'Bán mình' cho tội phạm từ những lần tùy tiện cung cấp dữ liệu

Tội phạm lựa chọn nạn nhân bằng dữ liệu

Trong nhiều vụ lừa đảo trực tuyến, tội phạm biết về nạn nhân nhiều hơn họ tưởng, từ món hàng vừa mua, nhu cầu vay tiền đến thông tin gia đình, công việc và những khó khăn trong cuộc sống.

Từ góc độ tội phạm học, Thượng tá, TS Đào Trung Hiếu - Chuyên gia tội phạm học, Báo cáo viên pháp luật Trung ương, Thành viên Hiệp hội An ninh mạng Quốc gia, nhận thấy sự chuyển dịch đáng chú ý, từ tội phạm tìm kiếm nạn nhân sang lựa chọn nạn nhân bằng dữ liệu.

Nếu trước đây, đối tượng phải mất thời gian tiếp cận, tìm hiểu và tạo dựng lòng tin thì nay, dữ liệu giúp chúng nhận diện nhu cầu, hoàn cảnh, điểm yếu tâm lý để xây dựng kịch bản lừa đảo phù hợp với từng người.

Đáng lo ngại, dữ liệu cá nhân không chỉ bị đánh cắp qua các cuộc tấn công mạng mà còn được thu thập từ những hoạt động thường ngày như mua sắm, đăng ký ứng dụng, làm thẻ thành viên, nhận quà, tham gia khuyến mại hay tìm việc làm. Chỉ vì một món quà nhỏ hoặc lời hứa giảm giá, nhiều người sẵn sàng cung cấp họ tên, số điện thoại, địa chỉ, thậm chí ảnh căn cước công dân cho những ứng dụng không rõ nguồn gốc.

Đây là biểu hiện của nghịch lý quyền riêng tư, dù quan tâm đến bảo mật thông tin, hành vi thực tế của nhiều người lại chưa tương xứng. Khoảng cách này đang bị tội phạm khai thác.

Theo chuyên gia tội phạm học, từ đăng ký ứng dụng, nhận quà đến mua sắm trực tuyến, thông tin cá nhân có thể trở thành nguồn dữ liệu cho tội phạm khai thác.

“Không nên nhìn nhận việc mua bán dữ liệu cá nhân là những hành vi vi phạm đơn lẻ. Đằng sau đó có thể là cả chuỗi cung ứng phục vụ tội phạm, từ thu thập, đánh cắp, môi giới, phân loại đến sử dụng dữ liệu” - TS Đào Trung Hiếu cho hay.

Theo TS Đào Trung Hiếu, các nguồn dữ liệu thường bị khai thác như thông tin người dân tự cung cấp qua hoạt động tuyển dụng, khảo sát, đăng ký dịch vụ; Dữ liệu bị lộ lọt do lỗ hổng quản trị của doanh nghiệp; Thông tin thu thập qua thủ đoạn giả danh ngân hàng, Công an, cơ quan thuế, nhân viên giao hàng và dữ liệu được kết nối từ mạng xã hội, sàn thương mại điện tử hoặc các cơ sở dữ liệu bị rò rỉ.

Một số điện thoại riêng lẻ có thể chưa mang nhiều giá trị, nhưng khi kết hợp với họ tên, địa chỉ, nghề nghiệp, lịch sử mua hàng, thông tin người thân và thói quen sinh hoạt, chúng có thể tạo thành hồ sơ khá đầy đủ về một cá nhân. Với sự hỗ trợ của trí tuệ nhân tạo, việc tổng hợp, phân loại và khai thác dữ liệu càng nhanh chóng, trên quy mô lớn.

TS Đào Trung Hiếu cho rằng, một người vừa mua hàng trực tuyến có thể nhận cuộc gọi từ đối tượng nắm chính xác tên sản phẩm, số tiền và địa chỉ giao hàng. Tự xưng là nhân viên giao hàng, chúng thông báo chuyển khoản nhầm hoặc yêu cầu hủy dịch vụ phát sinh để dẫn dụ nạn nhân làm theo.

Bản chất của thủ đoạn này là sử dụng thông tin có thật để tạo dựng niềm tin, sau đó thao túng tâm lý, khiến nạn nhân mất cảnh giác. Vì vậy, ngay cả người có học vấn, kinh nghiệm sống và hiểu biết công nghệ vẫn có thể trở thành bị hại.

Một người đã bị lừa có thể là mục tiêu của những kịch bản khác

Chuyên gia tội phạm học Đào Trung Hiếu cho biết, hệ lụy của lộ lọt dữ liệu không chỉ dừng ở nguy cơ mất tiền. Thông tin định danh có thể bị lợi dụng để mạo danh, đăng ký dịch vụ trái phép, thực hiện giao dịch gian lận. Dữ liệu sức khỏe, hình ảnh riêng tư, vị trí và các mối quan hệ còn có thể trở thành công cụ đe dọa, tống tiền, quấy rối, xâm phạm danh dự, nhân phẩm.

Đặc biệt, dữ liệu trẻ em cần được bảo vệ nghiêm ngặt. Thông tin về trường học, lớp học, người thân và lịch trình sinh hoạt có thể bị lợi dụng để dụ dỗ, xâm hại trẻ hoặc dựng kịch bản bắt cóc giả nhằm thao túng tâm lý gia đình.

Nguy hiểm hơn, dữ liệu có thể bị sao chép và tái sử dụng nhiều lần. Mật khẩu, số điện thoại có thể thay đổi nhưng ngày sinh, đặc điểm sinh trắc học và lịch sử đời tư không dễ thay thế.

TS Đào Trung Hiếu cho rằng, dữ liệu trẻ em cần được bảo vệ nghiêm ngặt.

“Một người đã bị lừa có thể tiếp tục trở thành mục tiêu của những kịch bản khác, thậm chí bị các đối tượng giả danh luật sư, Công an hoặc chuyên gia công nghệ tiếp cận với chiêu trò hỗ trợ thu hồi tiền. Dữ liệu bị đánh cắp hôm nay có thể trở thành nguyên liệu cho những vụ án xảy ra nhiều tháng, thậm chí nhiều năm sau. Vì vậy, hậu quả của lộ lọt dữ liệu không thể chỉ đánh giá bằng số người bị ảnh hưởng hay số tiền thiệt hại tại thời điểm phát hiện” – vị chuyên gia này nhận định.

TS Đào Trung Hiếu nhận thấy, việc ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, cùng với Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân, tạo cơ sở pháp lý quan trọng để tăng cường quản lý, khai thác và sử dụng dữ liệu an toàn, có trách nhiệm.

Từ góc độ phòng ngừa tội phạm, cần chú trọng phát hiện, đấu tranh với thị trường mua bán dữ liệu bất hợp pháp, xử lý các đầu mối thu gom, môi giới và cung cấp dữ liệu cho các đường dây phạm tội. Nếu chỉ tập trung xử lý đối tượng trực tiếp lừa đảo mà không triệt phá nguồn cung dữ liệu, chúng ta mới giải quyết phần ngọn của vấn đề.

Đối với doanh nghiệp, cần chuyển từ tư duy thu thập càng nhiều dữ liệu càng tốt sang chỉ thu thập những thông tin thực sự cần thiết. Đồng thời, kiểm soát chặt chẽ toàn bộ quá trình thu thập, lưu trữ, sử dụng, chia sẻ và xóa dữ liệu; Quản lý quyền truy cập của nhân viên, đối tác.

Việc khách hàng nhấn nút “Tôi đồng ý” không đồng nghĩa doanh nghiệp được tùy ý khai thác thông tin cho mọi mục đích. Sự đồng ý phải dựa trên việc người dân được cung cấp thông tin đầy đủ, rõ ràng.

“Đừng tự mở cửa” cho tội phạm mạng

Cũng theo Thượng tá, TS Đào Trung Hiếu, mỗi người cần hình thành thói quen cân nhắc trước khi cung cấp thông tin cá nhân: Ai đang yêu cầu dữ liệu? Họ sử dụng vào mục đích gì? Hậu quả sẽ ra sao nếu thông tin bị dùng sai mục đích?

Người dân chỉ nên cung cấp thông tin thực sự cần thiết; Không tùy tiện gửi ảnh căn cước công dân, dữ liệu tài chính, sinh trắc học; Tuyệt đối không chia sẻ mật khẩu, mã OTP. Không truy cập đường link, quét mã QR hoặc cài ứng dụng không rõ nguồn gốc chỉ vì quà tặng, khuyến mại hay lời mời kiếm tiền.

Lực lượng chức năng yêu cầu đối tượng mở các file dữ liệu đã chiếm đoạt.

Bên cạnh đó, cần kiểm soát quyền truy cập của ứng dụng vào danh bạ, tin nhắn, vị trí, camera; sử dụng mật khẩu riêng, bật xác thực đa yếu tố và hạn chế công khai thông tin về gia đình, con cái, lịch trình cá nhân. Khi nhận được yêu cầu bất thường, cần kiểm chứng qua kênh chính thức, không vội tin chỉ vì người gọi nắm được nhiều thông tin về mình.

Nếu nghi ngờ dữ liệu bị xâm phạm, TS Hiếu khuyến cáo, cần nhanh chóng bảo vệ tài khoản, liên hệ ngân hàng khi có nguy cơ tài chính, lưu giữ chứng cứ và trình báo cơ quan chức năng. Đồng thời, giáo dục về quyền riêng tư, bảo vệ dữ liệu cá nhân cần trở thành nội dung thiết yếu trong giáo dục công dân số, bắt đầu từ gia đình, nhà trường và cộng đồng.

“Trong thế giới số, tội phạm có thể bắt đầu hành vi chiếm đoạt bằng việc chiếm hữu trái phép thông tin về chủ tài sản. Khi hiểu đủ sâu về một người, chúng có thể khiến chính người đó tự mở cửa, trao chìa khóa và chuyển tài sản cho kẻ phạm tội. Vì vậy, đừng đợi đến khi mất tiền mới nghĩ đến bảo vệ dữ liệu. Bởi nguy cơ có thể đã bắt đầu từ thời điểm thông tin cá nhân rơi vào tay kẻ xấu” - Thành viên Hiệp hội An ninh mạng Quốc gia bày tỏ.