Trước nguy cơ deepfake và giả mạo sinh trắc học ngày càng tinh vi, đại biểu Phạm Trọng Nhân đề nghị hoàn thiện cơ chế xác thực, chứng cứ điện tử, bảo vệ người dân tránh phải tự chứng minh mình không thực hiện giao dịch khi bị chiếm đoạt danh tính.
Thảo luận về dự thảo Luật Định danh và xác thực điện tử sáng 4/11, đại biểu Phạm Trọng Nhân (Đoàn TP.HCM) cho rằng, các quy định về xác thực sinh trắc học cần được rà soát để theo kịp sự phát triển của công nghệ, nhất là khi những phương thức giả mạo bằng trí tuệ nhân tạo (AI) đang đặt ra nhiều rủi ro đối với người sử dụng.
Đại biểu Phạm Trọng Nhân (Đoàn TP.HCM). Ảnh: Media Quốc hội.
Đại biểu dẫn chứng, tính đến ngày 2/10, ngành ngân hàng đã đối chiếu sinh trắc học cho hơn 170 triệu hồ sơ khách hàng cá nhân. Tuy nhiên, sinh trắc học không phải giải pháp duy nhất để chống lừa đảo. Theo báo cáo của Entrust, cứ 5 cuộc tấn công gian lận sinh trắc học thì có một cuộc sử dụng deepfake; các cuộc tấn công chèn dữ liệu giả để vượt qua camera xác thực cũng tăng 45% mỗi năm.
Từ thực tế này, đại biểu Trọng Nhân cho rằng, dự thảo Luật cần xem xét lại cách tiếp cận đối với xác thực sinh trắc học. Tại điểm c khoản 1 Điều 25, dự thảo quy định mức độ xác thực cao nhất là mức độ 3, sử dụng tối thiểu hai yếu tố, trong đó có một yếu tố thuộc về bản thân chủ thể như khuôn mặt, giọng nói hoặc vân tay. Tuy nhiên, theo đại biểu, việc coi sinh trắc học là yếu tố khó giả mạo nhất không còn phù hợp khi công nghệ deepfake ngày càng phát triển.
Đại biểu nhấn mạnh, mật khẩu có thể đổi, thẻ có thể khóa, nhưng khuôn mặt một khi bị lộ thì không thể thay đổi. Trong khi đó, hình ảnh khuôn mặt, giọng nói của nhiều người đã xuất hiện trên mạng xã hội, tạo điều kiện để các đối tượng lợi dụng.
Đáng lưu ý, đại biểu cho rằng, rủi ro không chỉ nằm ở việc bị giả mạo danh tính mà còn ở hệ quả pháp lý khi giao dịch gian lận được hệ thống xác nhận. Dự thảo đã đề cập cơ chế khiếu nại, bồi thường và lưu trữ nhật ký, nhưng chưa làm rõ trách nhiệm chứng minh khi xảy ra tranh chấp.
Theo đại biểu, nếu hình ảnh hoặc video giả vượt qua được quy trình xác thực mức độ 3, kết quả xác thực có thể trở thành chứng cứ bất lợi cho chính người bị giả mạo. Khi đó, người dân có nguy cơ phải chứng minh mình không thực hiện giao dịch. "Một người cao tuổi ở vùng sâu, vùng xa sẽ phải làm thế nào để chứng minh điều đó?", đại biểu đặt vấn đề.
Từ những phân tích trên, đại biểu đề nghị bổ sung nguyên tắc tại Điều 29 theo hướng, khi cá nhân kịp thời thông báo hoặc khiếu nại việc danh tính điện tử bị sử dụng trái phép, kết quả xác thực không mặc nhiên được coi là bằng chứng xác định người đó thực hiện giao dịch. Tổ chức cung cấp dịch vụ phải có trách nhiệm chứng minh quy trình xác thực đáp ứng yêu cầu chống giả mạo.
Đại biểu Triệu Thị Ngọc Diễm (Đoàn Cần Thơ). Ảnh: Media Quốc hội.
Đại biểu cũng đề nghị việc lựa chọn mức độ xác thực phải căn cứ vào mức độ rủi ro của giao dịch, thay vì hoàn toàn để người sử dụng tự quyết định. Cần chuẩn hóa mức xác thực độ 3 và quy định những giao dịch có rủi ro cao phải áp dụng mức này; đồng thời, xem xét bổ sung yếu tố xác thực gắn với thiết bị phần cứng, chẳng hạn chip trên căn cước, thay vì chỉ dựa vào camera và mã OTP trên cùng một điện thoại.
Đối với Điều 27, đại biểu đề nghị có quy định kiểm tra tính toàn vẹn của thiết bị và kênh thu nhận dữ liệu. Dự thảo cũng cần có phương thức xác thực thay thế tương đương cho những người gặp khó khăn khi sử dụng sinh trắc học.
Về kiểm soát công nghệ AI, đại biểu nhận định các mô hình AI hiện chưa thể kiểm soát hoàn toàn, trong khi công cụ tấn công liên tục phát triển. Vì vậy, quy định tại khoản 2 Điều 43 về kiểm thử độc lập trước khi đưa vào sử dụng và giám sát liên tục cần được bổ sung yêu cầu kiểm thử độc lập định kỳ, cũng như kiểm thử lại khi xuất hiện phương thức tấn công mới. Kết quả cần được báo cáo cơ quan quản lý và công bố những thông tin tổng hợp cần thiết.
Cùng quan tâm đến nguy cơ giả mạo trong hoạt động định danh và xác thực điện tử, đại biểu Triệu Thị Ngọc Diễm (Đoàn Cần Thơ) đề nghị bổ sung các hành vi bị nghiêm cấm, bao gồm mua bán, sử dụng trái phép yếu tố xác thực điện tử và cung cấp công cụ phục vụ giả mạo sinh trắc học.
Theo đại biểu, tội phạm có thể mua dữ liệu khuôn mặt, giọng nói, mã OTP để vượt qua quy trình xác thực mà không cần trực tiếp chỉnh sửa dữ liệu gốc. Vì vậy, tại khoản 2 Điều 6, cần bổ sung yếu tố xác thực điện tử bên cạnh dữ liệu định danh điện tử trong các hành vi thu thập, sử dụng, tiết lộ, chia sẻ trái pháp luật.
Đồng thời, bổ sung hành vi chế tạo, phân phối, mua bán, cung cấp công cụ, phần mềm, thiết bị phục vụ giả mạo sinh trắc học hoặc vô hiệu hóa cơ chế xác thực, như camera ảo, dịch vụ deepfake.
Về xử lý khi danh tính điện tử bị chiếm đoạt, đại biểu đề nghị Điều 17 bổ sung cơ chế tạm khóa khẩn cấp khi phát hiện danh tính bị chiếm quyền hoặc bị lợi dụng xâm phạm an ninh quốc gia, trật tự, an toàn xã hội. Việc tạm khóa cần được thực hiện kịp thời bởi hệ thống tự động hoặc lực lượng chuyên trách về an ninh mạng, cơ quan điều tra, đồng thời có hướng dẫn cụ thể.
Đối với việc truy vết và xử lý tranh chấp, đại biểu đề nghị Điều 16, Điều 28 và Điều 31 quy định rõ thông tin tối thiểu phải lưu trong nhật ký xác thực, gồm định danh, thời gian theo chuẩn quốc gia, địa chỉ IP nguồn, thông tin thiết bị, phương thức và mức độ xác thực. Nhật ký cần được đồng bộ về hệ thống của Bộ Công an theo thời gian thực hoặc hằng ngày, có chữ ký số, dấu thời gian để bảo đảm tính toàn vẹn và có thể sử dụng làm chứng cứ mà không phải giám định lại.