Mua bán trái phép dữ liệu cá nhân vẫn nhức nhối, đâu là giải pháp?

Rao bán công khai, tràn lan dữ liệu của người khác

Theo Hiệp hội An ninh mạng quốc gia, năm 2024, có tới 66,24% người dùng xác nhận thông tin của họ từng bị sử dụng trái phép. Trong đó 73,99% người nhận định bị lộ do cung cấp thông tin khi mua hàng trực tuyến; 62,13% do chia sẻ thông tin trên mạng xã hội và 67% cho rằng lộ lọt trong quá trình sử dụng các dịch vụ thiết yếu như nhà hàng, khách sạn, siêu thị…

Trong 6 tháng đầu năm 2025, lực lượng công an đã phát hiện, đấu tranh xử lý đối với 56 vụ việc có liên quan đến hoạt động mua bán trái phép dữ liệu cá nhân với hơn 110 triệu bản ghi. Tuy nhiên, tình trạng mua bán dữ liệu cá nhân vẫn diễn ra khá nhiều trên không gian số.

Qua khảo sát của phóng viên, một tài khoản bán dữ liệu cá nhân trên mạng xã hội cho biết họ có dữ liệu khá lớn về các khách hàng đầu tư chứng khoán, danh sách các giám đốc doanh nghiệp ở các thành phố lớn; data khách hàng có thu nhập cao, khách hàng có số dư tài khoản ngân hàng lớn, khách hàng sở hữu xe hơi hoặc biệt thự…

“Data bên mình bán theo bộ từ 20.000 số, giá 200 đồng/số. Nếu khách muốn mua lẻ ít hơn thì mình cũng chỉ bán từ 5.000 số, và giá bán lẻ là 300 đồng/số”, người bán cho hay.

Một người khác chuyên bán danh sách dữ liệu giám đốc doanh nghiệp, cá nhân đang vay vốn ngân hàng báo giá 2,5 triệu đồng/chi nhánh ngân hàng đối với khách hàng cá nhân và 3 - 4 triệu đồng/chi nhánh ngân hàng đối với khách hàng doanh nghiệp. Việc thanh toán có thể thực hiện qua nhiều hình thức như chuyển khoản qua ngân hàng, chuyển qua ví bằng tiền mã hóa…

Trao đổi với phóng viên Một Thế Giới, ông Võ Đỗ Thắng, Giám đốc Trung tâm Tư vấn và đào tạo an ninh mạng Athena cho hay tình trạng lộ lọt dữ liệu cũng như mua bán dữ liệu cá nhân tại Việt Nam rất nhức nhối.

“Đặc thù của dữ liệu là phi hữu hình, nên các hacker ở nước ngoài hay ở bất cứ đâu cũng có thể tấn công được vào mạng máy tính của cơ quan, tổ chức, doanh nghiệp và dữ liệu bị mất có khả năng nhân bản rất nhanh”, ông Thắng nói và cho hay có nhiều nhóm chuyên kinh doanh dữ liệu, họ sẽ tập hợp lại và bán cho các nhóm khác nhau.

"Mặc dù cơ quan chức năng cũng đã nỗ lực đánh sập nhiều đường dây chuyên đánh cắp và mua bán dữ liệu, nhưng thực tế các băng nhóm hacker vẫn còn rất nhiều. Quá trình điều tra, xử lý thường khó khăn, nhất là đường dây xuyên biên giới", ông Thắng nói.

Ông Thắng nêu có nhiều nguyên nhân dẫn đến tình trạng này. Trong đó có phần do các doanh nghiệp không có cơ chế bảo mật dữ liệu hiệu quả; hoặc họ chưa quan tâm đầu tư cho việc bảo vệ thông tin của khách hàng; nhiều hệ thống công nghệ thông tin của các tổ chức khá lỏng lẻo, không có cơ chế bảo vệ để ngăn chặn những hacker nước ngoài xâm nhập. Thậm chí, có tình trạng nhân viên nội bộ (ví dụ ngân hàng) lấy dữ liệu khách hàng đem bán ra ngoài.

Ở góc độ người dân, ông Thắng cũng cho hay rất nhiều người chưa có ý thức bảo vệ dữ liệu cá nhân.

Nhận định này cũng tương tự một báo cáo của Cục An toàn thông tin cho biết có tới khoảng 80% nguyên nhân để rò rỉ thông tin cá nhân là do người dùng bất cần tiết lộ. Đơn cử, người dùng thường nhận được tin nhắn, email quảng cáo, khi tương tác lại, được yêu cầu khai báo một số thông tin cá nhân; hoặc nhiều bạn trẻ hiện nay thường tham gia vào các cuộc điều tra, khảo sát, trò chơi trực tuyến... để nhận quà tặng cũng gây ra nhiều mối nguy cơ tiềm ẩn.

Tại họp báo mới đây, thượng tá Triệu Mạnh Tùng - Phó cục trưởng Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao (Bộ Công an) cho hay nhu cầu thu thập dữ liệu cá nhân để phục vụ các hoạt động sản xuất kinh doanh là thật. Chính vì nhu cầu này nên nhiều tổ chức, cá nhân đã thực hiện việc thu thập trái phép dữ liệu cá nhân để phục vụ mục đích riêng.

Ngoài ra, nhiều chủ quản hệ thống thông tin có hoạt động thu thập, phân tích, xử lý dữ liệu cá nhân có nhiều lỗ hổng trong quy chế, quy trình, quy định khai thác, sử dụng dữ liệu cá nhân. Từ đó dẫn đến việc bị lộ lọt, bị đánh cắp dữ liệu.

Kỳ vọng Luật Bảo vệ dữ liệu cá nhân, nhưng đây không phải “cây đũa thần”

Thực tế, Việt Nam đã có nhiều quy định liên quan đến việc xử phạt lộ lọt thông tin nhưng nằm rải rác ở nhiều văn bản khác nhau, như Luật An ninh mạng, Luật Bảo vệ quyền lợi người tiêu dùng, hay Nghị định số 13/2023 quy định "dữ liệu cá nhân không được mua, bán dưới mọi hình thức"…

Mới nhất, Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân. Trong đó, luật quy định, các nền tảng không được thu thập trái phép dữ liệu cá nhân và ngoài phạm vi theo thỏa thuận với khách hàng; không được yêu cầu cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản; không nghe lén, nghe trộm hoặc ghi âm cuộc gọi và đọc tin nhắn văn bản khi không có sự đồng ý của người dùng; tổ chức, cá nhân thực hiện hoạt động thông tin tín dụng áp dụng các biện pháp phòng, chống truy cập, sử dụng, tiết lộ, chỉnh sửa trái phép dữ liệu cá nhân của khách hàng...

Đặc biệt, hành vi mua, bán dữ liệu cá nhân có thể bị xử lý hình sự hoặc phạt lên tới 10 lần khoản thu bất hợp pháp từ hành vi vi phạm. Với hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới, mức phạt tối đa là 5% doanh thu của năm liền kề trước đó...

Ông Võ Đỗ Thắng cho rằng Luật Bảo vệ dữ liệu cá nhân có cơ chế, hành lang pháp lý để các doanh nghiệp, cơ quan, đơn vị quan tâm đầu tư hệ thống bảo vệ thông tin khách hàng. Nếu doanh nghiệp không có hệ thống công nghệ để bảo mật thông tin khách hàng thì các doanh nghiệp sẽ bị khách hàng kiện.

“Nếu nguồn dữ liệu tại doanh nghiệp, tổ chức được đầu tư bảo mật, mã hóa thì sẽ hạn chế được việc lộ thông tin”, ông Thắng nêu và khuyến nghị cơ quan chức năng cần phối hợp chặt chẽ với người dân, thiết lập những kênh liên lạc 24/24. Khi tiếp nhận xong cần xử lý ngay và công bố kết quả cho người dân.

Dù vậy, ông Thắng cũng cho rằng Luật Bảo vệ dữ liệu cá nhân được ban hành nhưng đầu năm 2026 mới có hiệu lực và một bộ luật cũng không phải là "cây đũa thần" để có thể ngay lập tức xóa bỏ được hoạt động mua bán dữ liệu cá nhân trái phép.

Do đó, để hạn chế tình trạng lộ lọt, mua bán dữ liệu cá nhân thì cần sự vào cuộc của nhiều bên liên quan, từ cơ quan chức năng đến doanh nghiệp lẫn ý thức của chính người dân.

Thượng tá Triệu Mạnh Tùng khuyến cáo người dân cần nhanh chóng cập nhật, tìm hiểu các quy định của luật để nắm rõ các quyền của mình đối với dữ liệu cá nhân do mình sinh ra để yêu cầu các bên phân tích, thu thập, xử lý dữ liệu cá nhân của mình thực hiện đúng các quyền, nghĩa vụ của các cơ quan này.

Ngoài ra, các cơ quan, tổ chức có hoạt động thu thập, phân tích, xử lý dữ liệu cá nhân cũng phải nghiên cứu và thực hiện đúng các quy định của luật.