    |
 |
| Quang cảnh phiên làm việc của Quốc hội ngày 4/11. Ảnh: Quốc hội |
Ngày 4/11, trong phiên thảo luận tại hội trường (Kỳ họp thứ 2, Quốc hội khóa XVI) về dự án Luật Định danh và xác thực điện tử, các đại biểu Quốc hội đã quan tâm và phân tích về nguy cơ từ lừa đảo sinh trắc học, phần mềm Deepfake và camera ảo, qua đó đề xuất nhiều giải pháp quan trọng nhằm thiết lập cơ chế phòng ngừa rủi ro giả mạo và hoàn thiện hành lang pháp lý về liên kết tài khoản giao dịch trực tuyến với danh tính điện tử quốc gia.
Liên kết tài khoản giao dịch phải gắn với phân loại mức độ rủi ro
Đánh giá cao quy định tại khoản 5 Điều 23 của dự thảo luật về việc xác thực và liên kết tài khoản giao dịch điện tử với danh tính điện tử quốc gia trong các lĩnh vực ngân hàng, chứng khoán, viễn thông, thương mại điện tử, khám bệnh, chữa bệnh và trung gian thanh toán ví điện tử, đại biểu Thạch Phước Bình (Đoàn ĐBQH tỉnh Vĩnh Long) nhận định đây là giải pháp có ý nghĩa đặc biệt quan trọng nhằm phòng, chống giả mạo danh tính, bảo vệ tài sản của người dân và góp phần xây dựng môi trường giao dịch an toàn, đáng tin cậy.
|
 |
| Đại biểu Thạch Phước Bình (Đoàn ĐBQH tỉnh Vĩnh Long) phát biểu thảo luận. Ảnh: Quốc hội |
Tuy nhiên, từ thực tiễn đời sống xã hội, đại biểu Thạch Phước Bình chỉ ra rằng các giao dịch trong cùng một lĩnh vực có thể sở hữu tính chất và mức độ rủi ro rất khác nhau. Điển hình như việc một người cao tuổi đặt lịch khám bệnh trực tuyến có tính chất hoàn toàn khác với việc truy cập, khai thác hồ sơ bệnh án; việc tra cứu thông tin tài khoản ngân hàng khác biệt so với thực hiện một giao dịch chuyển tiền giá trị lớn; hay việc trẻ em sử dụng dịch vụ trực tuyến phục vụ học tập cũng khác biệt so với các giao dịch tài chính hoặc phát sinh nghĩa vụ pháp lý. Nếu có sự phân loại phù hợp giữa các nhóm giao dịch thì vừa bảo đảm được yêu cầu an toàn, vừa tạo thuận lợi cho người sử dụng.
Từ phân tích trên, đại biểu Thạch Phước Bình đề nghị nghiên cứu cân nhắc bổ sung tại khoản 5 Điều 23 một nguyên tắc là việc xác thực điện tử và liên kết tài khoản giao dịch điện tử được thực hiện phù hợp với tính chất, mức độ rủi ro của giao dịch, yêu cầu bảo đảm an toàn, an ninh và quy định của pháp luật chuyên ngành, đồng thời tạo điều kiện thuận lợi cho người dân trong quá trình thực hiện.
|
 |
| Các đại biểu tham dự phiên họp. Ảnh: Quốc hội |
Bên cạnh đó, đại biểu cũng đề xuất làm rõ mối quan hệ giữa kết quả xác thực danh tính với việc thể hiện ý chí tự nguyện của chủ thể giao dịch. Việc xác thực thành công danh tính của một người chưa hẳn phản ánh đầy đủ ý chí tự nguyện của họ, như trường hợp người cao tuổi nhờ người thân thao tác điện thoại hoặc trẻ em thực hiện xác thực nhưng giao dịch vẫn cần tuân thủ quy định Bộ luật Dân sự về năng lực hành vi và sự tham gia của người đại diện hợp pháp.
Do đó, luật cần bổ sung quy định làm rõ kết quả xác thực là căn cứ xác nhận danh tính, còn hiệu lực pháp lý và ý chí tự nguyện của giao dịch phải được xác định theo pháp luật dân sự và pháp luật liên quan.
“Khuôn mặt hay giọng nói bị lộ lọt thì cả đời không thể thay đổi được”
Đưa ra những dẫn chứng thực tế giật mình về nguy cơ giả mạo danh tính trên không gian mạng, đại biểu Phạm Trọng Nhân (Đoàn ĐBQH Thành phố Hồ Chí Minh) cho biết, mặc dù ngành ngân hàng đã đối chiếu sinh trắc học cho hơn 175 triệu hồ sơ khách hàng cá nhân, nhưng theo báo cáo của tổ chức quốc tế Entrust, cứ 5 lượt tấn công gian lận sinh trắc học thì có 1 lượt dùng công nghệ Deepfake, và các cuộc tấn công chèn dữ liệu bỏ qua camera để đưa trực tiếp video giả vào luồng xác thực đã tăng tới 40%.
|
 |
| Đại biểu Phạm Trọng Nhân (Đoàn ĐBQH Thành phố Hồ Chí Minh) phát biểu thảo luận. Ảnh: Quốc hội |
Thậm chí, cơ quan công an đã triệt phá đường dây mua bán gần 1.000 tài khoản ngân hàng, trong đó các đối tượng dùng ảnh chụp sẵn của chủ tài khoản dựng thành video bằng phần mềm can thiệp thiết bị nhằm vượt qua bước nhận diện sinh trắc học của ngân hàng.
Đại biểu phân tích: “Mật khẩu bị lộ thì có thể đổi, thẻ ngân hàng bị mất thì có thể khóa, nhưng khuôn mặt hay giọng nói bị lộ lọt thì cả đời không thể thay đổi được. Trong khi đó, hình ảnh khuôn mặt và giọng nói của mỗi người dân hiện nay lại đang nằm sẵn trên các nền tảng mạng xã hội. Chúng ta đang có một chiếc chìa khóa treo sẵn ngoài cửa rồi luật đặt nó vào vị trí là chìa khóa chính”.
Theo đại biểu, đáng lo ngại hơn, khi kẻ gian sử dụng hình ảnh hoặc video giả qua mặt thành công hệ thống xác thực ở mức độ 3, kết quả xác thực đó lại trở thành nguồn chứng cứ điện tử bất lợi đầu tiên cho chính nạn nhân. Khi đó, người bị hại (đặc biệt là người dân vùng nông thôn hay người yếu thế) sẽ gặp rào cản rất lớn và rơi vào tình thế vô cùng khó khăn khi phải tự chứng minh mình không phải là người thực hiện giao dịch.
Để giải quyết tận gốc rủi ro này, đại biểu Phạm Trọng Nhân kiến nghị 3 nhóm giải pháp trọng tâm:
|
 |
| Các đại biểu tham dự phiên họp. Ảnh: Quốc hội |
Thứ nhất, gia cố quy định ở mức xác thực tối thiểu bắt buộc theo rủi ro giao dịch, không để bên sử dụng hoàn toàn tự chọn như khoản 2 Điều 25. Tôi đề nghị bổ sung chuẩn hóa nội dung mức độ 3 và bắt buộc áp dụng mức này cho các giao dịch thuộc danh mục rủi ro cao; mức độ 3 phải có yếu tố sở hữu gắn với phần cứng như chip trên thẻ căn cước, không chỉ dựa vào camera và tin nhắn trên cùng một thiết bị điện thoại. Điện thoại bị can thiệp thì cả gương mặt qua camera lẫn OTP gửi về máy đều không còn đáng tin.
Thứ hai, bổ sung vào Điều 29 nguyên tắc khi chủ thể đã kịp thời thông báo và khiếu nại danh tính bị sử dụng trái phép, kết quả xác thực không mặc nhiên là chứng cứ chính chủ. Theo đó, cơ quan, tổ chức thực hiện xác thực có nghĩa vụ chứng minh quá trình xác thực đã tuân thủ đầy đủ các yêu cầu chống giả mạo và đồng thời khoản 2 Điều 43 cần thêm nghĩa vụ kiểm định lại độc lập định kỳ và có phương thức tấn công mới, báo cáo cơ quan quản lý và công khai kết luận tổng hợp.
Thứ ba, nếu không thể bắt hết “hàng giả” thì trước mắt phải đóng dấu được “hàng thật”. Điểm c khoản 1 Điều 7 đã cho phép định danh hình ảnh, âm thanh, video, đại biểu đề nghị bổ sung nghĩa vụ các video, hình ảnh, phát ngôn chính thức của các cơ quan, tổ chức trong hệ thống chính trị phát trên môi trường số theo lộ trình phải gắn danh tính điện tử để người dân kiểm chứng ngay trên VNeID. Cùng với đó, phần mềm đã là đối tượng được định danh nhưng một khi tác nhân AI thay mặt cán bộ hay người dân giao dịch thì luật cần phải quy định phạm vi, hạn mức do chính chủ thiết lập và nhật ký phải ghi rõ người hay máy thực hiện.
Kiến nghị tạm dừng hiệu lực khẩn cấp khi phát hiện danh tính điện tử đang bị chiếm quyền điều khiển
Tập trung đóng góp cho các quy định cấm và cơ chế kiểm soát rủi ro vận hành, đại biểu Triệu Thị Ngọc Diễm (Đoàn ĐBQH thành phố Cần Thơ) đề nghị bổ sung cụm từ "yếu tố xác thực điện tử" vào phạm vi bảo vệ tại khoản 2 Điều 6 dự thảo luật. Đại biểu giải thích rằng, yếu tố xác thực bao gồm tri thức, sở hữu và đặc trưng sinh trắc học. Trên thực tế, tội phạm mạng thường xuyên thu thập, mua bán dữ liệu khuôn mặt, giọng nói hoặc mã OTP để vượt qua rào cản xác thực mà không cần trực tiếp can thiệp hay sửa đổi dữ liệu gốc lưu trữ trong hệ thống.
|
 |
| Đại biểu Triệu Thị Ngọc Diễm (Đoàn ĐBQH thành phố Cần Thơ) phát biểu thảo luận. Ảnh: Quốc hội |
Đặc biệt, đại biểu đoàn Cần Thơ kiến nghị bổ sung vào khoản 6 Điều 6 hành vi bị nghiêm cấm: "sản xuất, phát tán, mua bán, cung cấp công cụ, phần mềm, thiết bị chuyên dùng để giả mạo yếu tố sinh trắc học hoặc vô hiệu hóa quy trình xác thực điện tử". Thực tiễn đã xuất hiện các nhóm đối tượng chuyên viết phần mềm can thiệp như camera ảo, cung cấp dịch vụ Deepfake vượt qua bước nhận diện sinh trắc học của ngân hàng, ví điện tử để bán cho các đường dây lừa đảo chuyên nghiệp.
Mặt khác, đối với cơ chế xử lý sự cố tại Điều 17, đại biểu Triệu Thị Ngọc Diễm chỉ ra rằng các vụ tấn công chiếm quyền điều khiển tài khoản hay lừa đảo qua danh tính điện tử diễn ra với tốc độ tính bằng giây. Nếu tuân theo trình tự thủ tục hành chính thông thường thì không thể ngăn chặn kịp thời hậu quả.
Do đó, đại biểu kiến nghị bổ sung quy định về tạm dừng hiệu lực khẩn cấp, cho phép hệ thống tự động tạm dừng hoặc lực lượng chuyên trách an ninh mạng, cơ quan điều tra thực hiện lệnh phong tỏa, tạm dừng tức thời trên môi trường điện tử ngay khi phát hiện danh tính điện tử đang bị chiếm quyền điều khiển hoặc bị lợi dụng để xâm phạm an ninh quốc gia, trật tự, an toàn xã hội trên không gian mạng. Đồng thời, sớm ban hành hướng dẫn thi hành luật đối với nội dung này, nhằm ứng phó kịp thời các tình huống phát sinh trong thực tiễn.
Bắt buộc xác thực danh tính điện tử quốc gia đối với các giao dịch rủi ro cao
Thay mặt cơ quan chủ trì soạn thảo phát biểu tiếp thu và giải trình trước Quốc hội, Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an trân trọng cảm ơn các đại biểu Quốc hội đã đóng góp nhiều ý kiến tâm huyết, trách nhiệm và sâu sắc đối với dự án Luật Định danh và xác thực điện tử.
|
 |
| Bộ trưởng Bộ Công an Lương Tam Quang phát biểu tiếp thu và giải trình trước Quốc hội. Ảnh: Quốc hội |
Về việc liên kết tài khoản giao dịch với danh tính điện tử; cơ chế phòng ngừa rủi ro trong việc giả mạo danh tính trên môi trường điện tử, Bộ trưởng Lương Tam Quang cho biết, tại khoản 5 Điều 23 của dự thảo luật quy định: Cơ quan, tổ chức, cá nhân sử dụng tài khoản giao dịch điện tử để giao dịch điện tử trực tuyến trong các lĩnh vực chứng khoán, viễn thông, ngân hàng, bưu chính, thương mại điện tử, khám bệnh, chữa bệnh, trung gian thanh toán ví điện tử, tài sản mã hóa, trò chơi điện tử trực tuyến, dịch vụ đăng ký cho thuê và sử dụng tên miền và các lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng thì phải xác thực với danh tính điện tử quốc gia và liên kết tài khoản giao dịch điện tử với danh tính điện tử đó.
Bộ trưởng cho biết thêm, dự thảo luật giao Bộ trưởng, Thủ trưởng cơ quan ngang bộ quy định cụ thể các giao dịch điện tử trực tuyến thuộc lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng, bảo đảm phù hợp với đặc thù của từng ngành.
Bộ trưởng Lương Tam Quang nhấn mạnh, cơ quan chủ trì soạn thảo sẽ phối hợp chặt chẽ với Thường trực Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội để tiếp thu đầy đủ các ý kiến đóng góp của các đại biểu, rà soát chỉnh lý chi tiết dự thảo luật trước khi trình Quốc hội xem xét, thông qua tại cuối kỳ họp.