Câu trả lời ngắn: Đừng xem giọng nói, khuôn mặt hay video là bằng chứng đủ để chuyển tiền. Kẻ lừa đảo có thể dùng AI để giả mạo người thân, sếp, cơ quan nhà nước hoặc chuyên gia. Quy tắc an toàn là dừng lại, tách khỏi kênh đang liên lạc, gọi lại bằng số đã lưu và xác minh với người thứ hai trước khi cung cấp dữ liệu hoặc phê duyệt giao dịch.
Deepfake là gì và vì sao khó nhận ra?
Deepfake là nội dung số được tạo hoặc thao túng bằng AI để khiến một người trông như đang nói hoặc làm điều họ chưa từng nói, làm. Nó có thể xuất hiện dưới dạng video, ảnh, giọng nói, tin nhắn hoặc cuộc gọi trực tiếp. FBI cảnh báo kẻ gian đã dùng video AI, website nhái và danh tính giả để tạo cảm giác an toàn rồi tiếp tục lấy thông tin hoặc tiền của nạn nhân.
Những dấu hiệu như khẩu hình lệch, ánh sáng sai hoặc giọng nói thiếu tự nhiên vẫn hữu ích, nhưng không nên biến thành bài kiểm tra duy nhất. Công nghệ tiến bộ khiến nội dung giả ngày càng khó phân biệt. Tín hiệu mạnh hơn thường là yêu cầu bất ngờ, áp lực thời gian, đề nghị giữ bí mật và yêu cầu chuyển sang kênh riêng.
7 bước xác minh trước khi hành động
1. Dừng giao dịch và giảm nhịp cảm xúc
Nếu người gọi nói có sự cố khẩn cấp, yêu cầu chuyển tiền hoặc đe dọa hậu quả, hãy dừng lại. Sợ hãi và vội vàng là công cụ thao túng, không phải bằng chứng người gọi là thật.
2. Không bấm link trong cuộc trò chuyện
Đặc biệt với lời mời “hỗ trợ thu hồi tiền”, khiếu nại hoặc xác minh tài khoản, hãy tự mở website chính thức bằng địa chỉ bạn đã biết. FBI lưu ý có các chiến dịch dùng website nhái và video AI để mạo danh cơ quan hỗ trợ nạn nhân.
3. Gọi lại bằng một kênh độc lập
Kết thúc cuộc gọi và gọi lại số đã lưu trong danh bạ, website chính thức hoặc danh sách nội bộ. FTC khuyến nghị không gọi lại số do người đang liên lạc cung cấp; hãy dùng số bạn biết là thật.
4. Đặt câu hỏi hoặc mã xác minh không công khai
Gia đình có thể thống nhất một câu hỏi riêng, nhưng không nên xem đây là giải pháp duy nhất. Với doanh nghiệp, đặt quy tắc xác nhận đơn hàng, thay đổi tài khoản ngân hàng và chuyển tiền qua hệ thống có ghi nhận.
5. Kiểm tra URL, email và danh tính
So từng ký tự trong tên miền, địa chỉ email và số điện thoại. Tên hiển thị, ảnh đại diện và caller ID đều có thể bị làm giả. Với tài khoản quan trọng, truy cập từ bookmark chính thức thay vì kết quả quảng cáo.
6. Yêu cầu phê duyệt thứ hai
Không để một người vừa nhận yêu cầu vừa duyệt giao dịch. Thiết lập ngưỡng cần hai người xác nhận, nhất là khi yêu cầu đến từ tài khoản lãnh đạo hoặc đối tác quen thuộc nhưng khác quy trình thường ngày.
7. Lưu bằng chứng và báo cáo
Lưu URL, email, số điện thoại, thời gian, nội dung trao đổi và thông tin giao dịch. Nếu đã chuyển tiền, liên hệ ngay ngân hàng hoặc nền tảng thanh toán. Không trả thêm phí cho bên hứa “thu hồi tiền” qua mạng xã hội.
Dấu hiệu cảnh báo thường gặp
- Yêu cầu hành động trong vài phút hoặc cấm hỏi người khác.
- Đề nghị chuyển sang Telegram, Messenger, ứng dụng lạ hoặc website mới.
- Đòi mã OTP, khóa khôi phục, ảnh giấy tờ, dữ liệu ngân hàng hoặc phí xử lý.
- Thông tin liên hệ gần giống tên miền thật nhưng có thêm ký tự, dấu gạch hoặc đuôi khác.
- Video có khuôn mặt, giọng nói và chức danh đáng tin nhưng không có cách xác minh độc lập.
Deepfake có thể được phát hiện tuyệt đối không?
Không. Công cụ phát hiện có thể hỗ trợ nhưng không thay thế quy trình xác minh. CISA, NSA và FBI khuyến nghị tổ chức chuẩn bị, nhận diện, phòng thủ và ứng phó với synthetic media threats. Trong thực tế, kiểm soát quy trình như callback, dual approval, quyền hạn tối thiểu và đào tạo nhân viên thường đáng tin hơn việc cố nhìn một lỗi nhỏ trong video.
Câu hỏi thường gặp
Video call có phải bằng chứng người thật không?
Không. Video có thể được tạo, chỉnh sửa hoặc phát lại. Hãy xác minh bằng một kênh độc lập.
Nếu giọng nói giống người thân thì sao?
Hãy gọi lại số bạn đã lưu hoặc hỏi người thân khác. FTC khuyến nghị xác minh câu chuyện thay vì làm theo yêu cầu trong cuộc gọi.
Đã cung cấp thông tin cho kẻ lừa đảo thì làm gì?
Đổi mật khẩu từ thiết bị sạch, thu hồi phiên đăng nhập, khóa hoặc theo dõi tài khoản thanh toán, liên hệ đơn vị liên quan và lưu bằng chứng để báo cáo.
Nguồn và bài đọc liên quan
Nguồn chính: FBI cảnh báo mạo danh IC3, kiểm tra ngày 19/10/2026; FTC về voice cloning, kiểm tra ngày 19/10/2026; CISA/NSA/FBI về deepfake threats, kiểm tra ngày 19/10/2026. Đọc thêm Passkey là gì? để củng cố bảo mật đăng nhập.
Bài viết nhằm giáo dục và phòng ngừa rủi ro, không thay thế tư vấn của ngân hàng, cơ quan chức năng hoặc chuyên gia an ninh mạng.
