Người Sean Byrne khác không hề tồn tại: Khi hệ thống sàng lọc an ninh Mỹ chặn cả người vô tội

Đầu năm nay, Apple đã từ chối quyền truy cập App Store Connect của tôi sau khi hệ thống của họ “phát hiện” tôi trùng khớp với một cá nhân trong danh sách các bên bị hạn chế của chính phủ Mỹ. Thông báo của Apple rất dứt khoát: “Thông tin bạn cung cấp khớp hoàn toàn với một hoặc nhiều bên bị hạn chế trong danh sách sàng lọc hợp nhất của chính phủ Mỹ hoặc danh sách trừng phạt của chính phủ khác.”

Câu chuyện này không chỉ là một sự bất tiện cá nhân – nó là một hồi chuông cảnh tỉnh về những lỗ hổng chết người trong hệ thống sàng lọc danh tính tự động đang được các tập đoàn công nghệ lớn và các nền tảng tuyển dụng từ xa sử dụng ngày càng rộng rãi.

Danh sách trừng phạt chứa một cái tên… không ai tồn tại

Sau khi bị Apple từ chối, tôi đã gửi giấy phép lái xe, giải thích rõ địa chỉ trên hồ sơ chính phủ mà họ đang đối chiếu không phải là nơi tôi từng sống. Tôi chưa bao giờ sống ở County Sligo, và không có bất kỳ liên hệ nào với công ty trong hồ sơ. Tôi yêu cầu Apple chuyển vụ việc cho bộ phận tuân thủ trừng phạt và đưa ra kết luận không trùng khớp.

Apple đến nay vẫn chưa trả lời.

Tra cứu “Sean Byrne” trong Danh sách sàng lọc hợp nhất (Consolidated Screening List) của chính phủ Mỹ, tôi chỉ nhận được một kết quả duy nhất: Sean Byrne, địa chỉ Cloonmull House, Drumcliffe, County Sligo, Ireland. Nguồn gốc: Danh sách thực thể (Entity List) của Cục Công nghiệp và An ninh (BIS – Bureau of Industry and Security), được thêm vào ngày 21/7/2009.

Danh sách sàng lọc hợp nhất của Mỹ hiển thị một Sean Byrne tại Sligo

Vấn đề là: người trong hồ sơ này không phải tôi. Thú vị hơn, có vẻ như người đó… không phải bất kỳ ai cả.

Nguồn gốc của một “con người” không có thật

Danh sách này xuất phát từ vụ truy tố công ty phụ tùng máy bay Ireland Mac Aviation vào năm 2009. Bộ Tư pháp Mỹ mô tả Sean Byrne là giám đốc thương mại của công ty, bị buộc tội cùng Thomas và Sean McGuinn vì xuất khẩu trái phép thiết bị máy bay của Mỹ sang Iran.

Nhưng hóa ra Mac Aviation chỉ là một công ty “ma” – cha con McGuinn làm việc trong một căn nhà nhỏ ở làng Drumcliffe, với núi Ben Bulben phía sau. Một quan chức Rolls-Royce đến thăm đã “không nói nên lời” khi phát hiện công ty toàn cầu mà ông ta tưởng có hàng trăm nhân viên thực chất chỉ là một căn nhà nhỏ.

Để tạo ấn tượng về một công ty lớn hơn, gia đình McGuinn đã ký các tài liệu bằng tên giả. Sean Byrne là một trong số đó. Theo báo Sunday Times, cái tên này xuất hiện nhiều đến mức chính quyền Mỹ “trở nên tin rằng Byrne tồn tại và cố gắng truy tố ông ta”.

Khung cảnh Drumcliffe, County Sligo với núi Ben Bulben phía sau

Đến năm 2010, khi Bộ Tư pháp đệ trình bản cáo trạng thay thế, Sean Byrne không còn là bị cáo. Thay vào đó, bản cáo trạng mô tả “Sean Byrne” là một bí danh được các đồng phạm sử dụng – cụm từ này xuất hiện hơn mười lăm lần trong tài liệu, gắn với các hóa đơn, email cụ thể.

Vậy mà mục nhập trên Danh sách thực thể vẫn tồn tại. 16 năm sau, nó vẫn không có ngày sinh, số hộ chiếu hay bất kỳ định danh cá nhân hữu ích nào. Chỉ có một cái tên Ireland phổ biến, một địa chỉ ở Sligo – một địa chỉ thuộc về nhà riêng của Thomas McGuinn, không phải của “Sean Byrne”.

Bốn lần bị chặn trong sáu năm

Đây không phải lần đầu tôi gặp vấn đề này. Nhiều năm trước, khi bán cổ phiếu qua một đợt chào mua, Nasdaq đã dừng lệnh của tôi vì kiểm tra lý lịch phát hiện trùng khớp. Họ cho biết kết quả là “dương tính giả” nhưng vẫn yêu cầu bằng chứng về địa chỉ California của tôi.

Phản hồi của Nasdaq về kết quả kiểm tra lý lịch dương tính giả

Gần đây hơn, tôi đặt mua một cột gắn Starlink từ California. DHL, vận chuyển thay mặt cho SpaceX, báo lỗi trùng khớp danh sách hạn chế và yêu cầu hộ chiếu. Tôi gửi, họ xác nhận và hàng đến. DHL cũng từ chối chuyển một cái mũ tôi mua ở Mỹ sang Ireland nếu không có bản sao hộ chiếu.

Người Sean Byrne giả mạo có liên quan đến âm mưu mua động cơ trực thăng và phụ tùng máy bay chiến đấu cho Iran. Còn Sean Byrne thật thì thỉnh thoảng phải xuất trình hộ chiếu trước khi có người gửi cho… một cái mũ.

Apple là trường hợp khác biệt. Nasdaq và các hãng vận chuyển đều phát hiện dương tính giả, yêu cầu thông tin đủ để giải quyết, rồi giải quyết. Apple đã có hộ chiếu, nhận giấy phép lái xe và lời giải thích chi tiết tại sao trùng khớp này sai, vẫn khẳng định tôi “khớp hoàn toàn” với một bên bị hạn chế.

Vấn đề có hệ thống

Không có gì mới mẻ trong câu chuyện này. Năm 2006, chương trình 60 Minutes của CBS tìm thấy 12 người đàn ông Mỹ tên Robert Johnson đều gặp rắc rối khi lên máy bay. Họ bị nhầm với một bí danh của kẻ bị kết tội âm mưu đánh bom tại Toronto – một kẻ đã thụ án và bị trục xuất về Trinidad từ lâu. Hệ thống hàng không chỉ so sánh tên, không có ngày sinh.

Trưởng bộ phận chống khủng bố của FBI khi đó nói Robert Johnson “sẽ không bao giờ bị xóa khỏi danh sách”, và bất kỳ ai trùng tên đều sẽ bị làm phiền mỗi lần làm thủ tục.

Các vụ kiện liên quan đã có tiền lệ. Năm 2005, Sandra Cortez bị chặn mua xe ở Colorado vì TransUnion đối chiếu tên với một phụ nữ trong danh sách trừng phạt sinh sau cô 27 năm – chỉ so sánh họ và tên, không so ngày sinh. Bồi thẩm đoàn đã trao bồi thường thiệt hại cho cô, và tòa án liên bang mô tả việc không so sánh ngày sinh là “đáng trách”. Năm 2021, vụ Sergio Ramirez lên đến Tòa án Tối cao.

Không có phiên bản nào của những giải pháp này khả dụng với tôi. Danh sách không có ngày sinh để so sánh. Không có tên đệm, không có số hộ chiếu – vì người đó không tồn tại. Một hệ thống sàng lọc hoàn hảo vẫn sẽ gắn cờ tôi mãi mãi, dựa trên hai dữ kiện duy nhất: một cái tên Ireland phổ biến và một quốc gia.

Ngành tuyển dụng từ xa – vấn đề nghiêm trọng hơn

Tuyển dụng từ xa đang đối mặt với vấn nạn gian lận danh tính nghiêm trọng. Thậm chí còn có vấn đề Triều Tiên: các kỹ sư IT Triều Tiên lấy việc làm từ xa tại các công ty Mỹ bằng danh tính giả, người phỏng vấn thuê ngoài và các “trang trại laptop” tại Mỹ để che giấu vị trí thật. FBI đã cảnh báo về tình trạng này, và DOJ đã truy tố các đường dây thành công đưa người vào hơn 100 công ty Mỹ.

Một lớp sản phẩm tuyển dụng mới đang được xây dựng quanh vấn đề này. Tofu, một công ty khởi nghiệp, quảng cáo rằng họ sàng lọc mọi ứng viên qua hơn 40 tín hiệu trước khi nhà tuyển dụng mở résumé, và khi ứng viên trùng khớp danh sách trừng phạt, tín hiệu sẽ chuyển thẳng cho bộ phận tuân thủ. Họ quyết liệt cho rằng sàng lọc phải diễn ra ngay từ lúc nộp đơn, và một ứng viên bị gắn cờ bởi một khách hàng sẽ bị gắn cờ trên toàn bộ mạng lưới khách hàng qua API.

Sàng lọc trừng phạt mà các nhà cung cấp này mô tả thường dựa trên danh sách OFAC và SDN – đúng đối tượng rủi ro họ bán giải pháp chống lại. Nhưng việc sàng lọc tên tôi với dữ liệu hạn chế của Mỹ đã tạo ra dương tính giả. Bốn lần trong sáu năm: Nasdaq, SpaceX, DHL, Apple.

Mac Aviation bịa ra một nhân viên để trông có vẻ lớn hơn. Nhân viên bịa đặt đó lại lọt vào cơ sở dữ liệu chính phủ Mỹ có uy quyền. 16 năm sau, các công ty đang xây dựng hệ thống dùng chính cơ sở dữ liệu đó để phát hiện ứng viên giả, kẻ lừa đảo, tội phạm và các tác nhân nhà nước trước khi họ vào quy trình tuyển dụng.

Lời kết

Liệu điều này có khiến tôi mất việc không? Tôi không biết chắc. Tôi đã dành cả sự nghiệp trong lĩnh vực an ninh thông tin, phần lớn tại Mỹ, và giờ đang xin việc từ Ireland. Có những vị trí với kinh nghiệm của tôi đáng lẽ ít nhất phải có một cuộc trò chuyện, nhưng tôi không nhận được phản hồi nào. Tuyển dụng vốn dĩ hỗn loạn, và không thiếu lý do mơ hồ để từ chối ứng viên.

Nhưng Nasdaq nói với tôi rằng đó là Mac Aviation. DHL thay mặt SpaceX yêu cầu hộ chiếu với lý do trùng khớp danh sách hạn chế. Apple thậm chí không thèm trả lời. Một hệ thống theo dõi ứng viên sẽ không nói với tôi bất cứ điều gì — chỉ lặng lẽ loại tôi khỏi danh sách.

Tôi đã gửi yêu cầu lên Ủy ban rà soát người dùng cuối của BIS để xem xét lại mục ban đầu. Không chắc có kết quả gì. Quy trình thông thường được thiết kế cho người bị liệt kê muốn xóa tên – nhưng tôi không phải Sean Byrne trong danh sách, và bằng chứng cho thấy người đó có thể chưa bao giờ tồn tại.

Cho đến nay, dữ liệu sàng lọc của chính phủ Mỹ vẫn ghi: Sean Byrne, Cloonmull House, Drumcliffe, County Sligo.

Và tôi vẫn chưa từng sống ở Sligo.