Năm 2026: Tấn công chiếm đoạt tài khoản chuyển trọng tâm sang bước xác minh danh tính
"The article argues that account takeover is shifting away from credential stuffing toward attacks on identity verification, recovery, and step-up authentication flows as passkeys become mainstream. It highlights AI-driven impersonation, deepfakes, and synthetic documents as major risks, and recommends stronger biometric liveness, risk-based re-verification, and intent binding to reduce fraud; no CVE is mentioned."
Tác động bảo mật đáng kể vì kẻ tấn công có xu hướng khai thác các điểm còn lại trong chuỗi tin cậy: identity verification/recovery, magic link và step-up authentication. Rủi ro tăng thêm do AI-driven impersonation và nội dung tổng hợp có thể vượt qua giả định “media là thật”.
Nếu không siết chặt bước xác minh và ủy quyền, tổn thất có thể tăng do gian lận vượt qua đăng nhập mật khẩu/OTP. Việc nâng chuẩn kiểm soát (liveness, re-verification, intent binding) có thể kéo theo chi phí vận hành và thay đổi quy trình, nhưng giúp giảm rủi ro ATO và chi phí xử lý sự cố.
Bài viết nhận định rằng account takeover (ATO) đang dịch chuyển từ credential stuffing sang các kỹ thuật nhắm vào identity verification, account recovery và luồng step-up authentication khi passkeys ngày càng phổ biến. Theo nghiên cứu của FIDO Alliance (2026), 75% người dùng toàn cầu đã bật passkey trên ít nhất một tài khoản; ở doanh nghiệp, 68% đang sử dụng, thử nghiệm hoặc triển khai passkey cho đăng nhập nhân viên.
Khi các bước đăng nhập chính được gia cố, gian lận thường chuyển sang các điểm còn “tin người dùng”, như liên kết “magic link” để xác nhận danh tính. Nguy cơ được nêu gồm magic-link interception thông qua deep link di động chưa được xác thực, hộp thư bị xâm nhập hoặc chuyển hướng liên quan đến SIM-swap.
Bài viết cũng nhấn mạnh vai trò của generative AI trong việc làm rẻ và thuyết phục hơn các hành vi giả mạo: Veriff Identity Fraud Report 2026 cho biết 4,18% nỗ lực xác minh là gian lận và nội dung số có khả năng bị AI tạo/sửa cao hơn đáng kể; impersonation chiếm hơn 85% các cuộc tấn công gian lận được quan sát.
Khuyến nghị: đưa biometric liveness detection và xác minh lại theo risk-based re-verification thành yêu cầu nền tảng; coi re-verification, magic-link flows và step-up authentication là sự kiện rủi ro cao; chuẩn bị intent binding để ràng buộc hành động đã xác minh với giao dịch/ủy quyền cụ thể, đồng thời thiết kế kiểm soát chống xác minh dựa trên “media” có thể là tổng hợp.