Lừa đảo deepfake và cách phòng tránh

Mục lục

1. Lừa đảo deepfake khác lừa đảo thông thường ở điểm nào?
2. 5 thủ đoạn lừa đảo deepfake phổ biến: so sánh nhanh
3. Dấu hiệu nhận biết deepfake còn đáng tin đến đâu?
4. Kênh thứ hai: cách xác minh yêu cầu chuyển tiền
5. Cá nhân và doanh nghiệp: cần phòng khác nhau thế nào?
6. Lớp bảo vệ từ phía ngân hàng và cơ quan nhà nước
7. Khi nào nên đầu tư công cụ phát hiện deepfake?
8. Giảm dữ liệu để kẻ lừa khó dựng kịch bản
9. Câu hỏi thường gặp

Lừa đảo deepfake khác lừa đảo thông thường ở điểm nào?

Deepfake là hình ảnh, video hoặc âm thanh do AI tạo ra hoặc chỉnh sửa để giống một người thật. Lừa đảo thông thường thường dựa vào lời nói và tin nhắn. Lừa đảo deepfake thêm “bằng chứng cảm giác”: bạn thấy mặt, nghe giọng nên tin ngay. Một chuyên gia BKAV nhận định chính yếu tố “mắt thấy tai nghe” khiến người dùng dễ tin, theo trao đổi với VOV2.

Bản chất của thủ đoạn vẫn là tấn công thao túng tâm lý: tạo khẩn cấp, đánh vào quyền lực hoặc tình thân. Deepfake chỉ làm lớp vỏ thuyết phục hơn. Vì vậy, cách phòng tránh hiệu quả cũng nhắm vào hành vi (chuyển tiền, đưa mã) chứ không chỉ vào công nghệ.

Về quy mô, Bộ Công an nhận định năm 2026 các đối tượng triệt để dùng AI, Deepfake, DeepVoice cùng mạng xã hội và ngân hàng số để tạo lòng tin (theo doanhnghiephoinhap.vn, 07/10/2026). Số thiệt hại năm 2025 được nêu khác nhau tuỳ nguồn: Thanh Niên (tháng 1/2026) ghi hơn 6.000 tỉ đồng, còn VnEconomy (12/05/2026) dẫn phát biểu tại Diễn đàn Digital Trust in Finance 2026 về mức ước tính 8.000 tỉ đồng. Cả hai đều là ước tính cho lừa đảo trực tuyến nói chung, không riêng deepfake. Theo báo cáo được nhắc trong các bài viết về dự báo 2026, chỉ khoảng 32,12% nạn nhân báo cơ quan chức năng, nên số thực tế có thể cao hơn.

5 thủ đoạn lừa đảo deepfake phổ biến: so sánh nhanh

Năm nhóm dưới đây khác nhau ở mục tiêu và ở chỗ kẻ lừa cần gì để thành công. Hiểu sự khác nhau giúp bạn chọn đúng lớp phòng thủ.

Thủ đoạn	Mục tiêu điển hình	Kênh	Cần tương tác trực tiếp?	Độ khó phát hiện
Giả giọng nói (voice cloning)	Kế toán, người thân, nhân viên tài chính	Cuộc gọi thoại, Zalo, tin nhắn thoại	Có, thường ngắn	Cao: không có hình để soi
Cuộc gọi video giả người quen	Cá nhân, đặc biệt người trung niên	Zalo, Messenger, Viber	Có, vài giây rồi “mất sóng”	Trung bình: video thường mờ, ngắn
Họp trực tuyến giả lãnh đạo	Phòng kế toán, tài chính doanh nghiệp	Nền tảng họp video, email mời họp	Có, kéo dài	Cao nếu có nhiều người giả cùng lúc
Video giả người nổi tiếng, lãnh đạo, cán bộ	Đám đông nhà đầu tư, người dân	Mạng xã hội, quảng cáo, livestream	Không, dựng sẵn	Thấp đến trung bình
Giả mặt để qua xác thực khuôn mặt	Ngân hàng, ví điện tử, dịch vụ eKYC	Ứng dụng, camera	Có, đánh vào hệ thống	Khó với người dùng, cần phòng thủ ở phía hệ thống
Ghép mặt để tống tiền	Cá nhân bị lấy ảnh trên mạng xã hội	Tin nhắn riêng, email	Không	Thấp, nhưng áp lực tâm lý cao

Bảng có sáu dòng vì thủ đoạn họp giả và giả qua eKYC thường bị gộp chung với hai nhóm đầu, trong khi cách phòng khác nhau hẳn. Phần dưới đi vào từng nhóm.

Giả giọng nói: không có hình nên khó kiểm hơn bạn nghĩ

Kẻ lừa chỉ cần một đoạn âm thanh ngắn lấy từ video đăng công khai để mô phỏng giọng. Kịch bản hay gặp là “sếp” gọi nhờ chuyển khoản gấp trước cuộc họp, hoặc “con” gọi báo gặp chuyện. Số gọi đến cũng có thể bị giả; bài đăng ngày 07/10/2026 trên doanhnghiephoinhap.vn nêu rõ khuôn mặt, giọng nói và số điện thoại đều có thể bị làm giả. Vì thế, nhìn số hiển thị để tin cuộc gọi là không đủ.

Video call giả người quen: ngắn, mờ, rồi tắt

Cơ quan công an địa phương mô tả mô-típ quen thuộc: cuộc gọi chỉ vài giây, hình mờ, âm thanh kém, rồi kẻ lừa viện cớ sóng yếu để cắt máy và nhắn xin tiền. Một vụ được Công an Hà Nội cảnh báo: nạn nhân nhận tin nhắn từ tài khoản Facebook của người thân nhờ chuyển 150 triệu đồng, chuyển xong lại bị đòi thêm 400 triệu đồng. Điểm đáng nhớ là kẻ lừa quay lại đòi lần hai ngay khi lần một thành công.

Họp video giả lãnh đạo: nhắm vào quy trình thanh toán

Khác với cuộc gọi cá nhân, nhóm này nhắm vào người có quyền duyệt chi. Kịch bản: email mời họp khẩn, vài “đồng nghiệp” xuất hiện trên màn hình, “giám đốc” yêu cầu chuyển tiền cho một giao dịch mật. Sự có mặt của nhiều gương mặt tạo cảm giác được xác nhận chéo. Chủ đề liên quan là bảo mật email doanh nghiệp, vì lời mời họp giả thường đến từ email hoặc tên miền giả mạo.

Video giả người nổi tiếng hoặc cán bộ: đánh vào đám đông

Video dựng sẵn không cần phản hồi thời gian thực, nên kẻ lừa dùng được chất lượng cao hơn. Nội dung thường là “chuyên gia” hoặc người có tiếng khuyên đầu tư, nhận thưởng, hoặc dự báo của Hiệp hội An ninh mạng Quốc gia nêu nguy cơ mạo danh lãnh đạo cơ quan, cán bộ công quyền. Phòng tránh ở đây là kiểm tra kênh đăng tải chính thức, không phải soi từng điểm ảnh.

Giả mặt để vượt xác thực khuôn mặt

Đây là trường hợp deepfake nhắm vào hệ thống thay vì con người. Báo chí đã đưa tin tội phạm thách thức cả các hệ thống xác thực sinh trắc học của ngân hàng. Nạn nhân thường không biết cho đến khi tài khoản bị mở hoặc bị chiếm. Phần phòng thủ nằm chủ yếu ở nhà cung cấp, và bạn có thể tìm hiểu thêm ở bài về quy trình eKYC và rủi ro cùng sinh trắc học trong xác thực.

Dấu hiệu nhận biết deepfake còn đáng tin đến đâu?

Các hướng dẫn phổ biến liệt kê: khuôn mặt “trơ”, ánh sáng và bóng đổ sai chỗ, âm thanh lệch hình, video ngắn và nhiễu. Một chuyên gia bảo mật lý giải điều này bằng việc các ứng dụng deepfake chưa tối ưu tính toán nên clip thường nhỏ, ngắn, chất lượng thấp. Tuy nhiên, VnEconomy trích cảnh báo rằng nếu nhóm lừa đảo có tổ chức thấy lợi nhuận lớn, họ sẽ đầu tư phần cứng, phần mềm tốt hơn và hình giả khó phát hiện bằng mắt thường.

Vì vậy nên xếp các dấu hiệu theo độ tin cậy, thay vì xem chúng như danh sách kiểm tra duy nhất:

Cách kiểm tra	Dùng được khi	Điểm yếu
Soi dấu hiệu hình ảnh, âm thanh	Video chất lượng thấp, dựng vội	Mô hình tốt hơn sẽ xoá dấu hiệu; kẻ lừa còn cố tình làm mờ, giả sóng yếu
Gọi video đủ lâu, hỏi câu chỉ hai người biết	Người quen, cá nhân	Thông tin riêng có thể đã rò rỉ; kẻ lừa dùng dữ liệu cá nhân bị lộ để dựng kịch bản
Gọi lại bằng số đã lưu từ trước	Mọi yêu cầu liên quan tiền	Cần số gốc đáng tin; mất vài phút
Từ khoá thoả thuận trước (gia đình, nhóm quản lý)	Nhóm nhỏ, tình huống khẩn	Phải thống nhất trước, dễ quên
Duyệt chuyển tiền bởi hai người	Doanh nghiệp	Cần quy trình và công cụ ngân hàng hỗ trợ
Phần mềm phát hiện deepfake	Hệ thống xác thực, kiểm duyệt nội dung	Chạy đua với công nghệ tạo; không nên là chốt chặn duy nhất

Lời khuyên “gọi video ít nhất một phút và hỏi câu cá nhân” từ các chuyên gia trên Cổng thông tin Bộ Khoa học và Công nghệ có giá trị với thủ đoạn năm 2023. Nó vẫn hữu ích nhưng không nên là lớp cuối. Theo ghi nhận của dự án Chống Lừa Đảo trên Thanh Niên, dữ liệu rò rỉ gồm cả lịch sử giao dịch và quan hệ gia đình, giúp kẻ lừa trả lời đúng những câu “chỉ người thân biết”.

Kênh thứ hai: cách xác minh yêu cầu chuyển tiền

Cơ chế phòng tránh bền nhất là tách việc xác minh khỏi kênh mà yêu cầu đến. Công an khuyến cáo gọi điện trực tiếp, không gọi qua Zalo, Facebook hay ứng dụng khác mà kẻ lừa đang dùng (theo Báo Công an Nhân dân). Với ngân hàng, nếu có người tự xưng đại diện gọi đến thì gác máy và gọi lại số tổng đài chính thức, theo khuyến cáo của Phòng An ninh mạng nêu trên Cổng thông tin tỉnh Kon Tum.

Ví dụ minh hoạ: khoản chuyển gấp trước giờ nghỉ trưa

Ví dụ minh hoạ (giả định): kế toán một công ty phân phối nhận cuộc gọi Zalo có hình của “giám đốc”, yêu cầu chuyển 400 triệu đồng cho đối tác mới trước 11 giờ. Cuộc gọi chỉ kéo dài vài chục giây vì “đang ở sân bay, sóng yếu”. Kế toán không chuyển, tìm số giám đốc trong danh bạ nội bộ đã lưu từ trước và gọi lại. Giám đốc không hề gọi. Điểm quyết định không nằm ở chỗ kế toán nhận ra video giả, mà ở chỗ quy tắc yêu cầu mọi khoản chuyển cho tài khoản mới phải xác nhận qua số đã lưu.

Cá nhân và doanh nghiệp: cần phòng khác nhau thế nào?

Người dùng cá nhân thường bị đánh vào tình cảm; doanh nghiệp bị đánh vào quyền duyệt chi và quy trình. Bảng dưới đặt hai nhóm cạnh nhau.

Tiêu chí	Cá nhân, gia đình	Doanh nghiệp
Kịch bản chính	Người thân vay tiền, giả công an, giả ngân hàng	Giả lãnh đạo, giả đối tác đổi số tài khoản
Điểm yếu thường gặp	Tin vào khuôn mặt, giọng nói, hoảng vì bị doạ	Một người duyệt được khoản lớn; chỉ thị miệng qua chat
Biện pháp chính	Gọi lại số cũ, từ khoá gia đình, không bấm link	Duyệt hai người, hạn mức theo cấp, xác nhận đổi tài khoản
Dữ liệu cần giảm lộ	Ảnh, video giọng nói đăng công khai	Sơ đồ tổ chức, email, video phát biểu của lãnh đạo
Nơi báo khi bị lừa	Ngân hàng và công an địa phương	Ngân hàng, công an, bộ phận an toàn thông tin nội bộ

Quy tắc nên có cho phòng tài chính

• Mọi yêu cầu đổi tài khoản nhận tiền của nhà cung cấp phải được xác nhận qua số điện thoại ghi trong hợp đồng, không phải số trong email yêu cầu.
• Chỉ thị chuyển tiền bằng giọng nói hoặc video, dù từ lãnh đạo, không có giá trị nếu chưa có lệnh trong hệ thống phê duyệt.
• Khoản vượt ngưỡng cần hai người duyệt độc lập, trong đó người thứ hai không nhận lệnh từ cùng cuộc gọi.
• Họp video có thanh toán bất thường phải kiểm tra danh sách người tham dự với địa chỉ email thực, không chỉ nhìn tên hiển thị.

Lớp kỹ thuật bổ sung gồm xác thực đa yếu tố cho tài khoản ngân hàng và email, vì kẻ lừa dùng deepfake thường nhằm xin mã OTP hoặc chiếm tài khoản. Phần tiếp theo trong chuỗi tấn công thường là tin nhắn và link lừa đảo để lấy thông tin đăng nhập.

Lớp bảo vệ từ phía ngân hàng và cơ quan nhà nước

Nghe cảnh báo không phải lúc nào cũng kịp. Theo số liệu Ngân hàng Nhà nước công bố đến ngày 2/10/2026, hệ thống SIMO đã thu thập báo cáo từ 150 đơn vị và chia sẻ cho 21 đơn vị khai thác (16 ngân hàng, 5 trung gian thanh toán). SIMO đã cảnh báo hơn 5,6 triệu lượt khách hàng, hơn 1,9 triệu lượt tạm dừng hoặc huỷ giao dịch, tổng giá trị trên 6.300 tỷ đồng (theo doanhnghiephoinhap.vn, 07/10/2026). Điều này cho thấy khi ngân hàng cảnh báo giao dịch đáng ngờ, bạn nên dừng lại và gọi tổng đài chính thức thay vì tiếp tục.

Về pháp lý, hành vi dùng deepfake để chiếm đoạt tiền vẫn là lừa đảo chiếm đoạt tài sản theo Bộ luật Hình sự (Điều 174). Nếu cần trình báo, hãy giữ ảnh chụp màn hình, số tài khoản nhận tiền, nhật ký cuộc gọi và đường link tài khoản giả.

Khi nào nên đầu tư công cụ phát hiện deepfake?

Công cụ phát hiện hợp lý với tổ chức xác thực danh tính từ xa số lượng lớn (ngân hàng, ví, dịch vụ mở tài khoản trực tuyến) hoặc đơn vị kiểm duyệt nội dung. Với phần lớn doanh nghiệp vừa và nhỏ, quy trình duyệt chi và xác nhận qua kênh thứ hai rẻ hơn và chặn được cả những kịch bản không dùng deepfake. Doanh nghiệp nhỏ có thể xem thêm hướng an ninh mạng cho doanh nghiệp nhỏ để xếp ưu tiên.

Giảm dữ liệu để kẻ lừa khó dựng kịch bản

Kẻ lừa cần hai thứ: mẫu giọng, hình và thông tin về quan hệ. Bạn không thể xoá hết, nhưng có thể giảm bớt: đặt album ảnh và video ở chế độ riêng tư, không đăng lịch công tác chi tiết của lãnh đạo, hạn chế công khai chức danh, email và sơ đồ phòng ban. Dữ liệu rò rỉ từ các vụ lộ lộ thông tin trước đây vẫn bị khai thác, theo Hiệp hội An ninh mạng Quốc gia. Với doanh nghiệp, nghĩa vụ bảo vệ thông tin khách hàng và nhân viên được trình bày ở bài về bảo vệ dữ liệu cá nhân.

Câu hỏi thường gặp

Cuộc gọi video thấy đúng mặt người quen có đáng tin không?

Không đủ. Video call từng được xem là cách xác minh an toàn nhưng nay cũng bị làm giả, như các bài trên Đài VOV mô tả. Hãy xác minh thêm bằng cuộc gọi tới số đã lưu từ trước.

Có thể nhận ra deepfake bằng mắt không?

Đôi khi, nếu video thấp chất lượng: mặt thiếu cảm xúc, bóng đổ lạ, tiếng và hình lệch. Nhưng công nghệ tiến nhanh nên bạn không nên coi việc “không thấy lỗi” là bằng chứng thật.

Giọng nói bị giả thì phòng tránh thế nào?

Dùng từ khoá thoả thuận trước với người thân hoặc đội tài chính, và gọi lại bằng số đã lưu. Số hiển thị trên màn hình cũng có thể bị giả mạo.

Doanh nghiệp nên làm gì đầu tiên?

Đặt quy tắc cho hai tình huống rủi ro nhất: chuyển tiền gấp theo chỉ thị miệng và đổi tài khoản nhà cung cấp. Cả hai phải được xác nhận qua kênh thứ hai và có người duyệt độc lập.

Bị lừa rồi thì báo ở đâu?

Liên hệ ngân hàng ngay để yêu cầu hỗ trợ chặn, sau đó trình báo công an địa phương hoặc lực lượng an ninh mạng, kèm ảnh chụp, số tài khoản nhận tiền và nhật ký cuộc gọi.

Ghép mặt tống tiền có nên trả tiền không?

Không nên chuyển tiền, vì kẻ lừa thường đòi thêm. Hãy lưu bằng chứng, báo nền tảng để gỡ nội dung và trình báo cơ quan chức năng.