Bộ Công an: Nhiều 'ông lớn' để lộ hàng triệu tài khoản và email khách hàng

Trong dự thảo tờ trình đề nghị xây dựng luật Bảo vệ dữ liệu cá nhân, Bộ Công an cho biết, tình trạng lộ, lọt dữ liệu cá nhân diễn ra phổ biến trên không gian mạng.

ẢNH: NGỌC DƯƠNG - ĐÔNG XUÂN

Mua bán dữ liệu cả số dư trong tài khoản ngân hàng

Theo Bộ Công an, việc lộ, lọt là do người sử dụng chưa có ý thức bảo vệ dữ liệu cá nhân, đăng tải công khai; hoặc trong quá trình chuyển giao, lưu trữ, trao đổi phục vụ hoạt động kinh doanh; hoặc biện pháp bảo vệ không tương xứng dẫn tới bị chiếm đoạt.

Một số vụ việc điển hình như: Công ty VNG để lộ hơn 163 triệu tài khoản khách hàng; Công ty Thế giới di động và Điện máy xanh để lộ hơn 5 triệu email và hàng chục nghìn thông tin thẻ thanh toán như Visa, thẻ tín dụng của khách hàng.

Hoặc vụ việc tin tặc tấn công vào hệ thống máy chủ của Vietnam Airlines, đăng tải lên internet 411.000 tài khoản khách hàng thành viên của chương trình Bông Sen Vàng; tình trạng lộ thông tin khách hàng để các công ty môi giới dịch vụ taxi của Việt Nam sử dụng mời chào khách hàng qua tin nhắn SMS; dữ liệu khách hàng của Công ty FPT bị đăng tải công khai trên mạng…

Không chỉ vấn đề lộ, lọt, Bộ Công an nhận định tình trạng mua bán dữ liệu cá nhân cũng đang diễn ra phổ biến, công khai.

Dữ liệu thô được mua bán gồm: danh bạ nội bộ của các bộ, tập đoàn kinh tế; khách hàng điện lực trên toàn quốc; thông tin chủ thuê bao điện thoại, internet của các nhà mạng; thông tin khách hàng vay, gửi tiết kiệm ngân hàng; chứng khoán; bảo hiểm; trường học; thông tin hộ khẩu…

Việc mua bán xảy ra với cả dữ liệu cá nhân đã qua xử lý, gồm thông tin chi tiết về các cá nhân, tổ chức, doanh nghiệp (họ tên, ngày sinh, địa chỉ, số điện thoại, số tài khoản ngân hàng (gồm cả số dư), thân nhân, chức vụ, vị trí công tác…).

Đáng lo ngại, nhiều doanh nghiệp kinh doanh dịch vụ có thu thập dữ liệu cá nhân của khách hàng cho phép các đối tác thứ ba tiếp cận thông tin dữ liệu cá nhân nhưng không có yêu cầu, quy định chặt chẽ, để đối tác thứ ba chuyển giao, buôn bán cho các đối tác khác.

Buôn bán dữ liệu cá nhân được tiến hành có hệ thống, có tổ chức, cam kết "bảo hành" và có khả năng cập nhật dữ liệu, trích xuất dữ liệu theo yêu cầu người mua. Nhiều dữ liệu bị rao bán công khai, trong thời gian dài, với số lượng lớn trên không gian mạng.

ẢNH: H.N

"Điểm mặt" các nhóm, diễn đàn tin tặc

Bộ Công an cho hay, trong năm 2023, cơ quan này đã chủ động phát hiện, điều tra, xác minh 16 vụ việc lộ mất, rao bán thông tin, bí mật nhà nước và dữ liệu nội bộ trên không gian mạng.

Qua công tác đấu tranh, Bộ Công an phát hiện số lượng lớn dữ liệu bị lộ mất được tin tặc rao bán công khai trên các nền tảng, diễn đàn (BreachedForums, Telegram, Facebook). Các đối tượng rao bán hoạt động với độ ẩn danh cao, thủ đoạn hoạt động và phương thức thanh toán hoàn toàn bằng tiền mã hóa nên khó truy vết.

Nổi lên là nhóm Telegram "Data Pro 298" (4.685 thành viên) cung cấp dịch vụ tra cứu thông tin dữ liệu viễn thông, Facebook, điện lực, ví điện tử Momo, thông tin biển kiểm soát phương tiện giao thông; nhóm Telegram "Tra cứu thông tin toàn quốc" (2.700 thành viên) cung cấp dịch vụ tra "nóng" dữ liệu cá nhân công dân Việt Nam (dữ liệu thời gian thực); diễn đàn tin tặc "Nohide.space" (nguồn gốc Nga) rao bán số lượng lớn thông tin đăng nhập nhiều hệ thống trọng yếu của Việt Nam…

Một số trường hợp còn lợi dụng các diễn đàn, hội nhóm chia sẻ phương thức tấn công mạng, cách thức phát triển, phát tán mã độc số lượng lớn, gây nguy cơ mất an toàn, an ninh mạng.

Nguyên nhân dẫn đến thực tế trên là do sự phát triển nhanh của KH-CN, dẫn tới nhiều phương thức thủ đoạn mới trong tấn công mạng, các lỗ hổng và thiếu hụt biện pháp phòng thủ mạng. Dữ liệu cá nhân trở thành nguồn nguyên liệu quý giá cho các hoạt động kinh tế, có giá trị lợi nhuận cao, hấp dẫn tin tặc và các đối tượng phạm tội thực hiện hành vi đánh cắp, mua bán dữ liệu cá nhân.

Trong khi đó, pháp luật Việt Nam hiện đã có một số quy định về chế tài xử phạt với những hành vi vi phạm bảo vệ thông tin cá nhân, nhưng chưa có quy định về bảo vệ dữ liệu cá nhân.

Về chế tài hình sự, hầu hết các vụ việc buôn bán dữ liệu cá nhân đang được chứng minh theo 2 tội danh quy định tại điều 159 (tội xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư khác của người khác) và điều 288 bộ luật Hình sự (tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông), chưa có chế tài hình sự về dữ liệu cá nhân.

Tương tự, chế tài hành chính về dữ liệu cá nhân cũng chưa có. Các hành vi vi phạm, xâm hại đến thông tin cá nhân đã có nhưng nằm rải rác ở nhiều văn bản khác nhau.

Bộ Công an cho rằng, nếu không có chế tài xử lý hoặc chế tài xử lý không đủ mạnh, không đủ sức răn đe thì sẽ không giải quyết được tình hình.

Vì vậy, việc xây dựng luật Bảo vệ dữ liệu cá nhân là rất cần thiết, sẽ quy phạm đầy đủ các nội dung bảo vệ dữ liệu cá nhân, các hành vi vi phạm quy định sẽ được căn cứ vào luật để đề xuất các hình thức, biện pháp xử lý phù hợp.