Các mối đe dọa mạng do AI thúc đẩy đặt ngân hàng và khách hàng vào vòng nguy hiểm: Liệu internet có thể được bảo mật?

Thomas P. Vartanian, Giám đốc điều hành Trung tâm Công nghệ Tài chính & An ninh mạng

Internet đang phải đối mặt với sự gia tăng nhanh chóng của các mối đe dọa an ninh mạng do trí tuệ nhân tạo thúc đẩy. Khi các công cụ AI ngày càng mạnh mẽ, tội phạm, các nhóm thù địch và những tác nhân tự động hoạt động ngoài tầm kiểm soát có thể có thêm nhiều phương thức để nhắm vào các tổ chức tài chính, làm gián đoạn các hệ thống trọng yếu và đánh cắp tiền của khách hàng.

Ngân hàng, tổ chức tín dụng và công ty fintech đang ở vị trí trung tâm của rủi ro ngày càng gia tăng này. Họ bảo vệ các tài khoản, hệ thống thanh toán và cơ sở hạ tầng tài chính mà tội phạm không ngừng tìm cách khai thác. Mặc dù ngành ngân hàng có các biện pháp bảo vệ toàn diện, không tổ chức nào có thể đảm bảo rằng mọi cuộc tấn công đều sẽ bị ngăn chặn.

Những cảnh báo gần đây về việc các tác nhân AI truy cập tài khoản tài chính, phát hiện lỗ hổng phần mềm và vượt qua các biện pháp kiểm soát hệ thống đã làm gia tăng mối lo ngại trong lĩnh vực công nghệ và tài chính. Ngay cả khi một số báo cáo bị thổi phồng, xu hướng nền tảng vẫn rất đáng quan ngại: rủi ro an ninh mạng đang mở rộng nhanh hơn khả năng thích ứng của nhiều biện pháp phòng vệ truyền thống.

Vào năm 2023, tôi đã đề nghị độc giả cuốn sách The Unhackable Internet của mình thử hình dung việc thức dậy và phát hiện toàn bộ tiền trong tài khoản đã biến mất. Một năm sau, hàng nghìn khách hàng ngân hàng đã trải qua cơn ác mộng tương tự khi số dư tài khoản tạm thời hiển thị không còn tiền. Đối với những khách hàng bị ảnh hưởng, trải nghiệm này xảy ra đột ngột, gây bối rối và vô cùng đau khổ.

Khi AI ngày càng tự chủ, tình trạng gián đoạn như vậy có thể ảnh hưởng đến nhiều người hơn, trừ khi các tổ chức tài chính, công ty công nghệ và chính phủ có hành động mạnh mẽ hơn.

Vì sao AI tạo ra thách thức an ninh mạng lớn hơn

• Ngành ngân hàng hoạt động dưới sự điều chỉnh của một số yêu cầu khắt khe nhất về quy định, tiêu chuẩn bảo mật, vận hành và quy trình khôi phục sau thảm họa trong nền kinh tế.
• Bất chấp những biện pháp bảo vệ đó, các lỗ hổng an ninh mạng vẫn đang gia tăng khi các công cụ AI trở nên tinh vi hơn và các cuộc tấn công tự động ngày càng phổ biến.
• Các tác nhân tài chính ứng dụng AI có thể nhanh chóng chuyển tiền giữa các tài khoản và khoản đầu tư, tạo ra những thách thức mới về thanh khoản, ủy quyền và quản trị rủi ro.
• Bài toán liên kết mục tiêu với AI vẫn chưa được giải quyết, đồng nghĩa các nhà phát triển không thể đảm bảo rằng các hệ thống tự chủ sẽ luôn hành động vì lợi ích tốt nhất của người dùng.
• Ngay cả những hệ thống phòng vệ mạnh mẽ cũng phải hoạt động trên hạ tầng internet vốn không được thiết kế ban đầu cho việc xác minh danh tính hoặc bảo mật hiện đại.

Về lâu dài, các tổ chức tài chính có thể phải chuẩn bị cho nhiều kịch bản tương lai. Trong một kịch bản, con người vẫn hoàn toàn kiểm soát AI và sử dụng công nghệ này để cải thiện xã hội. Trong một kịch bản khác, các hệ thống tiên tiến giành được ảnh hưởng đối với những quyết định của con người. Khả năng thứ ba là con người và AI ngày càng tích hợp với nhau, tạo ra một mô hình hoàn toàn mới về trí tuệ và sự phụ thuộc vào công nghệ.

Ngành tài chính không thể chờ đợi một giải pháp hoàn hảo

Sẽ rất nguy hiểm nếu cho rằng chỉ chính phủ mới có thể bảo vệ hệ thống tài chính trước mọi thảm họa an ninh mạng. Các tổ chức riêng lẻ phải tiếp tục đầu tư vào bảo mật, khả năng chống chịu và ứng phó sự cố. Tuy nhiên, các luật và chính sách hiện hành có thể hạn chế mức độ quyết liệt mà tổ chức được phép áp dụng khi bị tấn công.

Khu vực tài chính cũng đang phải đối mặt với những vấn đề mang tính cơ cấu trong hoạt động quản lý. Hoa Kỳ có một trong những hệ thống giám sát tài chính phức tạp nhất thế giới, nhưng quốc gia này vẫn đã trải qua nhiều cuộc khủng hoảng ngân hàng và tài chính trong hai thế kỷ qua.

Một số điểm yếu cần được chú ý:

• Phạm vi quản lý chưa đồng đều. Các ngân hàng và tổ chức tiết kiệm chịu sự giám sát chặt chẽ, trong khi những bộ phận khác của hệ thống tài chính, bao gồm quỹ đầu tư, doanh nghiệp tiền mã hóa, công ty fintech và tổ chức cho vay phi ngân hàng, có thể hoạt động theo các tiêu chuẩn khác nhau.
• Các cơ quan quản lý thường bất đồng. Thẩm quyền chồng chéo giữa cơ quan quản lý liên bang và cấp bang có thể gây lãng phí nguồn lực, làm chậm quá trình ra quyết định và khuyến khích hành vi tận dụng khoảng trống pháp lý giữa các khuôn khổ quản lý.
• Hoạt động giám sát bị phân mảnh. Một hệ thống phối hợp tốt hơn có thể kết hợp các mục tiêu chính sách công với kiến thức kỹ thuật của các chuyên gia bảo mật trong khu vực tư nhân.
• Rủi ro hệ thống vẫn có thể xảy ra. Một điểm yếu tại một công ty có kết nối với nhiều bên khác có thể tạo ra con đường xâm nhập vào các tổ chức khác, bao gồm các tổ chức tài chính và nhà cung cấp hạ tầng trọng yếu.

Internet không được thiết kế cho an ninh tài chính hiện đại

Internet thuở đầu được tạo ra để giúp các trường đại học chia sẻ thông tin và liên lạc với nhau. Bảo mật không phải là mục đích chính của internet. Theo thời gian, dịch vụ tài chính, thương mại, hoạt động của chính phủ và cơ sở hạ tầng thiết yếu đã được xây dựng trên nền tảng ban đầu đó.

Nhiều vấn đề bảo mật hiện đại bắt nguồn từ thực tế rằng danh tính trực tuyến vẫn rất khó xác minh. Địa chỉ internet, mật khẩu và tín hiệu từ thiết bị không phải lúc nào cũng xác định được ai thực sự đang vận hành một hệ thống hoặc tài khoản.

Một mô hình bảo mật số mạnh hơn có thể bao gồm:

• Cơ chế xác thực liên kết từng thiết bị với một cá nhân hoặc tổ chức đã được xác minh.
• Các quy tắc rõ ràng điều chỉnh quyền truy cập vào những hệ thống trọng yếu và dịch vụ trực tuyến nhạy cảm.
• Các phương thức nhanh chóng vô hiệu hóa tài khoản, thiết bị hoặc tác nhân tự động vi phạm những quy tắc đó.
• Trách nhiệm giải trình cao hơn đối với các cá nhân, công ty và chính phủ triển khai công nghệ có khả năng gây ra thiệt hại trên diện rộng.

Nếu không có danh tính và trách nhiệm giải trình đáng tin cậy, tính ẩn danh có thể khiến tội phạm mạng dễ thực hiện hơn và khó điều tra hơn. Kết quả là một môi trường trực tuyến trong đó kẻ tấn công có thể nhắm vào con người và tổ chức xuyên biên giới với nguy cơ bị nhận diện rất thấp.

Tội phạm mạng mang lại lợi nhuận rất cao và khó ngăn chặn

Internet đã tạo ra những lợi ích to lớn cho xã hội, nhưng đồng thời cũng hình thành một hệ sinh thái số nguy hiểm. Tội phạm, tin tặc, kẻ săn mồi và các chính phủ thù địch có thể khai thác những người dùng, doanh nghiệp và cơ quan công quyền dễ bị tổn thương.

Trong thế giới thực, con người dựa vào khóa cửa, lực lượng cảnh sát, tòa án và các hệ thống phòng thủ quốc gia. Trên môi trường mạng, những biện pháp bảo vệ tương đương thường không nhất quán hoặc hoàn toàn không tồn tại. Các dịch vụ trọng yếu có thể được kết nối với nhà cung cấp, nhà thầu và nền tảng phần mềm, tạo thêm nhiều điểm xâm nhập.

Đối với các tổ chức tài chính, những mối đe dọa ngày càng mở rộng bao gồm chiếm đoạt tài khoản, gian lận thanh toán, mã độc tống tiền, đánh cắp dữ liệu, tấn công chuỗi cung ứng và kỹ nghệ xã hội tự động. AI có thể khiến các cuộc tấn công này diễn ra nhanh hơn, rẻ hơn và thuyết phục hơn.

Các biện pháp tiềm năng bao gồm tăng cường định danh số, sử dụng thông tin xác thực chuyên biệt cho hạ tầng trọng yếu và nâng cao năng lực điều tra tội phạm mạng. Việc bảo vệ hệ thống tài chính về sau có thể đòi hỏi sự kết hợp giữa các chuyên gia con người, hoạt động giám sát tự động và những công cụ bảo mật AI được kiểm soát chặt chẽ.

Các tổ chức tài chính có nên quay lại sử dụng mạng riêng?

Trước khi các ngân hàng và tổ chức tài chính khác phụ thuộc nhiều vào internet công cộng, nhiều tổ chức đã sử dụng các hệ thống độc quyền và mạng riêng. Những môi trường này thường có cơ chế kiểm soát truy cập chặt chẽ hơn và ít kết nối hơn với các hệ thống không liên quan.

Mạng riêng có thể là một mô hình hữu ích để bảo vệ những hạ tầng tài chính và công cộng nhạy cảm nhất. Một mạng riêng an toàn có thể giới hạn quyền truy cập đối với những người dùng được phê duyệt, yêu cầu xác thực mạnh hơn và giảm mức độ tiếp xúc với internet nói chung.

Những mạng này sẽ không loại bỏ mọi rủi ro an ninh mạng. Sai sót của con người, mối đe dọa từ nội bộ và thông tin xác thực bị xâm phạm vẫn là những vấn đề đáng lo ngại. Tuy nhiên, việc giới hạn quyền truy cập có thể khiến các cuộc tấn công khó thực hiện hơn và giảm khả năng tội phạm di chuyển từ tổ chức được kết nối này sang tổ chức khác.

Chính phủ có thể cân nhắc các chính sách khuyến khích nhằm hỗ trợ các nhà cung cấp hạ tầng trọng yếu chuyển sang những môi trường mạng an toàn hơn. Tín dụng thuế, các khoản tài trợ hoặc tiêu chuẩn bảo mật dùng chung có thể giảm chi phí triển khai, đồng thời tạo ra một hệ thống phòng thủ quốc gia nhất quán hơn.

Hợp tác toàn cầu là điều thiết yếu

Internet vượt qua biên giới quốc gia, trong khi luật pháp và quyền thực thi thường chỉ có hiệu lực trong phạm vi biên giới đó. Điều này tạo ra trở ngại lớn đối với các chính phủ đang nỗ lực quản lý công nghệ tiên tiến, truy tố tội phạm mạng và bảo vệ hạ tầng trọng yếu.

Các quốc gia áp đặt biện pháp kiểm soát nghiêm ngặt đối với AI tiên phong cũng phải đối mặt với nguy cơ tụt hậu so với những quốc gia ưu tiên phát triển nhanh chóng. Vì vậy, các chính phủ dân chủ cần một khuôn khổ quốc tế phối hợp về an ninh số và quản trị AI.

Một thỏa thuận toàn cầu có thể thiết lập các tiêu chuẩn chung về:

• Danh tính số và xác thực.
• Vệ sinh an ninh mạng và giám sát hệ thống.
• Điều tra và thực thi pháp luật xuyên biên giới.
• Trách nhiệm pháp lý đối với các công ty và tổ chức triển khai công nghệ nguy hiểm.
• Đánh giá bảo mật trước khi các ứng dụng AI tiên tiến được phát hành.

Một nguyên tắc quan trọng là các hệ thống AI phải được giám sát bởi những công cụ AI khác hoặc các cơ chế bảo mật độc lập. Không nên triển khai bất kỳ ứng dụng có tác động lớn nào nếu thiếu hoạt động giám sát liên tục có khả năng phát hiện hành vi lạm dụng, hành vi bất ngờ và các hành động trái phép.

Các ngân hàng nên làm gì ngay bây giờ

Từ lâu, các tổ chức tài chính đã nằm trong số những tổ chức tiên tiến nhất về an ninh mạng. Tuy nhiên, sự thiếu an toàn của internet nói chung đang khiến ngay cả những ngân hàng được chuẩn bị tốt cũng ngày càng khó bảo vệ khách hàng và duy trì hoạt động liên tục.

Các ngân hàng nên tiếp tục tăng cường xác minh danh tính, giám sát giao dịch, quản lý rủi ro nhà cung cấp, đào tạo nhân viên, hệ thống sao lưu và kế hoạch ứng phó khẩn cấp. Họ cũng nên đánh giá cách các tác nhân AI tự chủ có thể tương tác với tài khoản, thanh toán và các hệ thống nội bộ.

Ngành tài chính không nên chờ đợi một cuộc khủng hoảng tài chính lớn liên quan đến AI mới xử lý những điểm yếu vốn có trong internet. Một môi trường số an toàn hơn sẽ đòi hỏi sự hợp tác giữa ngân hàng, công ty fintech, nhà cung cấp công nghệ, cơ quan quản lý và chính phủ các quốc gia.

Internet có thể được thiết kế lại để trở nên an toàn hơn, nhưng điều đó sẽ đòi hỏi cam kết chính trị, đầu tư từ khu vực tư nhân và sự sẵn sàng xem xét lại những giả định lâu đời về tính ẩn danh, quyền truy cập và trách nhiệm giải trình. Cuối cùng, AI có thể tạo ra động lực cần thiết để xây dựng một internet bền bỉ hơn và khó bị tấn công hơn.

Về tác giả

Thomas P. Vartanian là Giám đốc điều hành Trung tâm Công nghệ Tài chính & An ninh mạng. Ông từng giữ chức vụ tại ba cơ quan quản lý tài chính liên bang và lãnh đạo các bộ phận dịch vụ tài chính tại các công ty luật quốc tế. Ông là tác giả của The Unhackable Internet và 200 Years of American Financial Panics.

Nguồn: Thefinancialbrand.com