PETs: Khi công nghệ bảo mật dữ liệu giúp ngân hàng hợp lực chống gian lận

Các ngân hàng đều mong muốn bảo vệ khách hàng, nhưng tội phạm gian lận ngày nay hoạt động trên nhiều tổ chức và thường liên kết thành mạng lưới, khiến những ngân hàng “đơn độc” dễ bị tổn thương.

Một ngân hàng riêng lẻ hiếm khi có đủ dữ liệu để nhận diện toàn bộ mô hình gian lận. Do đó, các tổ chức tài chính cần một phương thức chia sẻ thông tin mà không phải chia sẻ dữ liệu cá nhân.

Các cách làm truyền thống như trao đổi tệp dữ liệu khách hàng giữa các ngân hàng không còn phù hợp, bởi vừa tiềm ẩn rủi ro mới, vừa mâu thuẫn với yêu cầu pháp lý và quyền riêng tư.

Các công nghệ tăng cường quyền riêng tư (Privacy-Enhancing Technologies - PETs) đang mở ra hướng đi mới. PETs giúp các ngân hàng hợp tác, chia sẻ khả năng phát hiện gian lận và hành động thống nhất mà không cần tiết lộ hay di chuyển dữ liệu cá nhân của khách hàng.

PETs: Giải pháp giúp tổ chức khai thác dữ liệu mà vẫn bảo vệ quyền riêng tư

PETs là tập hợp các công cụ và phương pháp giúp các tổ chức có thể chia sẻ thông tin và rút ra insight từ dữ liệu của nhau, trong khi vẫn bảo vệ dữ liệu cá nhân thô khỏi bị lộ. Nói cách khác, PETs cho phép các tổ chức “học hỏi lẫn nhau từ dữ liệu của nhau mà không cần trao đổi dữ liệu gốc”.

Nhờ vai trò mở khóa giá trị tích cực trong các lĩnh vực như y tế và tài chính, PETs đã được Diễn đàn Kinh tế Thế giới (WEF) xếp vào Top 10 công nghệ mới nổi năm 2024.

Cách “data clean room” sử dụng PETs giúp các ngân hàng hợp lực chống gian lận

Một trong những ứng dụng thực tiễn của PETs đang được áp dụng rộng rãi là data clean room - một môi trường được quản lý chặt chẽ, kết hợp các kỹ thuật PET, cho phép các tổ chức hợp tác trả lời những câu hỏi đã thống nhất một cách an toàn.

Trong môi trường này, dữ liệu cá nhân thô vẫn ở lại với chủ sở hữu; các bên tham gia chỉ chia sẻ định danh được giả danh hoặc token hóa (mã hóa tại chỗ) cùng các dữ liệu tổng hợp không định danh.

Ví dụ, trong một data clean room được hỗ trợ bởi PETs, các ngân hàng có thể so khớp dữ liệu khách hàng xuyên tổ chức mà không cần trao đổi hồ sơ thật. Dưới đây là 3 ví dụ thực tế về cách các ngân hàng có thể hợp tác trong môi trường này để ngăn chặn gian lận:

Phát hiện tài khoản “mule” (tài khoản trung gian rửa tiền)

Hình thức gian lận phổ biến là tiền bị đánh cắp được chuyển qua các tài khoản “mule” - là những tài khoản dùng để nhận và chuyển tiếp tiền bất hợp pháp, đôi khi chính chủ tài khoản cũng không biết mình đang tiếp tay. Tiền được chia nhỏ và luân chuyển qua nhiều tài khoản trước khi bị phát hiện.

Ví dụ, tại Ngân hàng A, một giao dịch nộp 5.000 đô la Mỹ rồi rút 4.950 đô la Mỹ vào ngày hôm sau có thể trông đáng ngờ, nhưng không đủ kết luận là gian lận. Hành vi đó có thể hoàn toàn hợp pháp. Chỉ khi nhìn thấy mô hình tương tự lặp lại ở nhiều ngân hàng khác, vấn đề mới rõ ràng.

PET-enabled clean room giúp mỗi ngân hàng chuyển đổi thông tin định danh khách hàng, thiết bị và người thụ hưởng thành các mã token không thể đảo ngược ngay tại chỗ. Các ngân hàng tải lên token cùng với dữ liệu hành vi (số tiền, thời gian, tần suất, số lượng đối tác giao dịch). Trong clean room, các token khớp nhau giữa nhiều ngân hàng được đối chiếu để phát hiện mô hình đáng ngờ. Mỗi ngân hàng chỉ nhận được cảnh báo liên quan đến chính token của mình và xử lý nội bộ.

Những bất thường nhỏ lẻ trở thành mô hình đa ngân hàng rõ rệt, như dòng tiền “vào - ra” nhanh qua nhiều tổ chức giúp ngăn chặn và phát hiện sớm hơn các hành vi gian lận, giúp người bảo vệ tiêu dùng và đảm bảo quyền riêng tư vì không cần chia sẻ dữ liệu cá nhân.

Ngăn chặn gian lận danh tính tổng hợp (synthetic identity fraud)

Với hình thức kẻ gian kết hợp thông tin thật và giả để tạo ra một “người ảo” vượt qua các bước xác minh và vay tiền, sau đó biến mất, khiến người thật bị ảnh hưởng.

Trong một ngân hàng, hồ sơ này có vẻ hợp lệ. Chỉ khi so sánh thông tin giữa nhiều tổ chức mới phát hiện mâu thuẫn. PET-enabled clean room sẽ giúp ngân hàng băm hoặc mã hóa các trường thông tin nhận dạng (số căn cước công dân, điện thoại, email...) tại chỗ.

Trong clean room, các token được so khớp để phát hiện liên kết một-nhiều hoặc xung đột (ví dụ: cùng một ID nhưng tên khác nhau; nhiều ID lại dùng cùng thiết bị). Hệ thống trả về điểm rủi ro danh tính hoặc cảnh báo hành động, nhưng không bao giờ tiết lộ dữ liệu gốc.

Kết quả là các ngân hàng có thể phát hiện tín hiệu danh tính tổng hợp, ví dụ cùng số ID xuất hiện ở nhiều nơi, hoặc nhiều ID cùng dùng một thiết bị. Điều này giúp người tiêu dùng tránh được nợ xấu do gian lận, hạn chế người thật bị hiểu lầm là gian lận và không cần gom dữ liệu cá nhân hàng loạt.

Hệ thống cảnh báo sớm giữa các ngân hàng

Hình thức gian lận cảnh báo thường mang tính thời gian, nhưng quy định bảo mật ngăn việc chia sẻ danh tính trực tiếp, khiến mối đe dọa có thể lan sang các tổ chức khác.

Ngân hàng có thể phát hiện đột biến đăng nhập rủi ro, nhưng không thể chia sẻ thông tin nhận dạng thô cho các ngân hàng khác. PET-enabled clean room giúp Ngân hàng phát hiện rủi ro gửi cảnh báo token hóa (ví dụ token tài khoản, thiết bị, người thụ hưởng) kèm mã lý do, mức độ tin cậy và thời gian hiệu lực.

Các ngân hàng khác đối chiếu cục bộ để xem có trùng token hoặc giao dịch liên quan trong thời gian cảnh báo hay không, mà không tiết lộ danh tính thực. Nếu trùng khớp, ngân hàng tăng cường bảo mật (yêu cầu xác thực hai yếu tố, tạm giới hạn giao dịch).

Kết quả là tạo nên mạng lưới cảnh báo sớm âm thầm, giúp cả hệ thống ngân hàng phòng thủ chủ động mà không cần trao đổi danh sách khách hàng. Người tiêu dùng tránh được nguy cơ tài khoản bị chiếm dụng hàng loạt sau một vụ vi phạm.

Xây dựng mạng lưới hợp tác phòng chống gian lận giữa các ngân hàng

Bước đầu tiên là xác định mục tiêu cụ thể hướng đến người tiêu dùng, như: Giảm thiệt hại do lừa đảo, phát hiện tài khoản mule, ngăn chặn danh tính giả.

Sau đó, thực hiện thử nghiệm trong 30-60 ngày với 2-3 ngân hàng, tập trung vào một kịch bản duy nhất (phát hiện mule, phát hiện danh tính tổng hợp, hoặc cảnh báo danh tính bị xâm phạm), cùng bộ chỉ số đơn giản, thống nhất.

Các bước gồm: Thiết lập môi trường data clean room, chạy thử với dữ liệu giả lập, thiết lập quy tắc phân tích, chạy thử nghiệm thực tế và đánh giá hiệu quả để quyết định mở rộng hoặc dừng lại./.