Trong nhiều năm qua, tôi đã luôn nói với các chủ doanh nghiệp rằng rủi ro lớn nhất của việc ứng dụng AI trong doanh nghiệp nhỏ không phải là bị thay thế bởi robot, mà là bị vượt mặt bởi một đối thủ biết sử dụng AI tốt hơn. Tuy nhiên, gần đây, một thực tế đen tối hơn đã xuất hiện. Chính những công cụ tạo nội dung mà chúng ta dùng để viết email và lập trình đang bị các đối tượng xấu biến thành vũ khí để tạo ra những vụ gian lận tổng hợp với độ chính xác cao. Nếu bạn chưa cân nhắc đến 'AI phòng thủ' (Defensive AI), bạn thực chất đang để cửa kho quỹ mở toang trong khi mải mê tập trung vào việc nâng cấp hệ thống chiếu sáng văn phòng.
Hầu hết các doanh nghiệp vừa và nhỏ (SME) đang hoạt động trong cái mà tôi gọi là 'Vùng Goldilocks' của gian lận. Bạn có đủ dòng tiền và khối lượng giao dịch kỹ thuật số để trở thành một mục tiêu béo bở, nhưng bạn lại thiếu các trung tâm điều hành an ninh trị giá £50.000 mỗi tháng vốn để bảo vệ các công ty trong nhóm FTSE 100. Khoảng trống này chính là nơi mà các hình thức lừa đảo qua email (phishing) và hóa đơn giả mạo (deepfake) bằng AI phát triển mạnh mẽ. Trong hướng dẫn này, tôi sẽ chỉ cho bạn cách lấp đầy khoảng trống đó mà không làm thâm hụt ngân sách.
Sự trỗi dậy của hình thức giả mạo tổng hợp
💡 Muốn Penny phân tích doanh nghiệp của bạn? Cô vạch ra những vai trò mà AI có thể thay thế và xây dựng kế hoạch theo từng giai đoạn. Bắt đầu dùng thử miễn phí →
Chúng ta đang bước ra khỏi thời đại của những email 'Hoàng tử Nigeria' với vốn tiếng Anh sai lệch. bối cảnh đe dọa ngày nay bị thống trị bởi Giả mạo tổng hợp (Synthetic Deception). Sử dụng các Mô hình Ngôn ngữ Lớn (LLMs), kẻ lừa đảo có thể thu thập dữ liệu từ hồ sơ LinkedIn, website công ty và các bài phỏng vấn công khai của bạn để tạo ra một email có giọng văn y hệt như bạn.
Đáng sợ hơn nữa là sự gia tăng của deepfake âm thanh và hình ảnh. Trong tháng qua, tôi đã trò chuyện với hai chủ doanh nghiệp từng nhận được 'tin nhắn thoại' từ đối tác kinh doanh yêu cầu thay đổi thông tin thanh toán khẩn cấp. Giọng nói hoàn hảo. Nhịp điệu chuẩn xác. Lý do duy nhất khiến họ không thực hiện thanh toán là vì cảm giác bất an rằng yêu cầu này có chút gì đó không đúng với tính cách thường ngày. Dựa vào 'linh cảm' không phải là một chiến lược an ninh có khả năng mở rộng.
Chỉ thị đa kênh: Một khuôn khổ mới cho niềm tin
Trong một thế giới ưu tiên AI, chúng ta phải chấp nhận một sự thật nghiệt ngã: Danh tính kỹ thuật số hiện nay rất dễ bị làm giả. Nếu một yêu cầu được gửi đến thông qua một kênh kỹ thuật số duy nhất (email, Slack, hoặc WhatsApp), theo mặc định, nó phải được coi là chưa được xác minh.
Tôi ủng hộ cái mà tôi gọi là Chỉ thị đa kênh (Multi-Channel Mandate). Đây là một khuôn khổ quy trình mà bất kỳ hành động có tác động cao nào—như thay đổi thông tin ngân hàng, phê duyệt một lệnh chuyển khoản lớn, hoặc chia sẻ dữ liệu nhân viên nhạy cảm—đều yêu cầu xác minh qua hai kênh liên lạc không kết nối với nhau.
Cách triển khai quy trình xác minh
- Quy tắc Out-of-Band (Giao tiếp ngoài luồng): Nếu có yêu cầu thay đổi hóa đơn qua email, yêu cầu đó phải được xác nhận lại qua một số điện thoại đã biết hoặc một cuộc gặp trực tiếp đã được sắp xếp trước.
- Bí mật dùng chung (Shared Secrets): Tránh xa các câu hỏi bảo mật dựa trên thông tin công khai. Hãy sử dụng 'Mật mã nội bộ' cho đội ngũ tài chính của bạn và thay đổi chúng hàng quý.
- Mã thông báo trực quan (Visual Tokens): Khi thực hiện cuộc gọi video, hãy yêu cầu người kia quay đầu hoặc vẫy một vật thể cụ thể. Các deepfake thời gian thực hiện nay thường gặp khó khăn với các góc nhìn nghiêng và hiện tượng bị che khuất.
Việc xây dựng các quy trình này không đòi hỏi phần mềm đắt tiền, nhưng nó đòi hỏi một sự thay đổi về văn hóa. Bạn thường có thể thấy mức tiết kiệm đáng kể cho các dịch vụ pháp lý và tuân thủ bằng cách thắt chặt các quy trình nội bộ này trước khi xảy ra sự cố, thay vì phải trả tiền để khắc phục hậu quả sau đó.
Xây dựng bộ công cụ công nghệ phòng thủ
Mặc dù quy trình là tuyến phòng thủ đầu tiên, bạn cũng cần các công cụ có thể phát hiện những gì mắt người thường bỏ sót. Khi xem xét chi phí hỗ trợ IT, chúng ta nên tìm kiếm các nhà cung cấp có cung cấp dịch vụ bảo mật email dựa trên AI. Các công cụ như Abnormal Security hoặc Darktrace sử dụng 'AI phòng thủ' để xây dựng một bộ quy chuẩn về giao tiếp 'bình thường' trong doanh nghiệp của bạn. Khi một email gửi đến có giọng văn giống với CEO của bạn nhưng đến từ một địa chỉ IP bất thường hoặc chứa một sự thay đổi ngôn ngữ tinh vi, AI sẽ gắn cờ cảnh báo trước khi nó kịp vào hộp thư đến của bạn.
Quy trình hóa đơn 'Zero-Trust'
Hầu hết các vụ gian lận hóa đơn xảy ra vì chúng ta tin tưởng vào tài liệu trước mặt mình. Một hóa đơn do AI tạo ra có thể trông giống hệt bố cục của nhà cung cấp của bạn. Một chiến lược ứng dụng AI cho doanh nghiệp nhỏ mạnh mẽ nên bao gồm việc đối soát hóa đơn tự động. Các công cụ sử dụng OCR (Nhận dạng ký tự quang học) để so khớp mọi trường thông tin trên hóa đơn gửi đến với 'Hồ sơ gốc' của các giao dịch trước đó có thể phát hiện những thay đổi nhỏ trong số IBAN mà một người đang bận rộn có thể bỏ lỡ.
Kinh tế học về rủi ro: Bảo hiểm và Phòng ngừa
Tôi là người tin tưởng vào sự trung thực tuyệt đối: bạn sẽ không bao giờ an toàn 100%. Đây là lý do tại sao chuyển giao rủi ro là một phần cốt lõi của kế hoạch. Tuy nhiên, thị trường bảo hiểm doanh nghiệp đang thay đổi. Các công ty bảo hiểm hiện đang hỏi cụ thể về các biện pháp phòng thủ AI của bạn. Nếu bạn không thể chứng minh mình có 'Chỉ thị đa kênh' hoặc quy trình xác minh 'Out-of-Band', phí bảo hiểm của bạn có thể tăng vọt—hoặc tệ hơn, yêu cầu bồi thường của bạn có thể bị từ chối vì lỗi 'sơ suất nghiêm trọng' nếu bạn mắc bẫy deepfake.
Nghịch lý về nỗi lo âu tự động hóa
Có một mô hình lặp đi lặp lại mà tôi thường thấy: những doanh nghiệp do dự nhất trong việc áp dụng AI để tăng trưởng thường là những doanh nghiệp dễ bị tổn thương nhất trước AI gian lận. Tại sao? Bởi vì họ vẫn đang dựa vào các quy trình thủ công, mỏng manh mà AI cực kỳ dễ dàng mô phỏng.
Bằng cách áp dụng các công cụ AI cho hoạt động của chính mình—như kế toán tự động và các nền tảng liên lạc an toàn—bạn thực sự đang làm vững chắc thêm doanh nghiệp của mình. Bạn chuyển từ mô hình 'dựa trên niềm tin' (vốn mong manh) sang mô hình 'dựa trên xác thực' (vốn kiên cố).
Kế hoạch hành động cho sáng thứ Hai
Đừng để sự phức tạp của AI làm bạn tê liệt. Hãy bắt đầu với ba bước cụ thể sau:
- Kiểm tra quy trình thanh toán của bạn: Ai có quyền thay đổi thông tin ngân hàng? Đảm bảo rằng việc xác minh 'Out-of-Band' là một chính sách bằng văn bản, không phải là một lời gợi ý.
- Đào tạo đội ngũ về 'Sự sai lệch tổng hợp' (Synthetic Drift): Cho họ xem các ví dụ về deepfake âm thanh. Hãy đảm bảo họ biết rằng việc 'nghe có vẻ giống sếp' không còn là bằng chứng xác thực danh tính nữa.
- Kiểm tra hệ thống IT của bạn: Trao đổi với nhà cung cấp dịch vụ IT về 'Phát hiện và Phản ứng Đe dọa Danh tính' (ITDR). Nếu họ không biết đó là gì, có lẽ đã đến lúc bạn nên tìm kiếm một đối tác mới.
Cánh cửa để chuyển đổi từ 'niềm tin mù quáng' sang 'vận hành có xác thực' đang dần khép lại. Những kẻ xấu đã áp dụng AI rồi. Đã đến lúc bạn cũng phải làm như vậy—theo cách phòng thủ.