SEBI cảnh báo các công ty về 'Boss Scam' dùng AI deepfake lừa chuyển tiền

Ủy ban Chứng khoán và Giao dịch Ấn Độ (SEBI) vừa phát đi cảnh báo tới các tổ chức được quản lý và công ty niêm yết về hình thức lừa đảo “Boss Scam”, trong đó tội phạm sử dụng trí tuệ nhân tạo để giả mạo lãnh đạo cấp cao nhằm chiếm đoạt tiền từ bộ phận tài chính.

Thông cáo báo chí số 40/2026 được SEBI công bố ngày 17 tháng 7 năm 2026, dựa trên thông tin tình báo do Trung tâm Điều phối Tội phạm Mạng Ấn Độ (I4C) chia sẻ. Đây là lần đầu tiên cơ quan quản lý thị trường chứng khoán Ấn Độ chính thức lên tiếng về mối đe dọa này.

Theo SEBI, trong một vụ “Boss Scam” điển hình, kẻ lừa đảo giả danh giám đốc điều hành hoặc lãnh đạo cấp cao qua email, WhatsApp, Microsoft Teams và các nền tảng truyền thông khác, yêu cầu nhân viên tài chính thực hiện chuyển tiền khẩn cấp. Các tin nhắn thường tỏ ra bảo mật và ngăn cản việc xác minh, với lý do liên quan đến thông tin nhạy cảm hoặc chưa công bố.

Điều đáng lo ngại là tội phạm ngày càng sử dụng công nghệ deepfake do AI điều khiển, bao gồm nhân bản giọng nói và cuộc gọi video giả mạo, để khiến các yêu cầu gian lận trở nên hợp pháp. Trong một số trường hợp, kẻ lừa đảo còn tạo ra các nhóm mạng xã hội giả để tăng độ tin cậy.

SEBI cũng nêu bật một phương thức tấn công thứ hai liên quan đến các tệp ZIP độc hại chứa phần mềm độc hại. Khi được mở, phần mềm này có thể chiếm quyền kiểm soát phiên WhatsApp Web đang hoạt động hoặc xâm nhập thiết bị của nạn nhân. Cơ quan quản lý giải thích: “Phần mềm độc hại tấn công hệ thống và chiếm đoạt mã thông báo phiên WhatsApp Web đang hoạt động. Kẻ lừa đảo có quyền truy cập vào tài khoản WhatsApp của nhân viên tài chính, sau đó liên hệ với nhân viên kế toán hoặc tài chính, yêu cầu họ thanh toán ngay vào các tài khoản ngân hàng trung gian được chỉ định.”

Ngoài ra, kẻ tấn công có thể thay đổi chi tiết liên hệ trên thiết bị bị xâm nhập, thay số điện thoại thật bằng số gian lận để đánh lừa nhân viên khi họ cố gắng xác minh.

Để giảm thiểu rủi ro, SEBI kêu gọi các tổ chức xác minh độc lập mọi hướng dẫn thanh toán nhận được qua kênh liên lạc số bằng cách liên hệ trực tiếp với người được cho là đã gửi yêu cầu. Các công ty không nên thực hiện yêu cầu thanh toán chỉ dựa trên tin nhắn, tránh mở tệp thực thi mà không xác minh, thường xuyên đăng xuất khỏi các phiên WhatsApp Web không sử dụng và báo cáo ngay sự cố nghi ngờ qua đường dây nóng tội phạm mạng quốc gia 1930 hoặc cổng thông tin báo cáo tội phạm mạng.

Cảnh báo của SEBI phản ánh mối lo ngại ngày càng tăng về việc tội phạm mạng khai thác công nghệ AI để nhắm vào khu vực tài chính. Các chuyên gia an ninh mạng khuyến cáo doanh nghiệp nên thiết lập quy trình xác minh đa kênh đối với mọi giao dịch tài chính, đặc biệt khi yêu cầu đến từ lãnh đạo cấp cao qua nền tảng nhắn tin. Người dùng cá nhân cũng có thể tự bảo vệ bằng cách kiểm tra danh sách cảnh báo chính thức từ cơ quan quản lý và luôn xác nhận lại qua một kênh liên lạc độc lập trước khi thực hiện bất kỳ giao dịch chuyển tiền nào theo yêu cầu khẩn cấp.