minh rằng họ không phải là giả mạo.

Các công cụ đã nằm trong tay người tiêu dùng

Một phần khiến vụ Arup trở thành một tín hiệu hơn là một trường hợp ngoại lệ là khả năng tiếp cận. Phần mềm nhân bản giọng nói thương mại giờ đây có thể tái tạo các mẫu lời nói của một người từ một đoạn âm thanh ngắn — vài giây, không phải hàng giờ. Điều đó làm giảm rào cản cho các vụ lừa đảo mạo danh nhắm vào các trung tâm cuộc gọi, thành viên gia đình và trợ lý điều hành. Một vụ lừa đảo từng đòi hỏi kỹ năng và kế hoạch giờ đây chỉ cần một bản ghi âm và phần mềm có sẵn.

Khả năng tiếp cận này quan trọng đối với thiết kế CX vì nó có nghĩa là mối đe dọa không chỉ giới hạn ở gian lận cấp độ hội đồng quản trị. Các kỹ thuật tương tự đã tạo ra một CFO trong cuộc gọi video có thể tạo ra giọng nói của khách hàng trên đường dây hỗ trợ, hoặc giọng nói của thành viên gia đình trong cuộc gọi khẩn cấp. Bất kỳ kênh nào dựa vào việc nhận dạng giọng nói hoặc khuôn mặt làm bằng chứng nhận dạng giờ đây đều bị phơi bày.

Quy định đang bắt kịp, nhưng chậm

Các cơ quan quản lý tài chính và các tổ chức tiêu chuẩn ở nhiều thị trường đã bắt đầu tham vấn vào năm 2024 và 2025 về gian lận truyền thông tổng hợp. Điều đó báo hiệu một hướng đi: các nghĩa vụ xác minh hiện đang được để lại cho sự tùy ý của từng công ty có thể sẽ trở thành các yêu cầu chính thức. Các tổ chức coi việc xác minh nhiều lớp là một cải tiến tự nguyện ngày nay có thể sẽ thấy nó được bắt buộc vào ngày mai, theo lịch trình của người khác chứ không phải của riêng họ.

Đối với các doanh nghiệp, tính toán đã rõ ràng mà không cần chờ đợi quy định. Một vụ lừa đảo deepfake thành công duy nhất có thể gây thiệt hại hàng chục triệu và gây ra thiệt hại lâu dài cho cách các đối tác và khách hàng tin tưởng vào các quy trình hoạt động và tài chính. Thiệt hại của Arup không chỉ là một khoản chi phí — đó là một minh chứng, cho tất cả mọi người đang theo dõi, rằng các quy trình xác minh của công ty có một lỗ hổng đủ lớn để một CFO giả mạo có thể đi qua.

Thiết kế bảo vệ không gây cản trở

Giải pháp thực tế là xác minh nhiều lớp, ít gây cản trở, tập trung vào những thời điểm rủi ro cao thực sự: các khoản thanh toán lớn, thay đổi tài khoản, phê duyệt của điều hành, leo thang tại trung tâm cuộc gọi. Sinh trắc học hành vi, giao thức gọi lại thông qua các kênh được xác minh độc lập và xác nhận đa kênh đều có thể thêm một lớp đảm bảo mà không biến mọi tương tác thành một điểm kiểm tra.

Các tổ chức có khả năng làm đúng điều này nhất sẽ không triển khai xác minh ở mọi nơi cùng một lúc. Họ sẽ thử nghiệm các kiểm tra nhiều lớp tại các điểm tiếp xúc mà gian lận gây hậu quả nghiêm trọng nhất, tìm hiểu cách khách hàng và nhân viên trải nghiệm các kiểm tra đó, và chỉ mở rộng khi sự cản trở đã được thiết kế loại bỏ chứ không phải được thêm vào. Xác minh, nếu được thực hiện tốt, sẽ mang lại cảm giác về một công ty coi trọng sự bảo vệ của bạn — chứ không phải một công ty nghi ngờ bạn theo mặc định.