Blog / AI / Deep Article
Ngân hàng Italy mất hơn 100 triệu USD vì bị AI lừa
Ngân hàng tư nhân lớn nhất Italy bị lừa hơn 100 triệu USD vì AI (https://vnexpress.net/ngan-hang-tu-nhan-lon-nhat-italy-bi-lua-hon-100-trieu-usd-vi-ai-5124964.html). Đó là toàn bộ phần dữ kiện đã xác nhận mà tôi có trong tay: một định danh — ngân hàng tư nhân lớn nhất Italy — một con số — hơn 100 triệu USD — và một tác nhân được nêu tên — AI. Không có mốc thời gian chi tiết, không có tên chi nhánh, không có mô tả cơ chế trong phần dữ liệu này.
Và chính cái sự "gói gọn" ấy mới là chỗ đáng nói. Một thiệt hại chín chữ số ở định chế tài chính lớn nhất một quốc gia G7 mà thông tin công khai chỉ còn lại một câu — nghĩa là phần khó nhất của câu chuyện, phần giải thích bằng cách nào, vẫn chưa được kể. Câu hỏi thật sự là: nếu tới giờ này truyền thông vẫn chỉ có một câu, thì ban điều hành ngân hàng đó đang biết thêm những gì mà cổ đông chưa được nghe?
Điều đáng nói là cách sự việc được gọi tên: "bị AI lừa". AI không lừa. Kẻ lừa là người; AI là công cụ, giống như cây bút giả chữ ký không tự đi ký hợp đồng. Cách đặt vấn đề này không phải chuyện chữ nghĩa — nó quyết định cách phòng thủ. Nếu thủ phạm được định danh là "AI", phản ứng tự nhiên của mọi ngân hàng là đi mua thêm một lớp giải pháp AI, ký thêm một hợp đồng vendor, thêm một dòng vào ngân sách an ninh mạng. Còn nếu thủ phạm thật là một quy trình xác thực bị thủng ở chỗ con người phải ra quyết định, thì mua thêm phần mềm không sửa được gì cả.
Với 100 triệu USD (https://vnexpress.net/ngan-hang-tu-nhan-lon-nhat-italy-bi-lua-hon-100-trieu-usd-vi-ai-5124964.html), giả định hợp lý nhất là kẻ tấn công không vượt qua firewall. Họ thuyết phục được một người có quyền chuyển tiền rằng họ đang nói chuyện với đúng người cần nói chuyện. Ngân hàng tư nhân lớn nhất Italy vận hành hệ thống core banking không hề rẻ, có kiểm toán, có phân tách nhiệm vụ, có hạn mức phê duyệt. Tất cả những thứ đó đều hoạt động đúng thiết kế — và vẫn thủng, vì thiết kế giả định "người ở đầu dây bên kia là thật". Vậy lớp kiểm soát nào trong hệ thống hiện tại của bạn đứng vững nếu giả định đó sai?
(Phần này là bối cảnh chung về mặt bằng công nghệ, không phải chi tiết của vụ việc Italy nêu trên.)
Việc nhân bản giọng nói và hình ảnh đã dịch chuyển từ phòng thí nghiệm ra sản phẩm thương mại. OpenAI, Google, Microsoft và Meta đều đã đưa ra thị trường các mô hình giọng nói, video và hội thoại có khả năng bắt chước người thật. Song song đó là một thị trường công cụ rẻ hơn, ít kiểm soát hơn, chạy ngoài mọi chính sách sử dụng. Điểm mấu chốt không nằm ở việc công cụ nào tốt nhất, mà ở chỗ: chi phí để tạo ra một cuộc gọi trông và nghe có vẻ thật đã giảm xuống mức mà một nhóm nhỏ cũng dựng được, còn chi phí để phát hiện nó thì vẫn cao và luôn chậm hơn một nhịp.
Đây là bất đối xứng kinh điển. Kẻ tấn công cần đúng một lần thành công. Ngân hàng cần đúng mọi lần. Và trong một cuộc gọi khẩn cấp lúc 17h thứ Sáu, khi giám đốc tài chính nghe giọng của người mà mình đã họp sáng nay, xác suất "đúng" của con người không phải 99,9% — nó gần bằng cảm giác.
Ngành bảo mật có một câu sáo ngữ: con người là mắt xích yếu nhất. Nhưng các ngân hàng vẫn thiết kế quy trình dựa trên giả định ngược lại — rằng một nhân viên cấp cao, có kinh nghiệm 20 năm, sẽ nhận ra điều bất thường. Vụ việc ở Italy cho thấy giả định đó có thể sụp đổ ở quy mô 100 triệu USD (https://vnexpress.net/ngan-hang-tu-nhan-lon-nhat-italy-bi-lua-hon-100-trieu-usd-vi-ai-5124964.html).
Điều đáng nói là giải pháp kỹ thuật đã có sẵn từ lâu, chỉ là không ai muốn trả giá cho nó: xác thực ngoài băng tần (out-of-band) bằng kênh thứ hai, mã hoá đầu-cuối có khoá do hai bên giữ, quy tắc "lệnh trên ngưỡng X phải qua hai người xác nhận trên hai kênh khác nhau", và quan trọng nhất — quy tắc cứng rằng không có ngoại lệ nào cho cấp bậc. Những thứ này làm chậm giao dịch đúng ba phút. Ba phút đó là toàn bộ khác biệt giữa 0 USD và 100 triệu USD. Câu hỏi đặt ra cho mọi CIO ngân hàng: bạn có dám nói với CEO rằng lệnh của ông sẽ bị chặn ba phút không?
Cùng lúc, các ngân hàng Việt Nam đang đẩy rất nhanh số hoá quy trình tín dụng, mở tài khoản bằng eKYC, xác thực bằng dữ liệu sinh trắc học qua VNeID, và chạy hạ tầng chuyển mạch qua NAPAS. Tốc độ đó là lợi thế cạnh tranh thật. Nhưng nó cũng có nghĩa là quyết định cuối cùng đang dịch chuyển khỏi quầy giao dịch sang một cuộc gọi, một tin nhắn Zalo, một cuộc họp qua Zoom.
Thử đặt tình huống: một kế toán trưởng ở Techcombank hay VPBank nhận được cuộc gọi video từ người được cho là tổng giám đốc, giọng đúng, mặt đúng, bối cảnh đúng, yêu cầu giải ngân gấp cho một thương vụ đang đóng. Trong 100 triệu USD kia, có bao nhiêu phần trăm là lỗi công nghệ, bao nhiêu phần trăm là lỗi của một quy trình cho phép một người duy nhất bấm nút?
Và với đội ngũ lập trình viên Việt Nam đang ngồi trong các trung tâm R&D của ngân hàng — những người viết API chuyển tiền, viết rule engine phê duyệt, viết chatbot chăm sóc khách hàng — câu hỏi hẹp hơn nhưng khó hơn: hệ thống của bạn có phân biệt được "người dùng đã xác thực" và "người dùng đã xác thực và đang thực sự là người đó trong thời điểm này" không? Hai điều đó khác nhau, và vụ Italy nằm chính xác ở khoảng trống giữa chúng.
Sẽ có một làn sóng bán hàng mới: vendor AI chống AI, deepfake detector, liveness check nâng cấp. Một phần trong đó cần thiết. Nhưng 100 triệu USD ở Italy không xảy ra vì ngân hàng thiếu công cụ phát hiện deepfake. Nó xảy ra vì một người tin rằng mình đang nói chuyện với đồng nghiệp của mình, và hệ thống được thiết kế để khi người đó tin, tiền sẽ đi.
Đó là vấn đề tổ chức, không phải vấn đề mô hình. Và nó chỉ được giải quyết khi ban điều hành chấp nhận rằng sự bất tiện của việc xác minh hai lần rẻ hơn khoản lỗ chín chữ số — một kết luận mà con người thường chỉ rút ra sau khi đã trả tiền cho nó.
Vậy ngân hàng của bạn sẽ học từ hoá đơn 100 triệu USD của người khác, hay chờ đến khi có hoá đơn của chính mình?