Chợ đen dữ liệu cá nhân

Các hành vi mua bán, thu thập và phát tán trái phép dữ liệu cá nhân trên “chợ đen” đang diễn ra với những phương thức, thủ đoạn tinh vi. Từ thực tiễn quản lý, vận hành Cơ sở dữ liệu quốc gia về dân cư, Cục cảnh sát Quản lý hành chính về Trật tự xã hội (C06) đã đánh giá, các nguồn dữ liệu cá nhân đang bị rao bán trên không gian mạng hiện nay không thể được nhìn nhận một cách đơn giản là dữ liệu “rò rỉ từ một hệ thống duy nhất”.

Nhận diện nguồn cung cho chợ đen dữ liệu

Thông tin từ Cục cảnh sát Quản lý hành chính về Trật tự xã hội (C06) cho biết, phần lớn các bộ dữ liệu rao bán trên “chợ đen” là dữ liệu được thu gom, tổng hợp, ghép nối từ nhiều nguồn khác nhau, bao gồm: Dữ liệu do người dân tự cung cấp khi sử dụng dịch vụ số; dữ liệu phát sinh tại doanh nghiệp, tổ chức trung gian; dữ liệu từ các chương trình khuyến mại, vay tiêu dùng, thương mại điện tử, tuyển dụng, bảo hiểm, giáo dục, y tế, viễn thông, tài chính; dữ liệu bị chiếm đoạt qua mã độc, lừa đảo trực tuyến, giả mạo biểu mẫu, ứng dụng giả mạo; và dữ liệu cũ đã bị phát tán, sau đó được các đối tượng làm sạch, chuẩn hóa, bổ sung để tăng giá trị mua bán. Các đối tượng phạm tội thường thu thập các loại dữ liệu rời rạc này, sau đó đối soát, ghép nối để tạo cảm giác như dữ liệu xuất phát từ một nguồn chính thống.

Theo đánh giá nghiệp vụ, dữ liệu cá nhân đang bị rao bán trên các "chợ đen" hiện nay không xuất phát từ một điểm rò rỉ duy nhất, mà là hệ quả tích lũy từ ba nhóm nguyên nhân đan xen nhau:

Nhóm thứ nhất là từ phía người dân: Nhận thức về bảo vệ dữ liệu cá nhân còn hạn chế khiến nhiều người chủ động cung cấp giấy tờ tùy thân, hình ảnh căn cước, mã OTP, thông tin sinh trắc học cho các dịch vụ trực tuyến không bảo đảm an toàn. Thói quen tham gia môi trường số thiếu kiểm chứng - điền form, quét mã, chia sẻ thông tin để nhận ưu đãi - vô tình tạo ra nguồn dữ liệu thô dồi dào cho các tác nhân xấu;

Tiếp nữa là những thông tin xuất phát từ phía tổ chức, doanh nghiệp: Nhiều đơn vị thu thập dữ liệu vượt quá mục đích cần thiết; lưu trữ không mã hóa; phân quyền truy cập nội bộ lỏng lẻo; chia sẻ dữ liệu với đối tác thứ ba thiếu ràng buộc pháp lý. Đặc biệt, việc sử dụng file Excel, Google Form, nhóm chat để trao đổi dữ liệu nội bộ, cùng với thuê ngoài các dịch vụ chăm sóc khách hàng, marketing, thu hồi nợ, định danh khách hàng nhưng thiếu cơ chế giám sát và kiểm soát, tạo ra các điểm rò rỉ nằm ngoài tầm kiểm soát của tổ chức chủ quản.

Nguyên nhân thứ ba là từ phía cơ quan nhà nước: Rò rỉ dữ liệu từ khu vực công xuất phát từ nhiều nguyên nhân có tính hệ thống. Về hạ tầng kỹ thuật, một số cơ quan vẫn lưu trữ dữ liệu trên hệ thống chưa được mã hóa, chưa có cơ chế phân quyền truy cập chặt chẽ theo từng vị trí công việc, dẫn đến tình trạng nhiều cán bộ có thể truy xuất dữ liệu vượt phạm vi nhiệm vụ. Về quy trình vận hành, việc trao đổi, chuyển tiếp hồ sơ và dữ liệu giữa các bộ phận, đơn vị còn thực hiện qua kênh không chính thức, thiếu nhật ký theo dõi và kiểm soát. Về liên thông, tích hợp dữ liệu, quá trình kết nối giữa nhiều hệ thống chưa có tiêu chuẩn bảo mật thống nhất và cơ chế hậu kiểm sau khi dữ liệu được chia sẻ. Về yếu tố con người, một bộ phận cán bộ, công chức có thể tiếp cận các cơ sở dữ liệu đất đai, thuế, bảo hiểm... nhưng ý thức bảo mật thông tin chưa đồng đều, trong khi chế tài xử lý vi phạm trong nội bộ chưa đủ sức răn đe. Tổng hòa các yếu tố này khiến dữ liệu từ hệ thống nhà nước trở thành một trong những nguồn cung quan trọng cho các giao dịch mua bán dữ liệu trái phép.

Tăng cường các biện pháp bảo vệ từ phía cơ quan chức năng

Từ thực tế nhiều thông tin cá nhân được rao bán trùng hợp với những thông tin hành chính, phóng viên đã tìm hiểu cơ chế giám sát, phân quyền và “đóng vết” kỹ thuật từ phía cơ quan quản lý nhà nước, trong đó có các cán bộ, đơn vị được cấp quyền khai thác hệ thống nhằm ngăn chặn triệt để nguy cơ lộ lọt thông tin từ bên trong. Thiếu tướng Vũ Văn Tấn, Cục trưởng C06 cho biết: Với vai trò là cơ quan quản lý Cơ sở dữ liệu quốc gia, C06 luôn xác định Cơ sở dữ liệu quốc gia về dân cư là hệ thống thông tin trọng yếu, được quản lý, khai thác theo nguyên tắc đúng thẩm quyền, đúng mục đích, đúng phạm vi, có kiểm soát và có truy vết. Đối với cán bộ, đơn vị được cấp quyền khai thác, Cục C06 triển khai cơ chế quản trị theo nhiều lớp.

Thứ nhất, về phân quyền, việc truy cập hệ thống được thực hiện theo nguyên tắc phân quyền tối thiểu, mỗi tài khoản chỉ được cấp quyền tương ứng với chức năng, nhiệm vụ, địa bàn, phạm vi xử lý nghiệp vụ. Không có cơ chế khai thác tự do hoặc truy cập đại trà. Các nhóm quyền được thiết kế theo vai trò, cấp quản lý, mục đích khai thác và quy trình phê duyệt cụ thể.

Thứ hai, về xác thực, hệ thống áp dụng cơ chế định danh, xác thực người dùng nội bộ; kiểm soát thiết bị, phiên truy cập, thời gian truy cập, địa chỉ kết nối và điều kiện khai thác. Các thao tác bất thường, truy vấn vượt tần suất, truy vấn không phù hợp nhiệm vụ hoặc có dấu hiệu khai thác hàng loạt đều được đưa vào diện giám sát.

Thứ ba, đối với các đơn vị được cấp quyền khai thác, theo Luật Căn cước 2023 và Nghị định 58/2026/NĐ-CP, chỉ Thủ trưởng cơ quan quản lý căn cước của Bộ Công an mới có thẩm quyền cho phép các tổ chức bao gồm tổ chức tín dụng, viễn thông, dịch vụ xác thực điện tử kết nối và khai thác thông tin trong cơ sở dữ liệu quốc gia về dân cư. Không có đơn vị nào tự ý kết nối được, mọi luồng dữ liệu phải đi qua cổng kiểm soát tập trung do C06 quản lý. Trước khi cấp phép, C06 phối hợp với Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao và Cục Kỹ thuật nghiệp vụ tiến hành kiểm tra, đánh giá toàn diện hệ thống thông tin của tổ chức đó bảo đảm đáp ứng các yêu cầu về an toàn thông tin.

Thứ tư, về “đóng vết” kỹ thuật, mọi hoạt động khai thác, tra cứu, cập nhật, kết nối, chia sẻ dữ liệu đều được ghi nhận nhật ký hệ thống, bao gồm tài khoản thực hiện, thời điểm, nội dung nghiệp vụ, trường dữ liệu truy cập, địa chỉ kết nối và kết quả xử lý. Đây là cơ sở để phục vụ kiểm tra nội bộ, thanh tra, kiểm toán, điều tra và xử lý trách nhiệm nếu phát sinh vi phạm.

Thứ năm, về giám sát, Cục C06 thực hiện giám sát an ninh hệ thống theo thời gian thực, kết hợp cảnh báo tự động, rà soát định kỳ, kiểm tra đột xuất và đối soát nhật ký truy cập. Trường hợp có dấu hiệu khai thác trái phép, hệ thống có thể khóa quyền, thu hồi quyền, cô lập tài khoản, phục vụ xác minh và chuyển xử lý theo quy định.

Thiếu tướng Vũ Văn Tấn nhấn mạnh: Không chỉ bảo vệ hệ thống bằng công nghệ, mà còn bằng kỷ luật truy cập, trách nhiệm cá nhân và cơ chế hậu kiểm nghiêm minh. Bất kỳ cán bộ, đơn vị nào khai thác dữ liệu sai mục đích đều phải chịu trách nhiệm theo quy định của pháp luật.

Làm sạch tài khoản rác, chuẩn hóa hệ thống dữ liệu cá nhân

Trước tình trạng giả mạo danh tính, tạo tài khoản ngân hàng “rác”, kích hoạt SIM rác bằng thông tin mua từ chợ đen phục vụ cho tội phạm lừa đảo công nghệ cao, cơ quan chức năng xác định đây là vấn đề phải xử lý theo chuỗi, không chỉ xử lý ở khâu cuối cùng khi tội phạm đã phát sinh. Trọng tâm là làm sạch danh tính số, chuẩn hóa dữ liệu thuê bao, tài khoản và xác thực giao dịch điện tử bằng nguồn dữ liệu gốc tin cậy.

Đối với khối Ngân hàng (đến hết tháng 5/2026), C06 đã ký kết với 19 nhà cung cấp để triển khai cung cấp dịch vụ xác thực thông tin công dân trong chip thẻ Căn cước/CCCD tới các tổ chức, doanh nghiệp có nhu cầu. Đến nay, đã có 259 triệu lượt xác thực căn cước được cung cấp, trong đó trên 80% đến từ khối ngân hàng. Trong đó có 22 ngân hàng và tổ chức tín dụng kết nối sử dụng dịch vụ xác thực điện tử VNeID. Đã có 16,2 triệu tài khoản được xác thực với dịch vụ chia sẻ thông tin từ VNeID, trong đó 13 triệu tài khoản đã được đối sánh sinh trắc học với VNeID.

Cục C06 đang phối hợp với các tổ chức tín dụng, trung gian thanh toán, nhà mạng và các đơn vị cung cấp dịch vụ số để triển khai đối soát, xác thực thông tin người dùng thông qua Cơ sở dữ liệu quốc gia về dân cư, căn cước, dữ liệu sinh trắc học và tài khoản định danh điện tử VNeID. Việc này nhằm bảo đảm nguyên tắc: Một cá nhân thật - một danh tính số tin cậy - một quan hệ giao dịch có thể xác minh.

Đối với lĩnh vực ngân hàng, các tổ chức tín dụng sử dụng dịch vụ xác thực điện tử thông qua nền tảng VNeID theo quy định tại Nghị định số 69/2024/NĐ-CP của Chính phủ để đối soát, xác thực sinh trắc học và thông tin định danh khách hàng trong quá trình mở và sử dụng tài khoản. Qua đó, bảo đảm xác thực đúng chủ thể giao dịch, phát hiện và loại bỏ tài khoản không chính chủ, tài khoản có dấu hiệu thuê, mua hoặc sử dụng bất thường, góp phần ngăn chặn việc lợi dụng hệ thống ngân hàng cho mục đích lừa đảo.

Đối với lĩnh vực viễn thông, C06 đã phối hợp Cục Viễn thông - Bộ Khoa học và Công nghệ, các doanh nghiệp viễn thông để triển khai chiến dịch làm sạch thuê bao di động mặt đất theo Thông tư số 08/2026/TT-BKHCN ngày 31/3/2026, thông qua việc đối soát, chuẩn hóa và xác thực thông tin thuê bao trong Cơ sở dữ liệu quốc gia về dân cư; đồng thời bổ sung xác thực sinh trắc học đối với người sử dụng thuê bao đang hoạt động và áp dụng xác thực sinh trắc học khuôn mặt khi kích hoạt thuê bao mới từ ngày 15/4/2026, qua đó xử lý SIM không chính chủ, SIM có thông tin không đúng hoặc có dấu hiệu bị lợi dụng, góp phần ngăn chặn SIM rác phục vụ hoạt động lừa đảo và vi phạm pháp luật.

Thông qua VNeID và các nền tảng xác thực điện tử, C06 định hướng phối hợp xây dựng hệ sinh thái giao dịch số an toàn hơn, trong đó các tổ chức có thể xác minh danh tính khách hàng theo phương thức hợp pháp, có kiểm soát, hạn chế sao chụp giấy tờ thủ công, giảm việc lưu trữ tràn lan bản chụp căn cước, từ đó giảm nguy cơ dữ liệu bị thu gom, mua bán, tái sử dụng trái phép.

Chợ đen dữ liệu cá nhân (Kỳ 1)

Chợ đen dữ liệu cá nhân (Kỳ 2)