Vào ngày 4/4/2026, nhóm tống tiền Lapsus$ đã đăng tải lên trang rò rỉ của mình một kho dữ liệu khổng lồ lên tới 4TB, đánh cắp từ startup Mercor, một công ty chuyên thuê người gắn nhãn dữ liệu và thu âm giọng nói cho các mô hình AI. Kho dữ liệu này chứa thông tin của hơn 40.000 nhà thầu, bao gồm giọng nói sạch, ảnh chụp căn cước công dân (CMND/Passport) và ảnh selfie khuôn mặt. Đây là lần đầu tiên một vụ rò rỉ kết hợp cả ba yếu tố sinh trắc học (giọng nói + khuôn mặt + giấy tờ tùy thân) trong cùng một cơ sở dữ liệu duy nhất.

Vì sao vụ rò rỉ này nguy hiểm hơn những vụ trước đây?

Theo tờ Wall Street Journal đưa tin vào tháng 2/2026, các công cụ sao chép giọng nói hiện chỉ cần 15 giây âm thanh sạch để tạo ra bản sao hoàn hảo. Trong khi đó, mỗi nhà thầu của Mercor đã thu âm từ 2 đến 5 phút giọng đọc chuẩn phòng thu. Kẻ tấn công có thể dùng giọng nói này để vượt qua xác thực ngân hàng (voiceprint), hoặc gọi điện lừa đảo (vishing) tới nhân viên, người thân, thậm chí là HR của công ty nạn nhân để chuyển tiền hoặc chiếm quyền truy cập. Một vụ tương tự từng xảy ra tại Công ty Arup ở Hong Kong vào năm 2024, khi một nhân viên tài chính đã chuyển 25 triệu USD sau khi tham gia một cuộc gọi deepfake video nhiều người.

Những rủi ro cụ thể với người dùng thường

Nếu bạn có tài khoản ngân hàng Mỹ hoặc Anh dùng xác thực giọng nói, kẻ xấu có thể dễ dàng sao chép giọng của bạn và vượt qua lớp bảo vệ đầu tiên. Với dữ liệu căn cước bị lộ, chúng còn có thể mở tài khoản ngân hàng mới hoặc đăng ký SIM điện thoại giả mạo. Hiện tại, năm vụ kiện tập thể đã được nộp chống lại Mercor ngay trong 10 ngày sau vụ rò rỉ. Các luật sư cho rằng công ty này đã thu thập dữ liệu giọng nói dưới danh nghĩa "huấn luyện AI" mà không thông báo rõ rằng đó là định danh sinh trắc học vĩnh viễn. Vụ việc là lời cảnh tỉnh cho cả ngành AI và công nghệ toàn cầu về việc bảo vệ dữ liệu người dùng.