Singapore ngừng dùng số căn cước để xác thực danh tính

Ủy ban Bảo vệ dữ liệu cá nhân Singapore yêu cầu các tổ chức tư nhân ngừng sử dụng số căn cước để xác minh danh tính khách hàng trước ngày 31/12/2026. Từ ngày 1/1/2027, cơ quan quản lý sẽ tăng cường xử lý các tổ chức không tuân thủ quy định.

Theo thông báo do Ủy ban Bảo vệ dữ liệu cá nhân Singapore (PDPC) công bố ngày 2/2/2026, các tổ chức tư nhân tại đảo quốc có thời hạn đến hết ngày 31/12/2026 để loại bỏ dần việc dùng số căn cước, tức số thẻ đăng ký danh tính quốc gia NRIC, vào khâu xác thực danh tính. Kể từ ngày 1/1/2027, PDPC sẽ tăng cường hành động cưỡng chế với những tổ chức tư nhân còn dùng toàn bộ hoặc một phần số căn cước để xác thực khách hàng.

Thẻ căn cước Singapore minh họa quy định ngừng dùng số căn cước để bảo vệ dữ liệu cá nhân. Ảnh: The Straits Times

PDPC phân biệt rõ hai khái niệm dễ bị nhầm lẫn là xác thực và nhận diện danh tính. Xác thực nhằm chứng minh một người đúng là người họ khai báo trước khi được cấp quyền truy cập vào tài khoản, dịch vụ hoặc thông tin riêng tư. Trong khi đó, nhận diện chỉ giúp phân biệt người này với người khác thông qua những thông tin như họ tên. Số căn cước vốn được dùng để nhận diện và đã được nhiều tổ chức lưu giữ. Khi số này bị dùng làm mật khẩu mặc định, mã mở tài liệu hoặc điều kiện đăng nhập, bất kỳ ai biết số căn cước đều có thể tìm cách giả danh chủ nhân để truy cập trái phép, khiến dữ liệu cá nhân đứng trước nguy cơ bị xâm phạm.

Số căn cước bị dùng làm công cụ xác thực danh tính tại nhiều nơi

Ngay từ tháng 6/2025, PDPC và Cơ quan An ninh mạng Singapore (CSA) đã ra khuyến cáo chung, khẳng định số căn cước không được dùng sai mục đích vào việc xác thực danh tính. Kiểu dùng sai thường gặp là tổ chức tự lấy số căn cước, đầy đủ hoặc một phần, để đặt sẵn mật khẩu cho khách hàng, có khi dùng riêng số căn cước, có khi ghép thêm những dữ liệu cá nhân dễ dò ra như họ tên hay ngày sinh, chẳng hạn chuỗi ký tự ‘567A01Jan80’ gồm phần cuối số căn cước nối với ngày sinh 01/01/1980. Theo PDPC, những mật khẩu đặt sẵn kiểu ấy không được dùng để khóa tài liệu điện tử hay làm điều kiện cho phép truy cập vào tài khoản của một cá nhân, bởi ai nắm được số căn cước và ngày sinh của người khác cũng có thể mở ra.

Các cơ quan nhà nước Singapore đã đi đầu trong việc loại bỏ số căn cước khỏi quy trình xác thực danh tính, nhằm hạn chế nguy cơ truy cập trái phép vào dịch vụ và thông tin cá nhân. Ba cơ quan quản lý ngành gồm Cơ quan Phát triển truyền thông thông tin (IMDA), Cơ quan Tiền tệ Singapore (MAS) và Bộ Y tế (MOH) cũng ban hành hướng dẫn riêng, yêu cầu các doanh nghiệp trong lĩnh vực viễn thông, tài chính, bảo hiểm và y tế ngừng sử dụng số căn cước để xác thực danh tính.

PDPC đề nghị mọi tổ chức tư nhân rà soát lại cách làm hiện hành và hoàn tất việc gỡ số căn cước khỏi khâu xác thực danh tính trước ngày 31/12/2026. Tổ chức nào dùng số căn cước để xác thực quyền truy cập dữ liệu cá nhân có thể bị xác định đã vi phạm Đạo luật Bảo vệ dữ liệu cá nhân (PDPA), do không bố trí biện pháp an ninh hợp lý để bảo vệ dữ liệu cá nhân của khách hàng.

Từ ngày 1/1/2027, PDPC sẽ siết xử lý các trường hợp dùng sai số căn cước, trong đó có thể ban hành chỉ thị buộc khắc phục hoặc áp dụng hình phạt tài chính khi thấy phù hợp. Cơ quan quản lý cũng khuyến khích doanh nghiệp tham khảo bản khuyến cáo mới nhất của PDPC về những sai sót thường gặp và cách làm tốt trong bảo vệ dữ liệu cá nhân, kể cả số căn cước.

Khi nào người dân vẫn có thể được yêu cầu khai số căn cước

Theo hướng dẫn trên trang PDPC, tổ chức vẫn được hỏi số căn cước khi pháp luật đòi hỏi hoặc khi cần nhận diện một người với độ chính xác cao, chẳng hạn lúc người bệnh đăng ký khám chữa bệnh tại phòng khám, lúc khách hàng đăng ký thuê bao di động mới hay khi hai bên tiến hành giao dịch bất động sản. Ngược lại, tổ chức không được dùng số căn cước để xác thực khách hàng trước khi cho vào dịch vụ hay xem thông tin, cụ thể là không lấy số căn cước để đặt sẵn mật khẩu cho tài khoản đăng nhập và không dùng nó làm mã mở tài liệu điện tử.

Người dân thấy số căn cước của mình bị dùng để xác thực có thể phản ánh theo ba bước. Trước hết, họ liên hệ cán bộ bảo vệ dữ liệu (DPO) của tổ chức, với thông tin liên hệ có trong Sổ đăng ký DPO của PDPC hoặc trong mục chính sách quyền riêng tư trên trang web chính thức, trình bày rõ sự việc và chờ phản hồi trong 10 ngày làm việc. Nếu vấn đề vẫn chưa được giải quyết, người dân gửi khiếu nại tới PDPC, thao tác mất khoảng 5 đến 10 phút và phải xác thực qua Singpass, sau đó PDPC sẽ xem xét hồ sơ và trả lời trong vòng 5 ngày làm việc. Công chúng cũng có thể báo cáo hành vi dùng số căn cước để xác thực tại địa chỉ go.gov.sg/reportnric.

Dữ liệu thuê bao viễn thông thành đích ngắm của tin tặc

Theo ông Takanori Nishiyama, Phó chủ tịch cấp cao phụ trách khu vực châu Á Thái Bình Dương kiêm Giám đốc quốc gia Nhật Bản của Keeper Security, trong bài viết đăng trên Telco News Asia, số căn cước và ngày sinh là những thông tin không thể thay đổi như mật khẩu khi bị lộ. Hai thông tin này gắn với mỗi cư dân Singapore suốt đời, cho phép tội phạm mạng tiếp tục khai thác trong nhiều năm sau khi đánh cắp. Khi kết hợp với thông tin liên lạc, dữ liệu bị rò rỉ còn giúp các cuộc gọi và tin nhắn mạo danh trở nên thuyết phục hơn, khiến nạn nhân dễ tin rằng họ đang giao tiếp với người hoặc tổ chức hợp pháp.

Ông Nishiyama nhận định kho dữ liệu thuê bao viễn thông lưu giữ danh tính đã xác minh với quy mô lớn, vì thế trở thành mục tiêu giá trị cao của tin tặc. Ông dẫn vụ rò rỉ liên quan đến Simba (nhà mạng di động của Singapore), đơn vị chưa công bố sự cố xảy ra theo cách nào, để chỉ ra rủi ro cốt lõi nằm ở quyền truy cập nội bộ quá rộng, khi chỉ một tài khoản bị chiếm quyền cũng đủ làm lộ cả cơ sở dữ liệu khách hàng, và cho rằng kiểm soát ai được chạm tới dữ liệu thuê bao cũng quan trọng ngang với việc bảo vệ chính dữ liệu ấy.

Biểu đồ tỷ lệ lạm dụng thông tin đăng nhập theo khu vực liên quan bảo vệ dữ liệu cá nhân và số căn cước. Nguồn: Báo cáo Điều tra vi phạm dữ liệu năm 2026 (DBIR) của Verizon

Vị chuyên gia viện dẫn Báo cáo Điều tra vi phạm dữ liệu năm 2026 (DBIR) của Verizon, ấn bản thứ 19 phân tích hơn 31.000 sự cố an ninh mạng thực tế, trong đó hơn 22.000 vụ được xác nhận có lộ lọt dữ liệu. Riêng khu vực châu Á Thái Bình Dương, Verizon ghi nhận 5.229 sự cố, trong đó 2.855 vụ đã xác nhận dữ liệu bị lộ. Ở những vụ ấy, tin tặc vào hệ thống lần đầu chủ yếu bằng cách khai thác lỗ hổng với tỷ lệ 42%, kế đến là lạm dụng thông tin đăng nhập với 25% và lừa đảo qua thư điện tử với 15%. Tỷ lệ lạm dụng thông tin đăng nhập tại châu Á Thái Bình Dương cao nhất trong bốn khu vực báo cáo khảo sát, vượt Bắc Mỹ ở mức 20%, bỏ xa châu Âu, Trung Đông và châu Phi với 6% cùng Mỹ Latinh và Caribe với 5%, đồng thời gần gấp đôi mức 13% của toàn bộ dữ liệu. Verizon cũng cho biết thông tin đăng nhập nằm trong số dữ liệu bị đánh cắp ở 36% vụ vi phạm tại khu vực, còn việc dùng thông tin đăng nhập ăn cắp được là thủ đoạn tấn công hàng đầu, góp phần đẩy tỷ lệ tấn công ứng dụng web cơ bản tăng gấp đôi so với năm trước, lên 22% số vụ. Xét trên toàn bộ dữ liệu, nếu tính mọi lần thông tin đăng nhập bị lạm dụng ở bất kỳ khâu nào của một vụ tấn công chứ không riêng bước xâm nhập đầu tiên, tỷ lệ ấy lên tới 39%, cao nhất trong mọi kiểu xâm nhập.

Từ thực tế đó, ông Nishiyama khuyến nghị các tổ chức tách biệt hệ thống lưu trữ dữ liệu thuê bao, giới hạn quyền truy cập cơ sở dữ liệu và áp dụng mô hình không duy trì đặc quyền thường trực cho tài khoản quản trị. Theo ông, cơ chế cấp quyền đúng lúc chỉ cho phép người dùng thực hiện các tác vụ đã được phê duyệt trong khoảng thời gian cần thiết, sau đó tự động thu hồi quyền. Mọi phiên làm việc truy cập dữ liệu danh tính khách hàng cũng phải trải qua các bước xác thực, phân quyền và ghi nhật ký để phục vụ kiểm tra.

Ông cho rằng việc kết hợp hệ thống giám sát các mối đe dọa liên quan đến danh tính với công cụ quản lý truy cập đặc quyền giúp tổ chức phát hiện và ngăn chặn kịp thời những phiên làm việc bất thường, chẳng hạn truy vấn hoặc xuất dữ liệu hàng loạt.

Ông Nishiyama nhấn mạnh người thuê bao không thể đổi số căn cước sau khi thông tin bị rò rỉ, nhưng các tổ chức vẫn có thể kiểm soát chặt chẽ những người được phép truy cập dữ liệu cá nhân. Theo chuyên gia của Keeper Security, loại bỏ quyền truy cập thường trực vào hồ sơ thuê bao là biện pháp thiết thực mà các nhà mạng có thể triển khai ngay để giảm nguy cơ rò rỉ dữ liệu trong tương lai.