Veriftools: Trang trại ID giả giá 9 đô la và cách KYC chống lại nó

Hộ chiếu giả thường rất đắt tiền. Trước đây đúng là như vậy. Trong phần lớn thế kỷ trước, việc làm giả hộ chiếu một cách thuyết phục đòi hỏi kỹ năng cao, vật liệu thật và thời gian. Sau đó, các dịch vụ như veriftools đã giảm giá làm giả giấy tờ tùy thân xuống còn khoảng chín đô la, có thể thanh toán bằng tiền điện tử, không cần kỹ năng gì cả. Đó mới là câu chuyện thực sự, và việc tịch thu một trang web không làm thay đổi được điều đó.

Vào tháng 8 năm 2025, FBI và Cảnh sát Quốc gia Hà Lan đã tịch thu các tên miền của veriftools và khoảng 6,4 triệu đô la tiền điện tử . Tốt. Nó cũng được khởi động lại gần như ngay lập tức. Vì vậy, bài viết này sẽ xem xét veriftools là gì, tại sao các hoạt động này cứ tái diễn, cách một giấy tờ tùy thân giả mạo cố gắng vượt qua quá trình xác minh danh tính và người mua một giấy tờ giả trị giá chín đô la bị thiệt hại âm thầm ở đâu. Tóm lại: biện pháp phòng vệ hiệu quả không nằm ở nhà đăng ký tên miền. Nó nằm ở bước xác minh.

Veriftools là gì và tại sao nó lại quan trọng

Veriftools là một "công cụ tạo mẫu" giả mạo giấy tờ, biến việc làm giả giấy tờ thành một sản phẩm thao tác đơn giản. Bạn nhập dữ liệu cá nhân, và dịch vụ sẽ tạo ra một giấy tờ tùy thân giả mạo trông giống thật. Không cần người làm giả, không cần phòng tối, không cần kỹ thuật tinh xảo. Chính sự công nghiệp hóa đó là vấn đề cốt lõi, bởi vì nó mở rộng phạm vi những người có thể thực hiện hành vi gian lận giấy tờ từ một số ít tội phạm lành nghề thành bất kỳ ai có lý do chính đáng và một trình duyệt web.

Quy mô của vụ việc không hề nhỏ. Theo báo cáo từ các nhà nghiên cứu bảo mật và Bộ Tư pháp Hoa Kỳ, veriftools đã cung cấp khoảng 250 mẫu tài liệu bao gồm giấy tờ tùy thân của khoảng 69 quốc gia, trong đó có giấy tờ tùy thân của tất cả 50 tiểu bang của Hoa Kỳ. Nó bán hộ chiếu giả, bằng lái xe giả, sao kê ngân hàng giả và hóa đơn tiện ích giả với giá chỉ từ 9 đô la, nhận thanh toán bằng tiền điện tử, điều hành một chương trình liên kết và thậm chí hỗ trợ tạo hàng loạt tài liệu cho tội phạm sử dụng hồ sơ nhận dạng bị đánh cắp hoặc tổng hợp. Đến tháng 2 năm 2024, nó thu hút khoảng 285.000 lượt truy cập duy nhất mỗi tháng. Vụ triệt phá vào tháng 8 năm 2025, được thực hiện từ Quận New Mexico với sự trợ giúp của Hà Lan, đã tịch thu các tên miền và 6,4 triệu đô la tiền điện tử của nó và gọi vụ án này là một bước tiến hướng tới việc bảo vệ công chúng khỏi gian lận và đánh cắp danh tính . Đúng vậy. Nhưng đó cũng không phải là kết thúc.

Điều khiến mô hình tạo tài liệu giả trở nên nguy hiểm không phải là bất kỳ tài liệu đơn lẻ nào, mà là tốc độ xử lý. Một mẫu tài liệu tĩnh vẫn cần người làm giả điền thông tin một cách thuyết phục; trong khi đó, trình tạo tài liệu tự động làm điều đó với số lượng lớn, cho bất kỳ ai chỉ cần vài đô la tiền điện tử. Kết hợp điều đó với chương trình liên kết, bạn sẽ có được sự phân phối, chứ không chỉ là một sản phẩm. Gian lận tài liệu không còn là một kỹ năng thủ công mà trở thành một hình thức đăng ký định kỳ, và đó là điều mà mọi nền tảng cho phép người dùng lạ tham gia nên lo ngại.

Vì sao các trang web làm giả giấy tờ vẫn tồn tại mãi không biến mất?

Đây mới là phần khó chịu. Việc triệt phá chỉ giải quyết triệu chứng. Nguồn cung là tội phạm dưới hình thức dịch vụ, và nó tái phát chỉ sau một đêm.

Cùng ngày thông báo về việc tịch thu được đưa ra, những người điều hành veriftools đã đăng thông báo khởi động lại trên Telegram. Trong vòng vài tuần, các tên miền thay thế đã hoạt động trên nhiều phần mở rộng khác nhau, và đến tháng 10 năm 2025, chúng đã thu hút khoảng 80.000 lượt truy cập mỗi tháng. Điều này không phải là hiếm. Một công ty xác minh danh tính ước tính có khoảng 24.000 người bán trong thị trường dịch vụ hàng giả rộng lớn hơn. Khi một người bị loại bỏ, nhu cầu sẽ chuyển sang người tiếp theo.

Ẩn sau đó là một thực tế kinh tế ảm đạm. Cơ sở hạ tầng rẻ, khách hàng ẩn danh và phương thức thanh toán là tiền điện tử, vì vậy chi phí biên để khôi phục hoạt động gần như bằng không. Việc tịch thu tên miền làm tăng chi phí đó một chút, nhưng không làm thay đổi cục diện.

Tôi không cho rằng việc gỡ bỏ các trang web giả mạo là vô ích. Việc tịch thu 6,4 triệu đô la và làm gián đoạn hoạt động của một tổ chức là điều quan trọng. Nhưng "chúng tôi đã tịch thu tên miền" chỉ là một thông cáo báo chí, chứ không phải là một biện pháp tự vệ. Nếu kế hoạch an ninh của bạn phụ thuộc vào việc cơ quan thực thi pháp luật loại bỏ nguồn cung cấp tài liệu giả mạo, thì bạn không có kế hoạch nào cả. Giải pháp bền vững phải giả định rằng hàng giả sẽ xuất hiện, và phải bắt giữ chúng khi điều đó xảy ra.

Cách thức giấy tờ tùy thân giả mạo tìm cách vượt qua quy trình xác minh danh tính (KYC) và sự gia tăng gian lận đằng sau đó.

Lý do những sản phẩm giả mạo giá rẻ từ các dịch vụ như veriftools lại quan trọng là vì chúng cung cấp nguyên liệu cho một hệ thống lớn hơn nhiều. Gian lận danh tính đã được công nghiệp hóa song song với sự phát triển của các công cụ này, và những con số từ năm 2025 và 2026 không hề nhỏ.

Tài liệu tổng hợp và tài liệu do trí tuệ nhân tạo tạo ra

Loại hình phát triển nhanh nhất là danh tính giả mạo, sự kết hợp giữa dữ liệu thật và dữ liệu bịa đặt, chỉ cần một bước kiểm tra sơ sài là có thể vượt qua. Theo thống kê của Sumsub, gian lận giấy tờ bằng danh tính giả mạo đã tăng 311% ở Bắc Mỹ từ đầu năm 2024 đến đầu năm 2025. Viện An ninh mạng Entrust cho biết, việc làm giả tài liệu kỹ thuật số hiện chiếm khoảng 57% tổng số vụ gian lận tài liệu, tăng 244% so với năm trước. Khoảng một trong năm mươi tài liệu giả mạo hiện nay được tạo ra bằng trí tuệ nhân tạo (AI). Tất cả những điều này không cần một chuyên gia làm giả bậc thầy; chỉ cần một người đăng ký dịch vụ. Danh tính giả mạo đặc biệt nguy hiểm vì không có nạn nhân nào đứng ra khiếu nại. Danh tính này được tạo ra một phần, vì vậy nó có thể tồn tại âm thầm, xây dựng một lịch sử mỏng manh, rồi đột ngột bị lộ. Đến khi ai đó nhận ra vấn đề, tài khoản đã bị rút hết tiền và biến mất.

Deepfakes và các cuộc tấn công chèn mã độc

Một mặt trận khác là ảnh selfie trực tiếp mà các hệ thống xác minh dựa vào để chứng minh sự hiện diện của một người thật. Giờ đây, tin tặc đã đánh bại điều đó bằng công nghệ deepfake và các cuộc tấn công chèn mã, đưa video giả mạo trực tiếp vào luồng video của camera. Công ty sinh trắc học iProov đã ghi nhận một vụ tấn công deepfake cứ khoảng năm phút một lần trong năm 2024, số vụ tấn công chèn mã trên iOS tăng 741% trong năm 2025 và số vụ tấn công bằng camera ảo tăng 2.665% so với năm 2023. Một tài liệu trị giá chín đô la và một phần mềm hoán đổi khuôn mặt miễn phí là một bộ công cụ rẻ tiền cho một tội ác đắt đỏ.

Sự thay đổi này rất quan trọng vì tính chân thực vốn được cho là phần khó làm giả nhất. Nếu một hệ thống chỉ đơn giản tin tưởng rằng khuôn mặt chuyển động trên camera thuộc về một người thật trong phòng, thì video được chèn vào sẽ âm thầm phá vỡ giả định đó. Việc phát hiện đã phải chuyển từ việc hỏi "khuôn mặt này có phải là người thật không" sang hỏi "nguồn cấp dữ liệu camera này có phải là thật không", đây là một vấn đề khó hơn và mới hơn.

Cách thức xác minh danh tính giúp phát hiện giấy tờ giả mạo

Vậy nếu không thể thoát ra bằng cách chiếm đoạt tài sản, thì giải pháp là gì? Phát hiện ngay tại cửa. Đây là phần mà người mua một tờ giấy giả trị giá 9 đô la không lường trước được, bởi vì hệ thống xác minh nhiều lớp được thiết kế để giả định rằng tài liệu đó là giả cho đến khi có bằng chứng chứng minh điều ngược lại.

Phân tích tài liệu và tính xác thực

Hãy bắt đầu từ chính tài liệu. Kiểm tra pháp y sẽ đọc những thứ mà mẫu không thể làm giả một cách hoàn hảo: sự không nhất quán ở cấp độ pixel, sai lệch về phông chữ và bố cục, siêu dữ liệu bị thao túng và việc tái sử dụng mẫu trên nhiều lần nộp. Khi Resistant AI kiểm tra đầu ra của veriftools, công cụ pháp y của nó đã gắn cờ các tài liệu là có rủi ro cao trên các giấy tờ tùy thân, sao kê ngân hàng và hóa đơn tiện ích, ngay cả sau khi những kẻ gian lận cố gắng loại bỏ siêu dữ liệu. Lý do điều này hiệu quả là vì trình tạo được tối ưu hóa để trông giống với con người, chứ không phải máy móc. Một người xem xét nhìn thoáng qua bằng lái xe sẽ thấy một chiếc thẻ hợp lệ. Công cụ pháp y sẽ thấy rằng cùng một mẫu đã tạo ra hàng nghìn bản sao khác, khoảng cách phông chữ hơi lệch, mẫu bảo mật được in chứ không phải được nhúng. Thêm tính năng phát hiện sự sống 3D để xác nhận người thật có mặt, phát hiện chèn mã để bắt được nguồn cấp dữ liệu camera giả mạo và đọc chip NFC để lấy dữ liệu chính hãng, đã được ký trực tiếp từ chip của hộ chiếu hiện đại, và việc làm giả rẻ tiền sẽ không còn chỗ cho những sai sót.

Sàng lọc AML và đối chiếu dữ liệu

Một tài liệu hợp lệ vẫn chỉ là một nửa quá trình kiểm tra. Quy trình sàng lọc AML sẽ đối chiếu thông tin cá nhân với danh sách trừng phạt, cơ sở dữ liệu về những người có liên quan đến chính trị và các báo cáo tiêu cực trên phương tiện truyền thông, sau đó tiếp tục giám sát sau khi đăng ký. Dữ liệu nhận dạng được đối chiếu với các nguồn đáng tin cậy, và các tín hiệu pháp y tương tự được sử dụng để phát hiện gian lận thanh toán rộng hơn, đảm bảo một tài khoản giả mạo không thể âm thầm mở tới mười tài khoản. Một tài liệu có thể được xác thực hoàn hảo nhưng vẫn có thể ghi tên một người mà thông tin chi tiết không khớp với bất kỳ hồ sơ thực nào, hoặc người đó đã nằm trong danh sách theo dõi. Việc giám sát liên tục sẽ phát hiện ra tài khoản trông có vẻ an toàn vào ngày đầu tiên nhưng trở nên rủi ro vào ngày thứ 90. Không có lớp bảo mật nào là hoàn hảo. Khi được chồng lên nhau, chúng biến một tài liệu trị giá 9 đô la thành một canh bạc thua lỗ.

Nền tảng phải trả giá bao nhiêu khi để cho hàng giả lọt qua?

Tất cả những điều này không chỉ là lý thuyết. Các tài liệu giả mạo từ các hoạt động như veriftools trực tiếp chảy vào các tài khoản tạo ra các khoản phạt này, và cái giá phải trả cho việc mắc sai lầm đã tăng vọt. Thất bại trong quy trình KYC giờ đây đồng nghĩa với việc mất trắng tiền bạc.

Hãy nhìn vào năm nay. OKX đã nhận tội trong một vụ kiện của Bộ Tư pháp Hoa Kỳ vào tháng 2 năm 2025, chịu mức phạt hơn 504 triệu đô la , liên quan đến hơn 5 tỷ đô la giao dịch đáng ngờ. Các công tố viên cho biết nhân viên đã hướng dẫn khách hàng làm giả giấy tờ tùy thân. KuCoin đã dàn xếp với Bộ Tư pháp với số tiền khoảng 300 triệu đô la vào tháng trước đó, sau đó bị FINTRAC phạt kỷ lục 19,6 triệu đô la Canada vào tháng 9 cùng năm. Và mức phạt ngày càng cao. Chế độ MiCA của EU đặt ra thời hạn ủy quyền CASP nghiêm ngặt là ngày 1 tháng 7 năm 2026, Quy định AML rộng hơn sẽ có hiệu lực vào năm 2027, và mức phạt lên tới hàng chục triệu đô la. Một nền tảng cho phép sử dụng giấy tờ giả mạo không phải đang tiết kiệm tiền. Nó chỉ đang trì hoãn một khoản nợ lớn hơn nhiều.

Đây không phải là những trường hợp cá biệt. Chúng nằm trong số những hành động thực thi pháp luật lớn nhất mà ngành tiền điện tử từng chứng kiến, và điểm chung xuyên suốt mỗi vụ việc là vấn đề xác thực danh tính. Không phải thao túng thị trường. Không phải một vụ hack tinh vi. Câu hỏi mà các nhà quản lý liên tục đặt ra vừa đơn giản vừa khó hơn: ai đã vượt qua được rào cản, và nền tảng đó thực sự đã làm gì để kiểm tra?

Thực tế pháp lý dành cho bất kỳ ai có ý định mua

Đối với người mua cá nhân, chín đô la cho veriftools hoặc các tên miền kế nhiệm của nó là mức giá rẻ. Giá thực tế gấp đôi, và cả hai phần đều bị đánh giá thấp.

Trước hết, về luật pháp. Tại Hoa Kỳ, việc sản xuất hoặc sử dụng giấy tờ tùy thân giả mạo là một tội phạm liên bang theo điều 18 USC § 1028, với mức án lên đến 15 năm tù, và tội trộm cắp danh tính nghiêm trọng sẽ bị phạt thêm hai năm tù bắt buộc. Tuy nhiên, nhu cầu đối với mặt hàng này vẫn yếu: một cuộc khảo sát cho thấy khoảng 30% thanh niên Mỹ đã từng cân nhắc mua giấy tờ tùy thân giả. Chính nhu cầu dễ dãi đó đã khiến việc buôn bán trở nên nguy hiểm. Hầu hết người mua chỉ coi đó là một vật dụng vô hại, chứ không phải là một tội danh liên bang, và khoảng cách giữa cảm giác khi mua hàng và định nghĩa của luật pháp là nơi mọi người bị tổn hại. Hậu quả không hề giảm nhẹ chỉ vì việc mua hàng có vẻ bình thường.

Thứ hai, dữ liệu. Để tạo ra một bản sao giả mạo thuyết phục, bạn cung cấp cho một dịch vụ tội phạm thông tin cá nhân thật của mình, ảnh của bạn, các chi tiết thực tế của bạn. Bạn không phải là khách hàng trong giao dịch đó mà là sản phẩm. Đánh cắp danh tính, tống tiền và bán lại dữ liệu của bạn là những bước tiếp theo tất yếu. Về phía nền tảng, một tài khoản giả mạo bị gắn cờ có nghĩa là tiền bị đóng băng và bị cấm vĩnh viễn. Người mua mất tiền, tài khoản và quyền kiểm soát danh tính của chính họ, thường là cả ba.

Cần phải thẳng thắn nói về sự bất đối xứng này. Người bán hàng giả đối mặt với việc bị gỡ bỏ trang web và mất tên miền mà họ có thể đăng ký lại ngay sáng hôm sau. Người mua thì đối mặt với án tích liên bang. Toàn bộ giao dịch được cấu trúc sao cho khách hàng gánh chịu rủi ro pháp lý trong khi người điều hành thu về tiền điện tử và xây dựng lại ở nơi khác. Đó không phải là một thỏa thuận mà bất cứ ai muốn đứng về phía bất lợi.

Vì sao việc phát hiện có hiệu quả hơn việc gỡ bỏ giấy tờ tùy thân giả mạo?

Việc tịch thu veriftools không chấm dứt được vấn nạn giấy tờ tùy thân giả mạo. Trang trại tiếp theo đã bắt đầu hoạt động, và trang trại sau đó đang chờ đợi trong một kênh Telegram để xem trang trại đầu tiên sụp đổ. Bài học đáng ghi nhớ là: nguồn cung rất bền vững, vì vậy hệ thống phòng thủ cũng phải mạnh mẽ. Đối với một doanh nghiệp tiền điện tử, điều đó có nghĩa là xác minh danh tính nhiều lớp, giả định rằng mọi tài liệu đều đáng ngờ, được hỗ trợ bởi phân tích pháp y, tính xác thực và giám sát chống rửa tiền liên tục. Đối với những người khác, động thái này đơn giản và rẻ hơn chín đô la. Đừng mua chúng.

Simon Chartan

A journalist with a strong technical background and a passion for decentralized finance. With degrees in MBA and Master of Engineering in Data Science, the author combines analytical expertise with a clear, engaging writing style. At Plisio, they cover topics such as cryptocurrency, blockchain, DeFi, and digital finance—helping readers make sense of a rapidly evolving fintech landscape.