Chào anh em ZolaChat, dạo gần đây lướt diễn đàn, mình thấy nhiều anh em chia sẻ về những câu chuyện dở khóc dở cười liên quan đến các cuộc trò chuyện trên mạng. Bước sang năm 2025, khi mà các dòng laptop AI hay smartphone tích hợp chip NPU đã trở nên quen thuộc, AI Agents tự hành không chỉ hỗ trợ chúng ta viết code, tóm tắt tài liệu hay đặt lịch hẹn, mà đáng tiếc thay, chúng còn đang bị kẻ gian tận dụng triệt để vào các kịch bản lừa đảo tình cảm và thao túng tài khoản số. Hôm nay, với tư cách là một người làm việc nhiều năm trong mảng an toàn thông tin, mình muốn ngồi lại chia sẻ thật lòng cùng anh em về những thủ đoạn tinh vi mới và các bước thiết lập lá chắn bảo mật vững chắc cho bản thân. 1. Khi AI 'hóa thân' thành người tình lý tưởng Nếu như vài năm trước, các vụ lừa đảo 'pig butchering' (nuôi rồi mổ thịt) thường để lộ sơ hở bởi những câu dịch máy ngô nghê, thời gian phản hồi chậm trễ do kẻ lừa đảo phải chat tay, thì nay cục diện đã hoàn toàn khác. Với sự bùng nổ của các mô hình ngôn ngữ lớn mã nguồn mở chạy mượt mà ngay trên máy trạm cá nhân, các tổ chức tội phạm mạng đã xây dựng những AI Agent có khả năng: • Duy trì ngữ cảnh trò chuyện liên tục hàng tuần, ghi nhớ từng thói quen, sở thích, giờ giấc sinh hoạt của nạn nhân. • Giả lập cảm xúc một cách hoàn hảo: biết hờn dỗi đúng lúc, biết an ủi khi bạn than thở mệt mỏi sau giờ làm. • Tạo dựng hình ảnh đại diện và giọng nói bằng công cụ tổng hợp giọng nói thời gian thực với ngữ điệu địa phương cực kỳ tự nhiên. Nhiều người bước vào độ tuổi chín muồi, chịu nhiều áp lực gia đình và mang tâm thế cần tìm vợ để ổn định tổ ấm, hay những bạn trẻ tò mò tìm kiếm từ khóa lạ kiểu cách tìm kiếm máy bay bà già trên mạng xã hội, rất dễ trở thành đích ngắm của các chiến dịch này. Kẻ gian thường thả mồi câu trong các hội nhóm hâm mộ các chương trình ghép đôi việt nam, nơi tập trung đông đảo những người đang khao khát kết nối thực sự. Chỉ cần một nút kết bạn cùng lời mời gọi ngọt ngào: 'Hãy hẹn hò cùng em nhé, mình tìm hiểu nhau từ từ', cánh mày râu rất dễ hạ thấp cảnh giác. 2. Kịch bản thao túng: Từ tâm sự đến chiếm quyền thiết bị Sau vài ngày trò chuyện thân mật, kịch bản lừa đảo thường tiến triển theo một lộ trình được lập trình sẵn rất tinh vi: "Anh ơi, mạng bên em chập chờn quá, hay là mình sang một phần mềm trò chuyện nội bộ này nói chuyện riêng tư hơn đi, ở đây không sợ bị lộ tin nhắn..." Đường link gửi qua thực chất dẫn đến một trang web giả mạo có giao diện trau chuốt, yêu cầu bạn tải về tệp APK (đối với Android) hoặc cài đặt profile doanh nghiệp (đối với iOS). Ẩn sâu bên trong ứng dụng chat này là các dòng mã độc gián điệp có khả năng: • Tự động đọc mã xác thực OTP gửi về điện thoại. • Ghi lại thao tác bàn phím (Keylogger) để lấy cắp mật khẩu ngân hàng, ví tiền điện tử. • Khai thác quyền Accessibility (Hỗ trợ tiếp cận) để tự động điều khiển màn hình khi bạn không sử dụng máy, từ đó thực hiện lệnh chuyển tiền trong đêm. Thậm chí, trong năm 2025, kẻ xấu còn áp dụng deepfake trực tiếp trong các cuộc gọi video ngắn từ 5-10 giây để bạn tin rằng đối phương là 'người thật việc thật', sau đó viện cớ mạng lag, camera hỏng để quay lại giao diện nhắn tin. 3. Thiết lập lá chắn bảo mật: Nguyên tắc 'Zero Trust' trong thế giới số Để bảo vệ ví tiền và sự bình yên của chính mình, mình đúc kết vài kinh nghiệm thực chiến gửi đến anh em: Thử thách tính chân thật của đối phương Nếu nghi ngờ cuộc gọi video là deepfake, anh em hãy khéo léo yêu cầu đối phương thực hiện một động tác ngẫu nhiên làm gián đoạn thuật toán nội suy hình ảnh, ví dụ: đưa bàn tay lướt ngang qua mặt, quay nghiêng đầu 90 độ thật nhanh, hoặc cầm một đồ vật bất kỳ che nửa khuôn mặt. Các mô hình deepfake real-time hiện nay vẫn rất dễ bị vỡ hình, biến dạng ngón tay hoặc lệch khớp bóng đổ khi có vật thể lạ cắt ngang. Tuyệt đối không cài app ngoài luồng Chỉ sử dụng các ứng dụng liên lạc chính thống được tải từ Google Play hoặc App Store. Không bao giờ cấp quyền 'Trợ năng' (Accessibility Service) cho bất kỳ ứng dụng nào nếu bạn không thực sự hiểu rõ cơ chế hoạt động của nó. Hãy nhớ rằng, một mối quan hệ lành mạnh sẽ không bao giờ bắt đầu bằng việc ép buộc bạn phải tải một ứng dụng lạ hoắc. Nâng cấp phương thức xác thực tài khoản Thời đại này, xác thực 2 bước qua tin nhắn SMS đã không còn an toàn trước các loại Trojan đánh cắp tin nhắn. Anh em nên: • Chuyển đổi sang dùng Passkeys (chuẩn FIDO2) cho các tài khoản Google, Apple, mạng xã hội. • Nếu dịch vụ chưa hỗ trợ Passkeys, hãy dùng ứng dụng tạo mã OTP offline (như Aegis, Ente Auth) hoặc khóa bảo mật vật lý (YubiKey). • Bật tính năng bảo vệ sinh trắc học trên các ứng dụng ngân hàng và thiết lập hạn mức chuyển tiền trong ngày ở mức vừa phải. Tách bạch danh tính và dữ liệu cá nhân Khi tham gia vào các không gian mạng xã hội, hãy tập thói quen không công khai ngày tháng năm sinh đầy đủ, địa chỉ nhà, biển số xe hay hình ảnh nơi làm việc. AI Agents thu thập dữ liệu nguồn mở (OSINT) hiện nay có thể tổng hợp toàn bộ mảnh ghép này chỉ trong vài giây để dựng nên hồ sơ tâm lý chính xác về bạn, từ đó điều chỉnh kịch bản lừa đảo vừa vặn với điểm yếu cảm xúc của bạn nhất. Lời kết Nhu cầu yêu thương, tìm kiếm bạn đời là nhu cầu rất tự nhiên và đáng trân trọng của mỗi con người. Nhưng giữa một kỷ nguyên mà công nghệ số và trí tuệ nhân tạo có thể ngụy tạo hầu như mọi thứ từ giọng nói, ánh mắt cho đến lời thề hẹn, sự tỉnh táo chính là tấm khiên bảo vệ duy nhất cho anh em. Hãy để công nghệ phục vụ cuộc sống của bạn, chứ đừng để những dòng mã độc vô hồn trục lợi từ chính sự chân thành của mình. Anh em trong diễn đàn đã bao giờ gặp phải những tài khoản ảo tiếp cận theo kiểu 'thả thính' tự động thế này chưa? Cùng bình luận bên dưới để chia sẻ chiêu trò mới và cảnh báo cho mọi người nhé!