eKYC là viết tắt của electronic Know Your Customer, tức "định danh khách hàng điện tử": quy trình một ngân hàng, ví điện tử, công ty chứng khoán hay nhà mạng xác minh bạn đúng là người trên giấy tờ mà không cần gặp mặt. Bạn chụp căn cước, cho điện thoại đọc chip, quay khuôn mặt vài giây; phía sau, phần mềm đối chiếu những thứ đó với nhau và với dữ liệu gốc rồi trả kết quả chấp nhận, từ chối hoặc chuyển cho người duyệt.
Gọi là "điện tử" nhưng bản chất vẫn là việc nhân viên quầy giao dịch đã làm hàng chục năm: nhìn giấy tờ xem có thật không, nhìn mặt người đứng trước quầy xem có khớp ảnh không, ghi lại thông tin. Khác ở chỗ mỗi bước giờ do một mô hình máy học đảm nhận, chạy trong vài giây, và để lại dấu vết số. Bài này đi qua từng lớp kiểm tra, chỉ ra AI làm gì và không làm gì, dữ liệu nào bạn đang trao đi, để lần sau bấm "Xác thực ngay" bạn biết mình đang làm gì.
KYC và chữ "e": vì sao đơn vị tài chính phải biết bạn là ai
KYC xuất phát từ yêu cầu phòng chống rửa tiền và tài trợ khủng bố mà hầu hết các nước áp cho ngân hàng và tổ chức tài chính. Nguyên tắc chung rất đơn giản: tổ chức nhận tiền của ai thì phải biết người đó là ai, để khi một tài khoản bị dùng vào việc phạm pháp, có thể lần ra chủ thật. Tài khoản mở bằng tên giả hoặc tên người khác chính là công cụ ưa thích của kẻ lừa đảo, nên cơ quan quản lý buộc các đơn vị phải định danh chặt.
Trước đây định danh gắn với quầy giao dịch: bạn mang giấy tờ đến, nhân viên đối chiếu, photo, ký tên. Khi điện thoại thông minh đủ mạnh và camera đủ nét, các đơn vị chuyển phần lớn quy trình lên ứng dụng. Ở Việt Nam, việc mở tài khoản thanh toán bằng phương thức điện tử được Ngân hàng Nhà nước cho phép và quy định điều kiện từ khoảng năm 2020, sau đó được sửa đổi, siết thêm nhiều lần; chi tiết từng thời điểm bạn nên kiểm trên cổng thông tin chính thức vì quy định còn thay đổi.
Ngoài ngân hàng, eKYC xuất hiện ở ví điện tử, công ty chứng khoán, công ty tài chính, nhà mạng khi đăng ký thuê bao, sàn thương mại điện tử khi người bán rút tiền, ứng dụng gọi xe khi tài xế đăng ký. Mức độ chặt khác nhau: ngân hàng thường làm đủ mọi lớp, còn một sàn bán hàng có thể chỉ cần ảnh giấy tờ và một tấm ảnh khuôn mặt. Hiểu điều này giúp bạn không ngạc nhiên khi mỗi nơi đòi một kiểu.
Năm lớp kiểm tra trong một lần eKYC
Thứ tự có thể khác nhau giữa các ứng dụng, có nơi gộp hoặc bỏ bớt một lớp, nhưng một quy trình đầy đủ thường gồm năm phần sau:
- Chụp giấy tờ. Bạn chụp mặt trước, mặt sau căn cước hoặc trang thông tin hộ chiếu. Phần mềm nhận dạng ký tự đọc ra họ tên, số giấy tờ, ngày sinh, ngày hết hạn, đồng thời kiểm tra ảnh có phải chụp trực tiếp từ thẻ thật hay chụp lại từ màn hình, bản photo.
- Đọc chip. Với căn cước gắn chip, ứng dụng dùng sóng NFC của điện thoại để đọc dữ liệu lưu trong chip. Dữ liệu này được cơ quan cấp ký số, nên phần mềm biết được nó có bị sửa hay không. Đây là lớp khó giả nhất.
- Chụp hoặc quay khuôn mặt. Bạn nhìn vào camera trước, có khi phải quay đầu, chớp mắt hay giữ yên vài giây.
- Kiểm tra người thật. Phần mềm phán đoán khuôn mặt trước camera là người sống đang ngồi đó, không phải ảnh in, video phát lại hay mặt nạ.
- So khớp và đối chiếu. Khuôn mặt vừa quay được so với ảnh trong chip hoặc ảnh trên giấy tờ; thông tin đọc được có thể được đối chiếu thêm với cơ sở dữ liệu quốc gia về dân cư qua dịch vụ xác thực được cấp phép. Cuối cùng hệ thống chấm điểm rủi ro và ra quyết định.
Mỗi lớp chặn một kiểu gian lận khác nhau. Giấy tờ giả có thể qua được bước chụp nhưng không qua được bước đọc chip; ảnh đánh cắp của chủ thẻ có thể khớp khuôn mặt nhưng vấp ở bước kiểm tra người thật. Vì vậy khi một ứng dụng bỏ bớt lớp, mức tin cậy của kết quả cũng giảm theo.
AI làm gì ở từng bước, và chỗ nào AI không quyết
Đọc chữ trên giấy tờ là việc của mô hình nhận dạng ký tự. Nó được huấn luyện trên rất nhiều mẫu giấy tờ để biết ô nào là họ tên, ô nào là ngày sinh, kể cả khi ảnh hơi nghiêng. Lỗi hay gặp là nhầm số 0 với chữ O, số 1 với chữ I khi ảnh loá, nên nhiều ứng dụng cho bạn xem lại và sửa trước khi gửi.
So khuôn mặt là việc của mô hình nhận diện. Mô hình biến mỗi khuôn mặt thành một dãy số đặc trưng rồi đo khoảng cách giữa hai dãy. Khoảng cách nhỏ hơn ngưỡng thì coi là cùng một người. Ngưỡng đặt chặt thì ít người lạ lọt qua nhưng nhiều người thật bị từ chối oan; đặt lỏng thì ngược lại. Mỗi đơn vị tự chọn điểm cân bằng.
Kiểm tra người thật dùng mô hình phát hiện tấn công trình diện. Mô hình nhìn vào kết cấu da, độ sâu, cách ánh sáng phản chiếu, chuyển động nhỏ của khuôn mặt để phân biệt người sống với ảnh hay video. Có một bộ tiêu chuẩn quốc tế riêng cho việc đánh giá loại kiểm tra này, ký hiệu ISO/IEC 30107.
Chấm điểm rủi ro kết hợp nhiều tín hiệu. Ngoài khuôn mặt và giấy tờ, hệ thống có thể xét thiết bị đang dùng, số lần thử, vị trí, thông tin có khớp với hồ sơ khác hay không. Kết quả không phải "đúng hay sai" mà là một mức tin cậy.
AI không phải người chịu trách nhiệm cuối cùng. Trường hợp điểm lưng chừng thường được chuyển cho nhân viên duyệt tay. Đơn vị cung cấp dịch vụ vẫn chịu trách nhiệm pháp lý về việc định danh, không thể đổ cho mô hình.
Kết quả eKYC: duyệt tự động, chờ duyệt tay hay từ chối
Sau khi bạn bấm hoàn tất, có ba khả năng. Hiểu từng khả năng giúp bạn biết nên chờ hay nên làm lại.
| Kết quả | Thường xảy ra khi | Bạn nên làm gì |
|---|---|---|
| Duyệt ngay | Giấy tờ rõ, chip đọc được, khuôn mặt khớp cao, không có tín hiệu bất thường | Kiểm lại họ tên, số giấy tờ hiển thị trong ứng dụng; đặt mật khẩu và mã khoá riêng ngay |
| Chờ duyệt | Điểm so khớp ở mức lưng chừng, ảnh giấy tờ hơi mờ, thông tin cần đối chiếu thêm | Chờ theo thời gian ứng dụng báo; không nộp lại liên tục vì nhiều hồ sơ trùng có thể làm chậm thêm |
| Từ chối | Không khớp khuôn mặt, nghi ảnh chụp lại, thông tin không khớp dữ liệu gốc, giấy tờ hết hạn | Đọc lý do nếu có, sửa đúng chỗ đó rồi thử lại; thử vài lần không được thì ra quầy |
Có ứng dụng không nói rõ lý do từ chối, đó là chủ ý: nói quá chi tiết sẽ giúp kẻ gian biết phải chỉnh gì. Khi gặp tình huống này, liên hệ tổng đài chính thức của đơn vị (tìm trong ứng dụng hoặc trên thẻ, không tìm qua kết quả quảng cáo) để hỏi, hoặc mang giấy tờ ra điểm giao dịch.
Dữ liệu bạn trao đi qua một lần eKYC
Một lần xác thực điện tử đưa cho đơn vị cung cấp dịch vụ nhiều thứ hơn bạn tưởng. Biết rõ danh sách để cân nhắc nên eKYC ở đâu:
- Ảnh hai mặt giấy tờ, với đầy đủ thông tin in trên đó.
- Dữ liệu đọc từ chip, thường gồm cả ảnh chân dung độ phân giải cao lưu trong chip.
- Ảnh hoặc đoạn video khuôn mặt bạn quay lúc xác thực, cùng dãy số đặc trưng khuôn mặt mà hệ thống tạo ra.
- Thông tin thiết bị: loại máy, hệ điều hành, đôi khi vị trí nếu bạn cho phép.
- Kết quả đối chiếu và điểm tin cậy của từng bước.
- Thông tin bạn khai thêm như nghề nghiệp, địa chỉ, mục đích dùng tài khoản.
Phần lớn số dữ liệu này đơn vị buộc phải lưu một thời gian để phục vụ kiểm tra, phòng chống rửa tiền. Bạn có quyền được biết họ dùng vào mục đích gì và lưu bao lâu; nội dung đó nằm trong điều khoản và chính sách quyền riêng tư mà bạn bấm đồng ý. Quyền của bạn với dữ liệu sinh trắc được bàn kỹ ở danh mục riêng của trang.
eKYC an toàn đến đâu và rủi ro nằm ở đâu
Một quy trình đủ năm lớp, có đọc chip và đối chiếu dữ liệu gốc, khó bị qua mặt hơn nhiều so với việc nhân viên nhìn bản photo giấy tờ. Chip có chữ ký số nên không thể sửa ảnh hay thông tin trong đó mà không bị phát hiện. Kiểm tra người thật ngày càng tốt lên vì các đơn vị phải liên tục đối phó với ảnh giả do AI tạo ra.
Rủi ro thật nằm ở hai chỗ. Chỗ thứ nhất là những nơi làm eKYC sơ sài, chỉ cần ảnh giấy tờ và một tấm ảnh mặt: kẻ gian có ảnh căn cước bị lộ của bạn cộng một bức ảnh lấy từ mạng xã hội là có cơ hội. Chỗ thứ hai là chính bạn: người bị lừa tự tay làm eKYC trên một ứng dụng giả, hoặc quay mặt "giúp" người lạ hoàn tất xác thực, thì không lớp kỹ thuật nào cứu được. Các kịch bản lừa kiểu này được phân tích kỹ ở trang AI Bảo Mật.
Vì vậy nguyên tắc tự bảo vệ không nằm ở kỹ thuật mà ở thói quen: chỉ eKYC trên ứng dụng tải từ kho chính thức, đúng tên nhà phát hành; không bao giờ eKYC theo đường dẫn ai đó gửi qua tin nhắn; không quay mặt, không đọc chip cho tài khoản không phải của mình mở; không cho ai mượn điện thoại trong lúc đang xác thực.
Dùng AI để hiểu điều khoản mà không lộ giấy tờ
Điều khoản mở tài khoản thường dài và khó đọc. Bạn có thể nhờ một chatbot giải thích, với điều kiện chỉ dán phần chữ của điều khoản, tuyệt đối không dán ảnh giấy tờ, số căn cước hay ảnh khuôn mặt. Chatbot không cần biết bạn là ai để giải thích một điều khoản.
Câu lệnh mẫu: "Dưới đây là phần điều khoản về thu thập và lưu trữ dữ liệu khi mở tài khoản trực tuyến. Hãy liệt kê bằng ngôn ngữ dễ hiểu: dữ liệu nào được thu, dùng vào việc gì, chia sẻ cho ai, lưu bao lâu, và người dùng có quyền gì. Chỗ nào điều khoản viết mơ hồ thì chỉ ra." Đọc xong bản giải thích, bạn vẫn nên mở lại điều khoản gốc ở những đoạn quan trọng, vì chatbot có thể diễn giải sai hoặc bỏ sót.
Một câu lệnh khác có ích khi đang phân vân giữa hai nơi: dán hai đoạn điều khoản (đã bỏ tên đơn vị nếu muốn) và hỏi chỗ khác nhau về việc lưu ảnh khuôn mặt. AI giỏi so sánh văn bản, nhưng quyết định chọn nơi nào vẫn là của bạn.
Câu hỏi thường gặp
eKYC và định danh điện tử VNeID có phải một thứ không?
Không. eKYC là quy trình một đơn vị cụ thể như ngân hàng hay ví dùng để xác minh khách của họ. Tài khoản định danh điện tử VNeID là tài khoản do cơ quan công an cấp cho công dân. Một số dịch vụ có thể cho phép dùng VNeID để hỗ trợ xác thực, nhưng hai thứ vẫn tách biệt.
Đã eKYC ở một ngân hàng thì sang ngân hàng khác có phải làm lại không?
Thường là có. Mỗi đơn vị tự chịu trách nhiệm định danh khách của mình nên tự chạy quy trình riêng. Một số dịch vụ chia sẻ kết quả xác thực có thể xuất hiện theo quy định từng thời kỳ, nhưng bạn đừng mặc định là được miễn.
Không có căn cước gắn chip thì có eKYC được không?
Tuỳ đơn vị và quy định hiện hành. Nhiều nơi giờ yêu cầu đọc chip cho tài khoản ngân hàng; một số dịch vụ khác vẫn chấp nhận ảnh giấy tờ cộng khuôn mặt. Nếu không đọc chip được, cách chắc chắn nhất là ra điểm giao dịch mang theo giấy tờ gốc.
eKYC có lưu video khuôn mặt của bạn mãi mãi không?
Thời gian lưu do quy định về lưu trữ hồ sơ khách hàng và chính sách của từng đơn vị quyết định, thường kéo dài nhiều năm sau khi đóng tài khoản. Bạn có thể đọc mục lưu trữ trong chính sách quyền riêng tư hoặc hỏi tổng đài chính thức của đơn vị đó để biết cụ thể.
Ai đó nhờ mình quay mặt để hoàn tất xác thực giúp thì sao?
Từ chối. Khuôn mặt của bạn sẽ gắn với tài khoản đó, và nếu tài khoản bị dùng để nhận tiền lừa đảo, người bị lần ra là bạn. Đây là một trong những chiêu phổ biến nhằm thuê, mượn danh tính, không có lý do chính đáng nào để quay mặt cho tài khoản không phải của mình.
eKYC có nhận ra ảnh khuôn mặt do AI tạo ra không?
Các hệ thống tốt có lớp kiểm tra người thật và lớp phát hiện dữ liệu bị chèn vào thay cho camera, chính để chặn loại tấn công này. Không hệ thống nào hoàn hảo, nên các đơn vị kết hợp thêm đọc chip, đối chiếu dữ liệu gốc và theo dõi giao dịch bất thường sau khi mở tài khoản.