Dùng AI đánh lừa hệ thống của ngân hàng

Cách đây vài ngày, cây bút Joseph Cox của Motherboard đã gọi đến hotline tư vấn tự động của ngân hàng Lloyds Bank của Anh. Anh được yêu cầu trả lời bằng giọng nói của chính mình để xác nhận danh tính.

Song, thay vì làm theo, cây bút đã mở một file ghi âm trên máy tính, nói: “Kiểm tra số dư tài khoản”. Trên thực tế, đây không phải giọng nói thật của Cox mà chỉ là file âm thanh giả lập tạo ra từ công nghệ trí tuệ nhân tạo.

“Dạ vâng”, tổng đài tư vấn tự động của ngân hàng trả lời. Sau đó, ngân hàng yêu cầu Cox đọc hoặc gõ ngày sinh để xác nhận danh tính và nói theo nó: “Giọng nói của tôi chính là mật khẩu”.

Cây bút tiếp tục mở tệp âm thanh đọc câu thoại trên đã chuẩn bị sẵn trên máy tính. Chỉ vài giây sau, hệ thống bảo mật của ngân hàng đã xác nhận thành công danh tính của giọng nói và cho phép anh truy cập, kiểm tra số dư.

Nguy hiểm khi dùng giọng nói làm mật khẩu ngân hàng

Joseph Cox dường như không thể tin vào mắt mình. Anh đã thành công sử dụng giọng nói giả của AI do ElevenLabs phát triển để đánh lừa hệ thống ngân hàng. Anh có thể xem thông tin tài khoản, số dư, các giao dịch chuyển tiền gần đây.

Theo Motherboard, nhiều ngân hàng ở Mỹ và khu vực châu Âu đã sử dụng hệ thống nhận dạng giọng nói tương tự với câu chuyện của Cox để xác nhận danh tính của khách hàng thông qua cuộc gọi.

Một số ngân hàng còn xếp bảo mật giọng nói tương đương với sinh trắc học vân tay. Họ xem đây là cách thuận tiện nhất giúp khách hàng làm việc với ngân hàng một cách nhanh chóng, mượt mà.

Tuy nhiên, thử nghiệm của Joseph Cox đã có thấy lỗ hổng của hệ thống này. Không chỉ anh mà bất cứ ai cũng có thể sử dụng các ứng dụng giả lập bằng AI miễn phí trên Internet để truy cập vào các hệ thống ngân hàng.

Chỉ cần nhập yêu cầu, AI sẽ cho ra file âm thanh đọc nội dung y như người thật. Ảnh: Motherboard.

Các giọng nói AI này có thể trở thành công cụ hỗ trợ cho những hành vi lừa đảo hay xâm nhập trái phép. Chia sẻ với Motherboard, Rachel Tobac, CEO công ty SocialProof Security, kêu gọi các tổ chức nên nhanh chóng nâng cấp hệ thống nhận dạng giọng nói, bổ sung các phương thức bảo mật khác như bảo mật hai lớn.

“Các công cụ giả lập giọng nói có thể bắt chước y hệt một người mà chẳng cần tương tác với người đó ở đời thật”, chuyên gia cho biết.

Trong trường hợp của Joseph Cox, anh đã thu âm giọng của mình nói chuyện trong vòng 5 phút và đăng trên website ElevenLabs. Chỉ vài phút sau, giọng nói giả lập đã hoàn thành và người dùng có thể sử dụng ngay lập tức bằng cách nhập nội dung cần nối vào hộp thoại.

Theo Motherboard, nhiều trò chơi khăm trực tuyến đã dùng công cụ của ElevenLabs để bắt chước giọng nói một người một cách trái phép nhờ các đoạn video có chứa giọng nói của họ từng được đăng trên Internet.

Do đó, bất cứ ai từng để lộ giọng dù chỉ vài phút trên mạng xã hội như YouTube, người nổi tiếng, chính trị gia… đều có thể trở thành nạn nhân của trò giả lập giọng nói này.

Lợi dụng lỗ hổng của hệ thống bảo mật ngân hàng

Cây bút Joseph Cox cho biết ngân hàng Lloyds Bank trong câu chuyện của anh từng tuyên bố rằng hệ thống “Voice ID” (nhận dạng bằng giọng nói) của họ rất an toàn.

“Giọng nói cũng giống như vân tay, là độc nhất vô nhị. Voice ID sẽ phân tích hơn 100 đặc điểm của giọng nói của bạn để tìm ra điểm đặc trưng như khẩu hình miệng, cao độ, nhấn nhá và tốc độ nói. Hệ thống còn còn có thể nhận ra khách hàng có đang bị cảm hay đau họng hay không”, ngân hàng khẳng định.

Joseph Cox đã qua mặt hệ thống bảo mật của ngân hàng bằng giọng nói AI. Ảnh: Motherboard.

Các ngân hàng khác cũng sử dụng dịch vụ nhận dạng giọng nói tương tự như “VoicePrint” của TD Bank, “Voice Verification” của Wells Fargo. Họ đều cam kết rằng cách làm này rất an toàn và mỗi người đều có đặc điểm giọng nói riêng biệt, không thể bắt chước.

Tuy nhiên, trải nghiệm qua mặt hệ thống trả lời tự động của ngân hàng bằng giọng nói AI của Joseph Cox đã cho thấy hệ thống này tồn tại rất nhiều lỗ hổng. Chỉ cần biết ngày sinh của khách hàng, bất cứ ai cũng có thể truy cập vào tài khoản, xem số dư và giao dịch của họ.

Phản hồi về vấn đề này, đại diện Lloyds Bank tự tin “Voice ID” là phương thức có độ bảo mật cao hơn các phương pháp truyền thống rất nhiều, đồng thời giúp khách hàng dễ dàng truy cập vào hệ thống.

Họ cũng nhận thức được rằng các phần mềm giả giọng sẽ có thể khai thác lỗ hổng của hệ thống nhưng hiện vẫn chưa có trường hợp lừa đảo nào sử dụng chiêu thức này. Lloyds Bank cho rằng giả lập giọng nói không phải là cách làm được các tội phạm ưa chuộng như các phương thức khác trong khi đó Voice ID đã giúp giảm thiểu số lượng lừa đảo ngân hàng qua điện thoại đáng kể.