Đề xuất phạt tới 3 tỷ đồng hành vi mua bán dữ liệu cá nhân

Một số đối tượng lừa đảo xuyên Quốc gia bị bắt giữ ngay tại sân bay. Ảnh: Công an Nghệ An.

Dữ liệu cá nhân trở thành “mỏ vàng” của tội phạm mạng

Bộ Công an đang lấy ý kiến đối với dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Một trong những nội dung đáng chú ý nhất là đề xuất áp dụng mức phạt tối đa lên tới 3 tỷ đồng đối với hành vi mua bán dữ liệu cá nhân trái phép.

Theo cơ quan soạn thảo, tình trạng lộ lọt, mua bán dữ liệu cá nhân vẫn diễn ra phổ biến trên không gian mạng. Nhiều dữ liệu công dân đang bị rao bán công khai trên các diễn đàn tin tặc, website ngầm và mạng xã hội, trở thành nguyên liệu cho các hoạt động lừa đảo, chiếm đoạt tài sản.

Dự thảo quy định, trường hợp xác định được khoản thu bất hợp pháp từ hành vi mua bán dữ liệu cá nhân thì mức phạt tối đa sẽ bằng 10 lần khoản thu đó. Nếu không xác định được khoản thu hoặc số tiền tính toán thấp hơn, mức phạt có thể lên tới 3 tỷ đồng.

Đối với hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới, tổ chức vi phạm có thể bị xử phạt tới 5% doanh thu của năm trước liền kề; trường hợp không xác định được doanh thu hoặc mức phạt thấp hơn, mức xử phạt tối đa cũng lên tới 3 tỷ đồng.

Bên cạnh đó, dự thảo còn bổ sung chế tài xử lý hành vi sử dụng AI hoặc các công nghệ mới để giả mạo hình ảnh, video, giọng nói nhằm phát tán thông tin sai sự thật, xâm phạm quyền và lợi ích hợp pháp của tổ chức, cá nhân.

Hơn 2 triệu cảnh báo tấn công mạng trong 6 tháng

Theo thống kê của Bộ Công an, chỉ trong 6 tháng đầu năm 2026, lực lượng chức năng đã ghi nhận khoảng 2 triệu cảnh báo tấn công mạng nhằm vào các hệ thống tại Việt Nam. Đáng chú ý, khoảng 50% các cuộc tấn công có sự hỗ trợ của AI, cho phép các đối tượng tự động dò quét lỗ hổng, phát tán mã độc với tốc độ nhanh hơn và khó phát hiện hơn.

Các cuộc tấn công không chỉ gia tăng về số lượng mà còn ngày càng tinh vi, thường được triển khai âm thầm trong thời gian dài nhằm đánh cắp dữ liệu hoặc mã hóa hệ thống để tống tiền.

Một trong những mục tiêu thường xuyên của tin tặc là lĩnh vực tài chính - ngân hàng. Thượng tá Nguyễn Đình Đỗ Thi, Phó Trưởng phòng Tham mưu, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) dẫn chứng vụ việc xảy ra tại TPHCM khi một đối tượng mở tài khoản với số dư ban đầu chỉ 1 triệu đồng, sau đó tấn công hệ thống để sửa số dư lên 50 tỷ đồng và rút được 10 tỷ đồng trước khi bị phát hiện.

“Ngay cả những hệ thống được đầu tư bảo mật cũng có nguy cơ bị xâm nhập nếu không có các biện pháp phòng vệ hiệu quả”, ông Thi cảnh báo.

Theo các chuyên gia, hình thức tấn công nguy hiểm hiện nay là ransomware - mã hóa dữ liệu để tống tiền. Nhiều doanh nghiệp trên thế giới đã phải trả hàng triệu USD nhưng vẫn không thể khôi phục dữ liệu. Mỹ thậm chí coi ransomware là một dạng “khủng bố số” mới.

Hàng trăm triệu dữ liệu bị rao bán

Bên cạnh các cuộc tấn công mạng, tình trạng mua bán dữ liệu cá nhân trái phép cũng diễn biến phức tạp.

Theo Thượng tá Nguyễn Đình Đỗ Thi, trên nhiều diễn đàn kín hiện nay, các đối tượng công khai rao bán dữ liệu người dùng Việt Nam với thông tin rất chi tiết, từ họ tên, số điện thoại, địa chỉ đến dữ liệu sinh trắc học và lịch sử giao dịch.

Riêng trong năm 2025, lực lượng chức năng đã phát hiện hơn 30 vụ rao bán dữ liệu với khoảng 160 triệu bản ghi.

Nhiều vụ án lớn đã bị triệt phá như tháng 11/2022, bắt 2 nhóm gồm 5 đối tượng mua bán 2,2 triệu thông tin dữ liệu cá nhân; tháng 3/2023, bắt 2 đối tượng thu thập, mua bán, sử dụng trái phép thông tin cá nhân của hơn 1 triệu người; tháng 2/2025, triệt phá đường dây mua bán gần 56 triệu dữ liệu cá nhân. Gần đây nhất tháng 2/2026 là vụ mua bán khoảng 8,4 tỷ địa chỉ email của người dùng trên toàn thế giới.

Theo Bộ Công an, dữ liệu cá nhân bị đánh cắp hiện không chỉ dừng ở thông tin cơ bản mà đã mở rộng sang các dữ liệu nhạy cảm như dữ liệu sinh trắc học, dữ liệu y tế, dữ liệu định danh khách hàng. Khi rơi vào tay tội phạm, các dữ liệu này trở thành công cụ để thực hiện những vụ lừa đảo có độ chính xác rất cao.

Các đối tượng có thể biết rõ họ tên, số căn cước công dân, địa chỉ cư trú, nơi làm việc, thậm chí cả lịch sử giao dịch của nạn nhân để tạo dựng những kịch bản lừa đảo tinh vi, khiến người dân dễ mất cảnh giác.

Thực tế cho thấy hầu hết các hành vi lừa đảo công nghệ cao hiện nay đều bắt đầu từ việc đối tượng có được thông tin cá nhân của nạn nhân. Vì vậy, việc hoàn thiện hành lang pháp lý về bảo vệ dữ liệu cá nhân không chỉ nhằm bảo vệ quyền riêng tư của công dân mà còn góp phần bảo đảm an ninh quốc gia, thúc đẩy phát triển kinh tế số và xây dựng môi trường số an toàn, lành mạnh.

Trong đó, việc đề xuất tăng mạnh chế tài xử phạt được kỳ vọng sẽ góp phần nâng cao tính răn đe, ngăn chặn tình trạng mua bán dữ liệu cá nhân đang diễn biến phức tạp, đồng thời nâng cao trách nhiệm của các tổ chức, doanh nghiệp trong bảo vệ dữ liệu của người dân.