Một dịch vụ trên dark web được báo cáo đang chào bán hơn 153 triệu hồ sơ bằng lái xe của người Mỹ và Canada, và FBI đang điều tra một vụ rò rỉ dữ liệu rõ ràng liên quan đến nhà cung cấp xác minh danh tính IDScan.net. Đây lại là một trường hợp khác trong đó một số cơ chế vốn được cho là nhằm bảo vệ công chúng Mỹ lại đang bị sử dụng để gây hại cho họ. Vấn đề rõ ràng là: các quy trình chống gian lận hiện tại yêu cầu xác định và xác minh danh tính khách hàng đang vô tình tiếp tay cho hoạt động gian lận bằng cách trao cho tội phạm thông tin nhạy cảm của bạn một cách dễ dàng.
Các cuộc tấn công mạng nhắm vào thông tin nhận dạng cá nhân (PII) đã phổ biến trong một thời gian dài và ngày càng trở nên nghiêm trọng hơn. Năm 2017, Equifax — một trong những cơ quan báo cáo tín dụng lớn nhất tại Hoa Kỳ — đã trải qua một cuộc tấn công mạng dẫn đến việc thông tin cá nhân nhạy cảm của gần 148 triệu người Mỹ bị xâm phạm. Gần 45% người Mỹ đã bị đánh cắp dữ liệu. Bộ Tư pháp Hoa Kỳ cho rằng Quân Giải phóng Nhân dân Trung Quốc là thủ phạm trong bản truy tố năm 2020, nhưng đây chỉ là giải pháp tạm thời trước vấn đề cốt lõi ngày càng phổ biến hơn.
Laz Pieper là giám đốc nghiên cứu tại Coin Center, tổ chức bảo vệ quyền của cá nhân trong việc xây dựng, sử dụng và kết nối các mạng ngang hàng miễn phí và mã nguồn mở, cũng như quyền thực hiện điều đó một cách riêng tư.
Hầu hết mọi người có thể chưa từng nghe đến IDScan, nhưng đã từng đưa giấy phép lái xe cho các doanh nghiệp sử dụng công nghệ và dịch vụ của nó. Như tên gọi, IDScan chuyên về xác minh danh tính và cung cấp phần cứng và phần mềm để quét, phân tích và xác thực danh tính cho các công ty cho thuê xe, ngân hàng, khách sạn, sòng bạc, cửa hàng bán cần sa, nhà bán lẻ và các doanh nghiệp khác. Các hệ thống của nó có thể chụp ảnh mặt trước và mặt sau, trích xuất thông tin cá nhân, so sánh ảnh trong giấy tờ tùy thân với ảnh selfie, và truyền hoặc lưu trữ dữ liệu kết quả vào cổng đám mây để doanh nghiệp tiếp tục truy cập sau khi xác thực.
Mặc dù có các biện pháp an ninh mạng, mô hình kinh doanh của nó luôn dễ bị tấn công. Dữ liệu là một trong những tài sản quý giá nhất của thế kỷ 21. Các chính phủ và doanh nghiệp đều đã thiết kế các kế hoạch để thu thập càng nhiều dữ liệu càng tốt từ công dân và người tiêu dùng, và trong quá trình đó, đã mở cửa cho các tội phạm mạng và đối thủ nước ngoài tham gia vào cuộc đua vàng hiện đại.
Dữ liệu quan trọng nhất, tất nhiên, là PII, bao gồm các chi tiết cực kỳ nhạy cảm, như tên và địa chỉ của một người, cũng như giấy tờ tùy thân do chính phủ cấp, chẳng hạn như bằng lái xe hoặc hộ chiếu. Để truy cập vào một số lượng lớn dịch vụ tại Hoa Kỳ, người dân Mỹ phải xác minh danh tính của mình và các nhà cung cấp dịch vụ phải xác minh rằng họ chính là người họ tuyên bố. Yêu cầu này có thể mang tính quy định và thương mại: chính phủ muốn ngăn chặn gian lận và hoạt động bất hợp pháp, nhưng các doanh nghiệp cũng vậy. Tiếc thay, cách thức thực hiện điều này đã không làm gì nhiều để ngăn chặn gian lận và hoạt động bất hợp pháp, nhưng lại đủ để trao quyền cho chúng.
Các tổ chức tài chính, chẳng hạn như ngân hàng, là ví dụ điển hình nhất. Các tổ chức tài chính phải tuân thủ Đạo luật Bảo mật Ngân hàng (BSA) và các quy định liên quan để thu thập và lưu trữ hồ sơ thông tin nhận dạng cá nhân (PII) khi tiếp nhận khách hàng mới nhằm chống lại tài chính bất hợp pháp và gian lận. Thông tin nhạy cảm và có giá trị này thường được lưu trữ trong một cơ sở dữ liệu trung tâm, được gọi là “bẫy mồi”, khiến nó trở thành mục tiêu hấp dẫn đối với tin tặc. Một khi PII bị đánh cắp, nó có thể được sử dụng để mở hoặc xâm nhập vào tài khoản, thực hiện các giao dịch gian lận và rửa tiền nhân danh một người vô tội.
Các biện pháp “phòng ngừa” này đã diễn ra như thế nào đối với hệ thống tài chính Hoa Kỳ và toàn cầu? Cơ sở dữ liệu về khiếu nại và báo cáo của người tiêu dùng của Ủy ban Thương mại Liên bang đã nhận được 6,47 triệu báo cáo liên quan đến gian lận, trộm cắp danh tính và các vấn đề người tiêu dùng khác trong năm 2024, tăng từ khoảng 860.000 vào năm 2004. Và hoạt động tài chính phi pháp diễn ra tràn lan: đã ước tính rằng hoạt động tài chính phi pháp toàn cầu đạt 4,4 nghìn tỷ USD chỉ riêng năm ngoái.
Các tổ chức tài chính ngày càng áp dụng nhiều phương pháp khác nhau để xác minh khách hàng nhằm ngăn chặn tội phạm vượt qua các điểm kiểm tra chống gian lận của họ — ngay cả khi đã có được thông tin nhận dạng cá nhân của công dân tuân thủ pháp luật — nhưng những phương pháp này chỉ tạo ra những rào cản nhỏ nhất. Các mã tạm thời được gửi qua tin nhắn hoặc email dễ bị xâm phạm thông qua các cuộc tấn công lừa đảo và nhiều phương pháp khác, và các kiểm tra sinh trắc học đang giảm hiệu quả do những tiến bộ nhanh chóng trong trí tuệ nhân tạo.
IDScan không phải là một tổ chức tài chính, cũng không bị pháp luật yêu cầu phải lưu trữ bất kỳ thông tin nhận dạng cá nhân nào — nó chỉ là một nhà cung cấp cho phép các doanh nghiệp khác thực hiện kiểm tra danh tính. Tuy nhiên, các doanh nghiệp sử dụng dịch vụ đám mây của IDScan đã tập trung các bẫy dữ liệu của họ vào một vị trí tập trung hơn, khiến việc xâm phạm dữ liệu trở nên dễ dàng hơn rất nhiều.
Xem xét tất cả những điều này, tại sao chúng ta lại giao nộp thông tin cá nhân nhạy cảm của mình khi những gì chúng ta nhận lại chỉ là những lời hứa hẹn giả dối về sự an toàn? Người Mỹ không an toàn hơn vì họ phải xác minh danh tính mình với mọi nhà cung cấp dịch vụ mà họ tiếp xúc trong từng khoảnh khắc thức giấc. Hoàn toàn ngược lại. Và thế nhưng, các chính phủ trong và ngoài nước lại muốn mở rộng thêm hệ thống xác minh danh tính thông qua xác minh độ tuổi dưới danh nghĩa bảo vệ trẻ em. Nhưng một lần nữa, chúng ta chứng kiến rằng những “biện pháp bảo vệ” này gây ra nhiều hại hơn là lợi. Thông tin của chúng ta đã bị phơi bày và bị trao đổi giữa những kẻ phạm tội, bởi vì chính phủ và các tập đoàn muốn biết chúng ta là ai và chúng ta đang làm gì. Và bây giờ, chúng ta phải trả giá.
Nếu từng có thời điểm cần bảo mật mạnh mẽ hơn, thì chính là ngay bây giờ. Tuy nhiên, chúng ta không thể bỏ qua sự tinh tế. Có những lời kêu gọi xóa bỏ hoàn toàn các quy trình xác minh danh tính. Đây là một giải pháp hấp dẫn, nhưng thực tế là mục đích cốt lõi của các quy trình chống gian lận là bảo vệ người Mỹ và tài sản của họ, đồng thời bảo vệ doanh thu và tính toàn vẹn hoạt động của doanh nghiệp — cách tiếp cận hiện tại chỉ là không thành công. Có lợi ích thực sự ở đây, nhưng điều đó không có nghĩa là chúng ta phải giữ nguyên hiện trạng.
Các công nghệ đang được phát triển mang lại khả năng tiếp cận tốt hơn. Thay vì liên tục yêu cầu người Mỹ nộp bản sao đầy đủ giấy tờ tùy thân, các hệ thống bảo vệ quyền riêng tư có thể cho phép cá nhân chứng minh chỉ những thông tin mà dịch vụ cần biết — chẳng hạn như tuổi, quyền lợi hoặc quyền kiểm soát tài khoản — trong khi vẫn giữ kiểm soát đối với thông tin gốc.
Các công nghệ này vẫn đang trong quá trình phát triển, nhưng các cơ quan quản lý liên bang nên tạo điều kiện để các tổ chức thử nghiệm chúng và cập nhật các yêu cầu hiện có khi chúng trưởng thành. Ngoài ra, khi ngày càng nhiều phương pháp bảo vệ quyền riêng tư xuất hiện, Quốc hội nên giảm bớt các yêu cầu thu thập và lưu trữ thông tin không cần thiết. Các quy trình chống gian lận vẫn có giá trị, nhưng có thể tồn tại mà không cần một hồ sơ vĩnh viễn để tội phạm đánh cắp.
Một cách khẩn cấp hơn, Washington và các chính quyền tiểu bang nên ngừng mọi đạo luật hoặc quy định mở rộng yêu cầu xác minh danh tính sang các lĩnh vực nơi chúng chưa tồn tại và không cần thiết. Nỗ lực thúc đẩy xác minh độ tuổi đối với phần mềm mã nguồn mở và internet phải chấm dứt; điều này đe dọa người dân Mỹ thông thường và trao quyền cho tội phạm và các đối thủ nước ngoài, trong khi không bảo vệ được trẻ em.
Các vụ vi phạm như thế này có thể phòng tránh được; chúng ta chỉ cần muốn ngăn chặn chúng. Các công cụ để làm điều đó đang bắt đầu xuất hiện, và trong những trường hợp chúng ta không cần xác minh ai đó, chúng ta nên tránh làm vậy. Bởi vì cách tốt nhất để bảo vệ thông tin cá nhân nhạy cảm là không thu thập chúng ngay từ đầu.