OpenAI cho biết họ đã triệt phá một hoạt động lừa đảo có trụ sở tại Campuchia, sử dụng chatbot trí tuệ nhân tạo (AI) ChatGPT để thực hiện hàng loạt chiêu trò lừa đảo đầu tư, tình cảm, cờ bạc và giả mạo cơ quan thực thi pháp luật.
Nhằm thực hiện mục tiêu này, OpenAI đã chặn một mạng lưới phối hợp các tài khoản ChatGPT có khả năng bắt nguồn từ Đông Nam Á và hoạt động tại thành phố Poipet, một khu vực có liên hệ mật thiết với các khu phức hợp lừa đảo và buôn người trong quá khứ.
Nhóm tài khoản này được cho là đã sử dụng các mô hình của OpenAI để tạo và hỗ trợ vận hành các nhân vật ảo trực tuyến, soạn thảo và dịch tin nhắn gửi tới nạn nhân, tạo nội dung quảng cáo cho các kế hoạch gian lận và hỗ trợ các hoạt động hàng ngày.
Nội dung quảng cáo bao gồm việc tạo các quảng cáo trên mạng xã hội cho công việc "chatter" (nhân viên nhắn tin) tại Poipet, nhắm mục tiêu cụ thể vào người dùng ở Bangladesh và Ấn Độ. Các quảng cáo này hứa hẹn mức lương cơ bản 800 USD (cộng với khoản thưởng 100 USD nếu "đi làm đầy đủ"), cùng với vé máy bay, chỗ ở miễn phí, ăn uống, thị thực Campuchia 1 năm và giấy phép lao động.
Một nhóm nhỏ trong số các tài khoản này cũng bị phát hiện đã tận dụng công cụ AI cho các công việc hành chính, chẳng hạn như soạn thảo thông báo nội bộ, dịch tin nhắn giữa các nhân viên và ghi chép nợ của nhân viên, các khoản khấu trừ lương, tiền phạt, trả nợ vay, quá hạn thị thực, giấy phép lao động, tình trạng nhập cư và các ưu đãi tuyển dụng.
Mạng lưới tội phạm có tổ chức và đa dạng chiêu trò
Công ty khởi nghiệp AI này cho biết họ đã điều tra hoạt động này với sự hợp tác của WhatsApp (thuộc sở hữu của Meta).
"Hoạt động này minh họa một thực tế quan trọng về các mạng lưới lừa đảo hiện đại: các nhóm tội phạm có tổ chức hiếm khi chỉ giới hạn ở một loại hình lừa đảo duy nhất. Thay vào đó, họ tận dụng mọi kịch bản, nhân vật và chiến thuật mà họ cho là hiệu quả nhất để đánh lừa nạn nhân." — OpenAI chia sẻ.
Các tác nhân đe dọa đứng sau mạng lưới này đã tiến hành nhiều loại hình lừa đảo song song, kết hợp các kỹ thuật từ các kế hoạch khác nhau để tăng khả năng thành công cho các hoạt động bất hợp pháp của chúng.
Bên cạnh việc sử dụng các nhân vật hẹn hò để xây dựng lòng tin trước khi dụ dỗ nạn nhân vào các cơ hội đầu tư lừa đảo liên quan đến tiền điện tử và giao dịch vàng, các đối tượng này còn thực hiện các cuộc trò chuyện tình cảm kéo dài với mục tiêu bằng cách sử dụng danh tính tổng hợp hoặc đóng giả đại diện của các nền tảng đánh bạc trực tuyến hứa hẹn các khoản tiền thưởng và tiền thắng cược giả.
Những người dùng khác trong mạng lưới đã giả danh các cơ quan thực thi pháp luật để tạo ra cảm giác cấp bách giả tạo và thông báo cho mục tiêu rằng họ cần nộp phạt vì phạm tội hình sự nghiêm trọng.
Để thực hiện những điều này, mạng lưới đã tạo và vận hành các hồ sơ hẹn hò giả, các chuyên gia đầu tư hư cấu và các nhân vật thực thi pháp luật gian lận, đồng thời tạo ra hình ảnh các tài liệu giả mạo, bao gồm hộ chiếu, cũng như các thông báo pháp lý, xác nhận mua cổ phiếu và giao diện nền tảng đánh bạc.
Quy trình tấn công "Ping-Zing-Sting"
Theo OpenAI, chuỗi tấn công tuân theo cách tiếp cận ba bước được gọi là "ping-zing-sting". Trong đó, những kẻ lừa đảo thực hiện tiếp cận ban đầu trên các nền tảng nhắn tin như WhatsApp và Telegram, tham gia vào hoạt động xây dựng lòng tin (ping-zing), trước khi hướng dẫn nạn nhân nộp tiền gửi, trả phí kích hoạt hoặc thanh toán các khoản tiền phạt không tồn tại (sting). Nạn nhân sau đó được cung cấp các ảnh chụp màn hình giả mạo về các khoản chuyển khoản hoặc thông tin tài khoản làm bằng chứng thanh toán.
Một số tài khoản trong mạng lưới đã tạo ra nội dung phù hợp với các dấu hiệu của buôn người và cưỡng bức lao động liên quan đến các nhóm tội phạm có tổ chức ở Đông Á. Các tác nhân đe dọa được biết đến với việc tuyển dụng người bằng những lời hứa giả dối về công việc béo bở, chỉ để tịch thu hộ chiếu và ép buộc họ làm việc trong điều kiện giống như nô lệ.
"Toàn bộ quy mô tổn thất tài chính liên quan đến mạng lưới này vẫn chưa được xác định, nhưng dựa trên thông tin liên lạc của chính những kẻ lừa đảo, hoạt động này có thể đã tương tác với hàng trăm mục tiêu thông qua nhiều loại hình lừa đảo khác nhau," OpenAI cho biết. "Các cuộc trò chuyện của người dùng đã đề cập đến những nạn nhân cá biệt mất hàng nghìn đô la, mặc dù chúng tôi không thể xác minh độc lập những tuyên bố đó."
Sự việc này cho thấy các tác nhân đe dọa đang phát triển các khả năng tấn công được tăng cường bởi AI như thế nào, cho phép chúng tăng đáng kể tốc độ và quy mô của các chiến dịch, ngay cả khi chính các mô hình tiên tiến nhất đã bị phát hiện nhắm mục tiêu vào các hệ thống và cá nhân thực tế trong các đánh giá an ninh mạng kiểu Capture-the-Flag (CTF).
