Chào anh em ZolaChat, chúc mọi người một tuần mới nhiều năng lượng! Bước sang năm 2025, chúng ta chứng kiến sự bùng nổ vượt bậc của công nghệ. Từ những chiếc laptop AI, smartphone tích hợp NPU xử lý dữ liệu on-device mượt mà cho đến các AI Agent tự hành có khả năng xử lý công việc thay con người. Thế nhưng, công nghệ phát triển càng nhanh thì mặt tối của nó cũng biến hóa khôn lường. Những vụ tấn công phi kỹ thuật (Social Engineering) không còn là những email giật gân dịch vụng về hay cuộc gọi giả danh công an đơn điệu như vài năm trước. Giờ đây, kẻ xấu đã đưa các mô hình AI mã nguồn mở vào quy trình săn mồi, biến từng mảnh ghép dữ liệu riêng tư của chúng ta thành công cụ thao túng tâm lý chuẩn xác đến rợn người. Tuần trước, mình vừa phải hỗ trợ một người anh thân thiết xử lý sự cố lộ lọt danh tính và bị tống tiền số. Câu chuyện đó thôi thúc mình viết bài này, mong anh em trong cộng đồng cùng nhìn nhận lại bức tường bảo mật cá nhân của chính mình. 1. Khi cạm bẫy đội lốt nhu cầu kết nối cảm xúc Sau những giờ làm việc căng thẳng, nhu cầu tìm kiếm một người lắng nghe, chia sẻ là điều hết sức tự nhiên. Nhiều người tìm đến các nền tảng trò chuyện với người lạ web hoặc tải về một app trò chuyện trực tuyến bất kỳ để giải tỏa tâm sự. Lợi dụng tâm lý đó, các nhóm lừa đảo đã thiết lập hàng loạt bot AI Agent tự hành có khả năng phân tích ngữ cảnh, thấu hiểu cảm xúc cực tốt để dẫn dắt nạn nhân vào tròng. Chúng giăng lưới từ những ngóc ngách rất kín đáo. Có những người vì tò mò hoặc tìm kiếm cảm giác mới lạ mà click vào các đường link câu view mờ ám dạng tìm số điện thoại gái già, hoặc tham gia vào các hội nhóm nhạy cảm như nhóm độc thân ly hôn trên mạng xã hội. Ở đó, các AI Agent đóng vai những người phụ nữ từng trải, tâm lý, liên tục trò chuyện ngày đêm để tạo dựng lòng tin tuyệt đối. "Trong kỷ nguyên 2025, khi AI có thể học giọng nói và phong cách nhắn tin chỉ qua vài đoạn chat ngắn, thứ nguy hiểm nhất không phải là một con virus máy tính, mà chính là sự mất cảnh giác trước một 'người bạn tâm giao' ảo." Khi nạn nhân đã mở lòng chia sẻ những góc khuất đời tư, kẻ xấu sẽ khéo léo gửi một đường link bình chọn, một ứng dụng xem ảnh riêng tư hoặc một tệp tin chứa mã độc độc hại được thiết kế riêng để vượt qua các lớp quét bảo mật thông thường nhằm đánh cắp cookie trình duyệt và token tài khoản ngân hàng. 2. Lỗ hổng rò rỉ vị trí từ tính năng tìm kiếm xung quanh Một nguy cơ khác thường bị xem nhẹ chính là tính năng định vị không gian thực. Khi cài đặt một app có chức năng tìm quanh đây, người dùng thường vô tư cấp quyền truy cập vị trí chính xác (Precise Location) mọi lúc. Các đối tượng xấu hiện nay sử dụng kỹ thuật tam giác hóa vị trí (Trilateration) kết hợp với các công cụ tự động hóa. Chúng chỉ cần tạo 3 tài khoản ảo ở các tọa độ khác nhau, ghi nhận khoảng cách tương đối hiển thị trên ứng dụng là có thể tính toán ra chính xác vị trí căn hộ hoặc nơi làm việc của bạn với sai số chưa đầy 5 mét. Khi kết hợp tọa độ này với các dữ liệu lộ lọt từ các sàn thương mại điện tử, kẻ gian dễ dàng dựng nên một hồ sơ danh tính hoàn chỉnh: từ tên thật, biển số xe, lộ trình di chuyển hàng ngày của bạn để phục vụ các kịch bản tống tiền hoặc lừa đảo mạo danh người thân bằng Deepfake âm thanh thời gian thực. 3. Checklist bảo vệ tài khoản và dữ liệu thực chiến năm 2025 Để tự bảo vệ mình và gia đình giữa thời buổi AI tràn lan, mình đúc kết một số nguyên tắc bảo mật cốt lõi mà anh em nên rà soát lại ngay hôm nay: • Khai tử mật khẩu truyền thống, chuyển sang Passkeys: Năm 2025 rồi, hãy kích hoạt Passkeys (chuẩn FIDO2) trên tất cả các dịch vụ hỗ trợ (Google, Apple ID, Microsoft, tài khoản ngân hàng). Passkeys sử dụng chip bảo mật phần cứng trên thiết bị, loại bỏ hoàn toàn nguy cơ bị đánh cắp tài khoản qua các trang web lừa đảo (phishing) giả mạo giao diện. • Tận dụng trí tuệ nhân tạo on-device để phòng thủ: Các dòng điện thoại và máy tính AI thế hệ mới đều có tính năng bảo mật cục bộ. Hãy bật tính năng tự động lọc cuộc gọi rác (Call Screening), chặn cài đặt file APK/ứng dụng ngoài nguồn tin cậy và kích hoạt sandbox kiểm soát quyền truy cập nhạy cảm. • Nguyên tắc phân vùng danh tính số: Sử dụng email bí danh (Email Alias) và số điện thoại ảo khi đăng ký các dịch vụ giải trí vãng lai. Tuyệt đối không dùng chung một tài khoản đăng nhập mạng xã hội cho các diễn đàn không chính thống. • Thiết lập mật mã an toàn gia đình (Safe Word): Trước vấn nạn Deepfake giọng nói và hình ảnh có thể giả lập người thân trong vài giây, hãy quy ước với bố mẹ, con cái một cụm từ bí mật không bao giờ chia sẻ lên mạng. Bất cứ cuộc gọi nào liên quan đến mượn tiền, chuyển khoản khẩn cấp đều phải đọc đúng mật mã này mới thực hiện giao dịch. • Kiểm soát quyền định vị: Chỉ cho phép các ứng dụng bản đồ truy cập vị trí khi đang mở ứng dụng. Đối với các mạng xã hội hoặc app hẹn hò, chỉ nên chọn tùy chọn 'Vị trí tương đối' (Approximate Location) thay vì tọa độ chính xác. Nếu anh em muốn kiểm tra nhanh các phiên đăng nhập lạ hoặc các token cấp quyền tồn đọng trên trình duyệt máy tính, có thể mở DevTools bằng phím tắt sau để kiểm tra Session Storage và Local Storage xem có script lạ nào đang âm thầm gửi dữ liệu ra ngoài hay không:

Ctrl + Shift + I (hoặc F12) -> Chuyển sang tab Application -> Storage

Lời kết Công nghệ sinh ra là để phục vụ cuộc sống và mang con người lại gần nhau hơn, nhưng ranh giới giữa một kết nối ý nghĩa và một cái bẫy tinh vi đôi khi chỉ cách nhau một lần bấm chuột thiếu cẩn trọng. Giữ được sự tỉnh táo, trang bị kiến thức bảo mật đúng đắn chính là cách tốt nhất để chúng ta tận hưởng trọn vẹn tiện ích của thời đại số mà không phải đánh đổi bằng sự bình yên của bản thân. Anh em trong diễn đàn mình đã chuyển hoàn toàn sang Passkeys chưa? Đã có ai từng gặp phải những tình huống AI lừa đảo tinh vi nào gần đây chưa? Cùng bình luận chia sẻ kinh nghiệm thực tế bên dưới để cả nhà cùng học hỏi nhé!