Thấy mặt người quen trên video call cũng chưa chắc là thật: Cảnh giác lừa đảo Deepfake qua Messenger, Zalo

# Thấy mặt người quen trên video call cũng chưa chắc là thật: Cảnh giác lừa đảo Deepfake qua Messenger, Zalo Bạn nhận được tin nhắn từ tài khoản Facebook của một người bạn thân: "Cho mình mượn gấp mấy chục triệu, tối mai trả." Bạn hơi ngờ ngợ, nhắn lại "Gọi video cho mình xem nào". Vài giây sau, đúng khuôn mặt ấy hiện lên màn hình, đúng giọng nói ấy, nói vội mấy câu rồi mạng chập chờn, cúp máy. Bạn yên tâm chuyển tiền. Buổi chiều, người bạn thật gọi tới, hốt hoảng: "Facebook tao bị hack rồi, đừng chuyển tiền cho ai cả!" Đã quá muộn. Đây không phải kịch bản tưởng tượng. Đó là chiêu lừa đã có mặt ở Việt Nam từ năm 2023 và ngày càng tinh vi. Điều nguy hiểm nhất: nó đánh thẳng vào niềm tin bản năng của chúng ta — rằng "thấy tận mắt, nghe tận tai" thì phải là thật. Công nghệ đứng sau nó tên là **Deepfake** (giả mặt) và **Deepvoice** (giả giọng): dùng trí tuệ nhân tạo tái tạo khuôn mặt và giọng nói của một người có thật, để kẻ gian "hóa thân" thành người thân, bạn bè, đồng nghiệp hay sếp của bạn. ## Vì sao chiêu này lọt qua "lá chắn" tra số điện thoại Phần lớn các mẹo phòng lừa đảo đều xoay quanh **số điện thoại lạ**: thấy số lạ gọi tới xưng công an, xưng ngân hàng thì cảnh giác, tra cứu, chặn. Cách này rất hữu ích — nhưng deepfake qua mạng xã hội **đi vòng qua nó hoàn toàn**. Lý do: cuộc tấn công không đến từ một số điện thoại xa lạ. Nó đến từ **chính tài khoản Messenger, Zalo hay Facebook của người bạn quen** — tài khoản đã bị hack. Bạn không có "số lạ" nào để mà nghi ngờ hay tra cứu. Mọi thứ hiển thị đúng tên, đúng ảnh đại diện, đúng lịch sử trò chuyện của người thật. Và khi bạn đòi bằng chứng, kẻ gian tung ra thứ thuyết phục hơn cả giọng nói: **một đoạn video ngắn có khuôn mặt người quen**. Nói cách khác: chiêu này được thiết kế để vượt qua đúng những phản xạ cảnh giác mà chúng ta đã học được. Vì thế nó cần một cách phòng vệ khác. ## Kẻ gian dựng màn kịch như thế nào Kịch bản thường diễn ra theo bốn bước: 1. **Chiếm tài khoản.** Kẻ gian hack Facebook/Zalo/Messenger của một người, thường là người đang ở xa (đi nước ngoài, đi công tác) để nạn nhân khó kiểm chứng trực tiếp. 2. **Nhắn tin mượn tiền gấp.** Chúng nhắn cho bạn bè, người thân trong danh bạ, tạo tình huống khẩn cấp: kẹt tiền, cần đóng viện phí, cần chuyển gấp. 3. **Gọi video deepfake vài giây để tạo lòng tin.** Khi nạn nhân nghi ngờ, chúng phát một đoạn video deepfake khuôn mặt và giọng người quen qua cuộc gọi, rồi nhanh chóng cúp với lý do "mạng yếu". Chỉ cần vài chục giây "mắt thấy tai nghe" là đủ để nạn nhân mất cảnh giác. 4. **Thúc chuyển tiền.** Chúng gửi số tài khoản và giục chuyển ngay. Một chi tiết quan trọng: **tên chủ tài khoản nhận tiền thường không trùng với tên người đang gọi** — nhưng vì đã "thấy mặt", nhiều người không kịp để ý. ## Chuyện đã xảy ra thật **Ở Việt Nam.** Ngay từ năm 2023, nhiều nạn nhân tại TP.HCM đã lên tiếng. Một người kể đã chuyển 20 triệu đồng cho "bạn" sau một cuộc gọi video qua Facebook, đến chiều mới nhận được cảnh báo tài khoản của bạn bị hack. Một người khác mất 30 triệu đồng với đúng chiêu thức. Công an nhiều tỉnh cho biết có những vụ số tiền bị chiếm đoạt lên tới **hàng trăm triệu, thậm chí cả tỷ đồng**; do tiền được chuyển qua nhiều tài khoản trung gian và rút ra ngay, việc truy vết và thu hồi rất khó khăn. **Trên thế giới — vụ khiến cả giới an ninh mạng chấn động.** Đầu năm 2024, một nhân viên tài chính của tập đoàn kỹ thuật Arup tại Hồng Kông được mời vào một cuộc họp video với "giám đốc tài chính" và vài "đồng nghiệp". Anh nhận ra mặt, nhận ra giọng, nên đã thực hiện 15 lệnh chuyển khoản, tổng cộng khoảng **25,6 triệu USD (hơn 600 tỷ đồng) chỉ trong một ngày**. Sự thật: **không một ai trên cuộc gọi đó là người thật.** Toàn bộ đều là deepfake, được dựng từ video và âm thanh công khai của các lãnh đạo Arup — loại tư liệu ai cũng có thể lấy từ LinkedIn, YouTube hay các buổi họp báo cáo. Đến nay chưa ai bị bắt và số tiền chưa được thu hồi. **Và vụ suýt xảy ra.** Giữa năm 2024, hãng xe Ferrari suýt trở thành nạn nhân khi kẻ gian giả giọng tổng giám đốc gọi qua WhatsApp yêu cầu một giao dịch khẩn. Điều cứu họ rất đơn giản: một nhân viên đã **hỏi ngược một câu chỉ sếp thật mới trả lời được** — và kẻ giả mạo tắt máy. ## Những con số nên khiến ta dừng lại - Tại Việt Nam, thiệt hại do lừa đảo trực tuyến năm 2025 ước tính **hơn 6.000 tỷ đồng** chỉ trong 11 tháng đầu năm (theo Bộ Công an) — dù tỷ lệ nạn nhân đã giảm so với năm trước. - Chỉ **32%** nạn nhân trình báo cơ quan chức năng; hơn 12% chấp nhận mất tiền mà không làm gì. Chính sự im lặng này khiến kẻ gian tiếp tục lộng hành. - Thiệt hại do lừa đảo deepfake tại Mỹ năm 2025 lên tới **1,1 tỷ USD**, gấp ba lần năm trước đó. Hãng tư vấn Deloitte dự báo gian lận dùng AI có thể chạm mốc **40 tỷ USD vào năm 2027**. - Đáng sợ nhất: con người chỉ nhận ra được video deepfake chất lượng cao trong khoảng **24,5%** trường hợp — tức là thua cả tung đồng xu. Và chỉ cần **3 giây** âm thanh là đủ để AI nhân bản giọng nói của bạn. Thông điệp của những con số này rất rõ: **đừng đặt cược vào mắt và tai của mình.** Chúng không còn là bằng chứng đáng tin nữa. ## Dấu hiệu nhận biết một cuộc gọi deepfake Theo các chuyên gia an ninh mạng, do phần mềm deepfake xử lý thời gian thực vẫn chưa hoàn hảo, cuộc gọi giả thường lộ ra vài điểm bất thường: - **Rất ngắn**, hình ảnh mờ, chất lượng thấp, rồi cúp nhanh với lý do "mạng yếu". - **Khuôn miệng, biểu cảm lệch nhịp** so với lời nói; ánh mắt đờ đẫn, chớp mắt bất thường. - Người trong video **né quay mặt nghiêng, né đưa tay lên trước mặt**, ánh sáng trên mặt trông "phẳng" hoặc kỳ lạ. - Vừa cúp máy là **lập tức chuyển sang nhắn tin thúc giục** chuyển tiền. Nhưng hãy nhớ: công nghệ đang tiến rất nhanh, và sẽ tới lúc mắt thường không còn phát hiện được nữa. Vì vậy, đừng dựa vào việc "soi" cuộc gọi. Hãy dựa vào một quy tắc chắc chắn hơn. ## Cách phòng vệ thật sự hiệu quả Chỉ có một nguyên tắc đủ mạnh để chặn chiêu này, và nó không phụ thuộc vào việc bạn có "tinh mắt" hay không: **Luôn xác minh qua một kênh khác trước khi chuyển tiền.** Cụ thể: - **Gác máy và gọi lại bằng số điện thoại thật** của người đó — số bạn đã lưu, gọi qua sóng điện thoại thường. **Tuyệt đối không xác minh bằng chính ứng dụng đang bị nghi ngờ** (Messenger, Zalo, Viber, Telegram), vì tài khoản đó có thể đã nằm trong tay kẻ gian. - **Kiểm tra tên chủ tài khoản nhận tiền.** Nếu tên không trùng với người đang nhờ chuyển, đó là cờ đỏ. - **Chậm lại.** Sự khẩn cấp chính là vũ khí của kẻ lừa đảo — chúng cần bạn hành động trước khi kịp suy nghĩ. Một cuộc gọi mượn tiền gấp, càng giục thì càng phải nghi. - **Thống nhất một "mật khẩu gia đình".** Một câu hỏi hoặc từ khóa bí mật mà chỉ người nhà mới biết, dùng để xác minh khi có yêu cầu chuyển tiền qua mạng. Đây chính là cách Ferrari đã thoát nạn. - **Cảnh báo cho người lớn tuổi trong nhà** — nhóm dễ bị tổn thương nhất trước chiêu này. Nếu ai đó gửi bạn một số tài khoản đáng ngờ, bạn có thể tra cứu và báo cáo số đó tại **TrustVietnam** để cộng đồng cùng cảnh giác. ## Nếu đã lỡ chuyển tiền Hãy hành động ngay, đừng xấu hổ mà im lặng: 1. **Gọi tổng đài ngân hàng** báo giao dịch lừa đảo, yêu cầu hỗ trợ phong tỏa — thời gian đầu là vàng. 2. **Trình báo công an** nơi gần nhất, giữ lại toàn bộ tin nhắn, số tài khoản, lịch sử chuyển tiền. 3. **Chia sẻ và cảnh báo.** Việc bạn lên tiếng giúp người khác không sập bẫy. Đừng để nỗi ngại ngùng tiếp tay cho kẻ gian. --- Deepfake sẽ ngày càng thật hơn, và không có "app soi mặt" nào theo kịp mãi. Nhưng thứ bảo vệ bạn không nằm ở công nghệ — nó nằm ở một thói quen đơn giản: **dừng lại, và xác minh qua một kênh khác.** Kẻ gian có thể giả được khuôn mặt và giọng nói. Chúng không giả được cuộc gọi bạn chủ động bấm tới số thật của người thân. *Bài viết thuộc chuỗi nâng cao nhận thức an toàn số của TrustVietnam. Nội dung chuyên môn được biên soạn bởi đội ngũ Security365.* --- **Nguồn tham khảo:** Bộ Công an, Hiệp hội An ninh mạng Quốc gia (NCA) và cảnh báo của công an các địa phương; báo Tuổi Trẻ (loạt bài về lừa đảo cuộc gọi video deepfake tại Việt Nam); Cảnh sát Hồng Kông và CNN (vụ Arup); các báo cáo an ninh mạng quốc tế của iProov, Pindrop, Gartner và Deloitte.