ĐBQH: Không để người bị lừa đảo phải chứng minh 'mình không phải là mình'

Sáng 4/11, góp ý vào dự án Luật Định danh và xác thực điện tử, đại biểu Quốc hội Phạm Trọng Nhân (Đoàn TP.HCM) dẫn số liệu đến ngày 2/10, ngành ngân hàng đã đối chiếu sinh trắc học cho hơn 175 triệu hồ sơ khách hàng cá nhân.

“Nhưng ngày 8/10, Vụ trưởng Vụ Thanh toán Ngân hàng Nhà nước nhấn mạnh: sinh trắc học không phải là giải pháp duy nhất chống lừa đảo. Năm nay, theo báo cáo của Entrust, cứ năm lượt tấn công gian lận sinh trắc thì có một lượt dùng deepfake; còn tấn công chèn dữ liệu, bỏ qua camera để đưa thẳng video giả vào luồng xác thực, tăng 40% một năm”, đại biểu nói.

Dự thảo Luật đã có quy định cấm sử dụng sinh trắc học giả để điều chỉnh vấn đề liên quan đến AI, song ông Nhân đề nghị xem xét kỹ hơn quy định về mức độ xác thực.

Đại biểu phân tích, mức xác thực cao nhất là mức độ 3, sử dụng tối thiểu hai yếu tố, trong đó có ít nhất một yếu tố đặc trưng. Trên thực tế, yếu tố đặc trưng thường là khuôn mặt, giọng nói hoặc vân tay.

“Luật đang mặc nhiên coi sinh trắc là thứ khó giả nhất. Giả định này đến nay không còn đủ mạnh: sinh trắc vẫn cần, nhưng không thể đứng một mình”, đại biểu nói.

Đại biểu cũng nhắc lại vụ việc Công an tỉnh Thanh Hóa triệt phá đường dây mua bán gần 1.000 tài khoản ngân hàng vào tháng 6/2026. Theo đó, các đối tượng lấy ảnh chụp sẵn của chủ tài khoản, dựng thành video bằng phần mềm, can thiệp thiết bị, đưa vào thay camera để qua mặt sinh trắc của nhiều ngân hàng.

“Mật khẩu bị lộ thì đổi được, thẻ bị mất thì khóa được, còn khuôn mặt bị lộ thì cả đời không đổi được. Mà khuôn mặt, giọng nói của mỗi chúng ta nằm sẵn trên mạng xã hội. Chúng ta đang có một chiếc chìa khóa treo sẵn ngoài cửa, rồi luật lại đặt nó vào vị trí là chìa khóa chính”, đại biểu nhìn nhận.

Đáng nói hơn, theo ông Nhân là hệ quả pháp lý. Điểm a khoản 1 Điều 29 quy định kết quả xác thực có giá trị xác nhận chủ thể tham gia giao dịch, còn khoản 4 Điều 28 thì coi đó là nguồn chứng cứ.

Dự thảo Luật đã có quyền khiếu nại, bồi thường và nhật ký quyết định, nhưng chưa nói ai phải chứng minh.

“Khi kẻ gian dùng ảnh, video giả vượt qua mức độ 3 và kết quả xác thực ở mức cao nhất lại trở thành chứng cứ bất lợi đầu tiên cho chính người bị hại, khi đó người bị hại có nguy cơ phải tự chứng minh: mình không phải là mình”, ông Nhân cảnh báo.

Vị đại biểu Đoàn TP.HCM đặt vấn đề: Một bà cụ ở vùng sâu, vùng quê bị chiếm đoạt tài khoản sẽ chứng minh bằng cách nào? Phải chăng, mức xác thực càng cao thì người dân càng khó đòi lại công bằng?

Đại biểu Phạm Trọng Nhân cho rằng một khó khăn hiện nay là Việt Nam chưa làm chủ hoàn toàn các mô hình AI, trong khi công nghệ làm giả ngày càng phát triển nhanh và tinh vi. Dự thảo Luật đã yêu cầu kiểm thử độc lập trước khi sử dụng và giám sát liên tục, nhưng chưa có kiểm định lại độc lập định kỳ, cũng không buộc công khai kết quả.

Tuy nhiên, ông Nhân thông tin ngày 3/11, Viettel và Ban Cơ yếu Chính phủ ra mắt chip bảo mật do kỹ sư Việt Nam thiết kế, tích hợp thuật toán mật mã quốc gia, định hướng đưa vào thiết bị chữ ký số và chip định danh.

“Ảnh khuôn mặt có thể bị chụp lại, còn khóa mật mã trong chip thì không lấy ra được; chip do mình làm chủ thì mình tự kiểm chứng được đến tận lõi của nó”, ông Nhân nói.

Từ đó, ông Nhân kiến nghị quy định mức xác thực tối thiểu bắt buộc dựa trên mức độ rủi ro của từng giao dịch, thay vì để các đơn vị sử dụng dịch vụ hoàn toàn tự lựa chọn.

Cụ thể là bổ sung: Chuẩn hóa nội dung mức độ 3 và bắt buộc áp dụng mức này cho giao dịch thuộc danh mục rủi ro cao. Mức độ 3 phải có yếu tố sở hữu gắn với phần cứng như chip trên thẻ căn cước, không chỉ dựa vào camera và tin nhắn trên cùng một chiếc điện thoại (điện thoại bị can thiệp thì cả gương mặt qua camera lẫn mã OTP gửi về máy đều không còn đáng tin).

Đồng thời, cần bảo đảm phương thức xác thực thay thế tương đương cho người yếu thế, người gặp khó khăn trong việc sử dụng công nghệ.

Về lâu dài, ông Nhân đề xuất ưu tiên theo lộ trình sử dụng chip bảo mật và thuật toán mật mã do Việt Nam làm chủ, đã qua kiểm định, trong hệ thống định danh và xác thực điện tử cũng như tại các cơ quan, tổ chức trong hệ thống chính trị.

Theo đại biểu, dự thảo Luật cũng cần bổ sung nguyên tắc “khi chủ thể đã kịp thời thông báo và khiếu nại danh tính bị sử dụng trái phép, kết quả xác thực không mặc nhiên là chứng cứ chính chủ”. Cơ quan, tổ chức thực hiện xác thực có nghĩa vụ chứng minh quá trình xác thực đã tuân thủ đầy đủ yêu cầu chống giả mạo.

“Nếu không thể bắt hết hàng giả thì trước mắt phải đóng dấu được hàng thật”, ông Nhân nói và đề xuất triển khai theo lộ trình để người dân có thể kiểm chứng tính xác thực của những nội dung này ngay trên VNeID.