Bất ngờ biến thành sếp, gánh nợ từ ‘trên trời’ rơi xuống -Kỳ 5: Bịt kín lỗ hổng khiến dữ liệu cá nhân bị lợi dụng bằng cách nào?
Từ việc thông tin cá nhân bị thu thập qua nhiều kênh, nguy cơ rò rỉ dữ liệu tại các tổ chức đến những giới hạn của xác thực điện tử, tình trạng mạo danh để thành lập doanh nghiệp cho thấy yêu cầu bảo vệ danh tính không thể chỉ dừng ở công nghệ.
Trao đổi với Một Thế Giới, ông Võ Đỗ Thắng, chuyên gia an ninh mạng, Giám đốc Trung tâm tư vấn và đào tạo an ninh mạng Athena, cho rằng cần tăng cường xác minh, kiểm soát nhiều lớp và xây dựng cơ chế tiếp nhận, xử lý nhanh khi người dân phát hiện thông tin của mình bị sử dụng trái phép.
Thông tin cá nhân được thu thập từ rất nhiều nguồn
-Phóng viên: Thưa ông, Bộ Tài chính cho biết hiện có khoảng 4.000 trường hợp phản ánh bị mạo danh thông tin cá nhân để đăng ký thành lập doanh nghiệp. Từ góc độ an ninh mạng, dữ liệu cá nhân thường bị thu thập và sử dụng như thế nào để biến một người thành “giám đốc bất đắc dĩ”?
-Ông Võ Đỗ Thắng: Thực tế, tình trạng mạo danh để thành lập doanh nghiệp đã diễn ra từ lâu, cũng như việc thu thập thông tin cá nhân của người dân. Việc Bộ Tài chính thống kê, tiếp nhận khoảng 4.000 trường hợp phản ánh cho thấy vấn đề này đang được quan tâm, nhưng không có nghĩa tình trạng mạo danh chỉ mới xuất hiện gần đây.
Thông tin cá nhân có thể được thu thập từ rất nhiều nguồn, chẳng hạn các công ty điều tra thị trường, tổng đài điện thoại, ngân hàng, doanh nghiệp taxi, bệnh viện và nhiều tổ chức khác.
Trên thực tế, cơ quan chức năng và các cơ quan truyền thông từng phản ánh những trường hợp nhân viên của ngân hàng, tổ chức lấy dữ liệu khách hàng để bán cho các đối tượng bên ngoài.
Khi bị thu thập, mua bán trái phép, dữ liệu có thể bao gồm nhiều thông tin quan trọng như họ tên, ngày tháng năm sinh, địa chỉ, số căn cước công dân, nghề nghiệp... Đây là những thông tin có thể được sử dụng vào nhiều mục đích khác nhau.
Chẳng hạn, các đối tượng có thể khai thác dữ liệu để phục vụ hoạt động tiếp thị trực tuyến, kinh doanh hoặc những mục đích khác. Trong đó, một nguy cơ đáng lo ngại là thông tin cá nhân bị sử dụng để đăng ký thành lập doanh nghiệp, khiến người không hề hay biết bỗng trở thành người đứng tên doanh nghiệp trên giấy tờ.
Đó là một trong những nguyên nhân khiến nhiều người rơi vào tình cảnh “giám đốc bất đắc dĩ”. Họ không chủ động thành lập, không điều hành doanh nghiệp nhưng thông tin cá nhân lại bị sử dụng cho những thủ tục mà bản thân không thực hiện.
Điều đáng nói là khi dữ liệu đã bị phát tán ra ngoài, người dân rất khó biết thông tin của mình đang nằm trong tay ai, được sử dụng vào mục đích gì và liệu có tiếp tục bị khai thác hay không.
Vì vậy, bảo vệ dữ liệu cá nhân phải được xem là vấn đề quan trọng, không chỉ đối với người dân mà còn với các tổ chức đang thu thập, lưu trữ và xử lý thông tin. Không thể bỏ qua khâu xác minh hồ sơ
-Nhiều người chỉ phát hiện mình bị mạo danh sau khi nhận thông báo nợ thuế, thậm chí đối mặt với nguy cơ bị tạm hoãn xuất cảnh. Theo ông, điều này cho thấy những khoảng trống nào trong quy trình đăng ký doanh nghiệp và quản lý thuế? Cần làm gì để người dân được cảnh báo sớm khi thông tin của mình bị sử dụng?
-Ông Võ Đỗ Thắng: Theo tôi, cần nhìn nhận vấn đề ở cả hai khía cạnh: thông tin cá nhân bị mạo danh và thông tin mạo danh đó được sử dụng để hoàn tất thủ tục tại cơ quan nhà nước, cụ thể là cơ quan đăng ký kinh doanh và cơ quan thuế.
Nếu việc kiểm tra, xác minh được thực hiện chặt chẽ ngay từ thời điểm tiếp nhận hồ sơ đăng ký doanh nghiệp thì sẽ cần phải hạn chế được nguy cơ người khác sử dụng thông tin cá nhân để đăng ký mà không có sự tham gia, xác nhận của chính chủ.
Tôi cho rằng việc một người chỉ cần sử dụng hình ảnh hoặc bản sao căn cước công dân của người khác mà vẫn có thể hoàn tất thủ tục đăng ký doanh nghiệp là vấn đề cần được kiểm tra, làm rõ về quy trình xác minh. Nếu thông tin chưa được xác thực đầy đủ mà hồ sơ vẫn được tiếp nhận, xử lý thì đó là khoảng trống cần khắc phục.
Hệ lụy đối với người bị mạo danh rất lớn. Họ không biết ai đã sử dụng thông tin của mình, việc mạo danh diễn ra từ khi nào và vì sao bản thân lại bị gắn với một doanh nghiệp không liên quan. Đến khi nhận thông báo về nghĩa vụ thuế hoặc những vấn đề pháp lý phát sinh, họ mới biết thông tin cá nhân đã bị sử dụng trái phép.
Theo tôi, cần xác định rõ trách nhiệm trong quá trình tiếp nhận, kiểm tra và thẩm định hồ sơ. Không thể chỉ vì thông tin cá nhân của người dân bị đánh cắp rồi được sử dụng để đăng ký doanh nghiệp mà mặc nhiên đẩy toàn bộ trách nhiệm, hệ lụy sang người bị mạo danh.
Cơ quan chức năng cần rà soát quy trình, làm rõ khâu nào chưa bảo đảm việc xác minh danh tính và trách nhiệm thuộc về ai. Việc xác định trách nhiệm cụ thể phải dựa trên kết quả kiểm tra từng trường hợp, nhưng yêu cầu chung là không để những khoảng trống trong quy trình tiếp nhận hồ sơ tiếp tục tạo điều kiện cho hành vi mạo danh.
Bên cạnh đó, theo tôi, cần có cơ chế để người dân nhận biết sớm khi thông tin cá nhân của mình được sử dụng để đăng ký doanh nghiệp. Nếu chỉ đến khi phát sinh nghĩa vụ thuế hoặc những hệ lụy khác mới phát hiện thì việc xử lý sẽ khó khăn hơn, trong khi người bị mạo danh phải mất nhiều thời gian để chứng minh mình không liên quan. VNeID cần đi cùng cơ chế xác minh nhiều lớp.
Không thể chỉ vì thông tin cá nhân của người dân bị đánh cắp rồi được sử dụng để đăng ký doanh nghiệp mà mặc nhiên đẩy toàn bộ trách nhiệm, hệ lụy sang người bị mạo danh.
Ông Võ Đỗ Thắng
Xác thực điện tử là cần thiết nhưng…
-Từ ngày 23/7/2026, người đăng ký doanh nghiệp phải xác thực định danh điện tử qua VNeID. Theo ông, giải pháp này đã đủ an toàn chưa? Nếu kẻ gian chiếm đoạt tài khoản, mã OTP hoặc lợi dụng chính chủ tài khoản để xác thực thì nguy cơ mạo danh có còn hay không?
-Ông Võ Đỗ Thắng: Quy định xác thực định danh điện tử qua VNeID là một phương thức để kiểm tra thông tin người đăng ký. Tuy nhiên, tại thời điểm này, quy định mới được áp dụng khoảng hai tháng nên cần có thêm thời gian và dữ liệu thực tế để đánh giá hiệu quả, cũng như xác định liệu tình trạng mạo danh có tiếp tục xảy ra hay không.
Theo tôi, xác thực điện tử là cần thiết nhưng không nên xem đây là giải pháp duy nhất để bảo đảm người đứng tên doanh nghiệp chính là người thực sự chủ động thực hiện thủ tục.
Bởi lẽ, vẫn có nguy cơ tài khoản VNeID bị chiếm đoạt hoặc người sở hữu tài khoản bị lừa, bị khống chế để thực hiện thao tác xác thực. Trong một số trường hợp, kẻ xấu có thể lợi dụng những người thiếu hiểu biết, thuê sinh viên, người lao động hoặc người chưa có việc làm đứng tên doanh nghiệp.
Những người này có thể sử dụng tài khoản VNeID chính chủ, nhận mã OTP chính chủ và trực tiếp thực hiện thao tác xác thực. Tuy nhiên, điều đó không đồng nghĩa họ hiểu rõ mục đích, tính chất pháp lý của việc đứng tên doanh nghiệp hoặc biết mình đang bị lợi dụng.
Vì vậy, nếu chỉ căn cứ vào việc tài khoản đã xác thực thành công để kết luận người đó thực sự tự nguyện, hiểu rõ và chủ động đăng ký doanh nghiệp thì theo tôi vẫn chưa đủ cơ sở để loại trừ mọi nguy cơ.
Tôi cho rằng cơ quan chức năng cần xem xét bổ sung các bước xác minh đối với người đại diện theo pháp luật. Chẳng hạn, người đăng ký có thể được yêu cầu trực tiếp đến cơ quan chức năng để ký vào các văn bản cần thiết, qua đó xác nhận mình là người thực hiện thủ tục.
Việc gặp trực tiếp cũng tạo điều kiện để cán bộ tiếp nhận hồ sơ trao đổi, kiểm tra và nhận diện những dấu hiệu bất thường. Nếu phát hiện người đăng ký có biểu hiện không nắm rõ thông tin về doanh nghiệp, không hiểu vai trò của mình hoặc có dấu hiệu bị người khác lợi dụng, cán bộ có thể xem xét, xác minh thêm trước khi xử lý hồ sơ.
Tất nhiên, việc xác minh trực tiếp cần được thiết kế phù hợp với quy trình đăng ký doanh nghiệp, tránh gây phiền hà không cần thiết cho người dân. Điều tôi muốn nhấn mạnh là cần có nhiều lớp kiểm tra để giảm nguy cơ lợi dụng danh tính, thay vì phụ thuộc hoàn toàn vào một phương thức xác thực.
Dữ liệu không được mã hóa dễ bị sao chép
-Một số người bị mạo danh nghi ngờ thông tin cá nhân bị lộ từ những lần làm thủ tục hành chính, xin việc hoặc giao dịch với doanh nghiệp. Theo ông, đâu là những nguồn dữ liệu có nguy cơ bị khai thác và vì sao việc xác định dữ liệu bị lộ từ đâu lại khó khăn?
-Ông Võ Đỗ Thắng: Như tôi đã nói, thông tin cá nhân có thể được thu thập từ rất nhiều nguồn, từ các dịch vụ taxi, hoạt động giao dịch với doanh nghiệp đến quá trình làm thủ tục tại cơ quan hành chính và các tổ chức khác. Vì vậy, không thể chỉ nhìn vào một nguồn dữ liệu để xác định nguyên nhân dẫn đến tình trạng mạo danh.
Một vấn đề đáng lưu ý là cách thức lưu trữ và quản lý dữ liệu tại các tổ chức. Theo tôi, nếu thông tin cá nhân được lưu trữ mà không được mã hóa, đồng thời thiết bị tiếp nhận và xử lý dữ liệu không có cơ chế kiểm soát việc sao chép ra bên ngoài thì nguy cơ rò rỉ sẽ tăng lên.
Chẳng hạn, nếu một người có quyền tiếp cận dữ liệu nhưng có ý đồ lấy cắp thông tin, họ có thể sử dụng thiết bị lưu trữ bên ngoài để sao chép dữ liệu. Nếu hệ thống không có cơ chế kiểm soát phù hợp, việc sao chép có thể diễn ra rất nhanh, thậm chí trong thời gian ngắn có thể lấy được lượng dữ liệu lớn.
Ngoài ra, thông tin cũng có thể bị đưa ra ngoài thông qua những phương thức khác nếu hệ thống không được kiểm soát tốt. Khi dữ liệu đã bị sao chép hoặc phát tán, những người có ý đồ xấu có thể tiếp tục khai thác, mua bán hoặc sử dụng cho các mục đích trái phép.
Tôi cho rằng, việc bảo vệ dữ liệu không chỉ nằm ở khâu thu thập mà còn phải được thực hiện xuyên suốt quá trình lưu trữ, truy cập, sử dụng và chia sẻ thông tin. Các tổ chức cần có biện pháp bảo vệ dữ liệu, kiểm soát quyền truy cập và hạn chế việc sao chép trái phép.
Còn để xác định thông tin của một cá nhân bị lộ từ đâu, cần phải kiểm tra cụ thể quá trình dữ liệu được thu thập, lưu trữ và sử dụng. Không thể chỉ dựa vào việc thông tin cá nhân xuất hiện trong hồ sơ đăng ký doanh nghiệp để kết luận dữ liệu đã bị lộ từ ngân hàng, bệnh viện, cơ quan hành chính hay một tổ chức cụ thể nào.
Điều quan trọng là các đơn vị đang nắm giữ dữ liệu phải nâng cao trách nhiệm bảo vệ thông tin, bởi chỉ một lỗ hổng trong quá trình quản lý cũng có thể khiến dữ liệu của nhiều người bị khai thác.
Điều tôi muốn nhấn mạnh là cần có nhiều lớp kiểm tra để giảm nguy cơ lợi dụng danh tính, thay vì phụ thuộc hoàn toàn vào một phương thức xác thực.
Ông Võ Đỗ Thắng
Cần có đường dây nóng với người trực tiếp tiếp nhận
-Nếu phát hiện căn cước công dân hoặc thông tin cá nhân bị sử dụng để thành lập doanh nghiệp, người dân cần làm gì để hạn chế nguy cơ tiếp tục bị lợi dụng? Theo ông, có nên xây dựng cơ chế tạm thời khóa mã số thuế hoặc các giao dịch liên quan đến doanh nghiệp bị mạo danh hay không?
-Ông Võ Đỗ Thắng: Theo tôi, cơ quan quản lý nhà nước cần xây dựng một kênh tiếp nhận thông tin để người dân có thể nhanh chóng thông báo khi phát hiện mình bị mạo danh. Kênh này có thể là cổng thông tin hoặc đường dây nóng, nhưng điều quan trọng là phải có người trực tiếp tiếp nhận và xử lý thông tin.
Tôi muốn nhấn mạnh vấn đề đường dây nóng phải có người trực. Nếu người dân gọi đến nhưng chỉ nghe máy trả lời tự động, không gặp được người tiếp nhận hoặc không biết phải cung cấp thông tin cho ai thì sẽ khó giải quyết được tình huống khẩn cấp.
Có thể tham khảo cách làm trong lĩnh vực ngân hàng. Khi khách hàng phát hiện thẻ hoặc tài khoản có nguy cơ bị lộ thông tin, họ có thể gọi đến tổng đài để thông báo.
Ngân hàng tiếp nhận thông tin và thực hiện các biện pháp cần thiết, chẳng hạn tạm khóa thẻ hoặc tài khoản trong trường hợp phù hợp, nhằm hạn chế nguy cơ phát sinh thiệt hại trong thời gian xác minh.
Cơ quan thuế và Bộ Tài chính cũng cần nghiên cứu cơ chế tương tự đối với những trường hợp có dấu hiệu bị mạo danh để thành lập doanh nghiệp.
Khi nhận được thông báo, cơ quan chức năng cần có quy trình xác minh ban đầu, yêu cầu người phản ánh cung cấp thông tin cần thiết để đánh giá nguy cơ. Nếu có cơ sở xác định thông tin cá nhân bị sử dụng trái phép, cần xem xét biện pháp ngăn chặn kịp thời, chẳng hạn tạm khóa mã số thuế hoặc tạm dừng những giao dịch liên quan đến doanh nghiệp bị phản ánh, theo thẩm quyền và quy định pháp luật.
Điều quan trọng là phải có quy trình rõ ràng, từ tiếp nhận phản ánh, xác minh thông tin đến quyết định áp dụng biện pháp bảo vệ. Cơ chế này cần đủ nhanh để hạn chế nguy cơ phát sinh thêm hệ lụy cho người bị mạo danh, nhưng cũng phải bảo đảm việc xử lý có căn cứ, tránh ảnh hưởng đến quyền và lợi ích hợp pháp của những chủ thể liên quan.
Tôi cho rằng việc xây dựng đường dây nóng không chỉ nhằm tiếp nhận thông tin mà còn phải gắn với khả năng xử lý thực tế. Người dân cần biết phản ánh ở đâu, ai chịu trách nhiệm tiếp nhận, hồ sơ được chuyển đến đơn vị nào và kết quả xử lý ra sao.
Nếu làm được như vậy, cơ quan chức năng sẽ có thêm công cụ để phát hiện sớm các trường hợp có dấu hiệu mạo danh, đồng thời hạn chế việc người dân phải tự mình đi tìm từng cơ quan để giải quyết hậu quả.
Điều quan trọng là các đơn vị đang nắm giữ dữ liệu phải nâng cao trách nhiệm bảo vệ thông tin, bởi chỉ một lỗ hổng trong quá trình quản lý cũng có thể khiến dữ liệu của nhiều người bị khai thác.
Ông Võ Đỗ Thắng
Đăng ký trực tuyến nhưng phải xác minh được người thật, việc thật
-Về lâu dài, Việt Nam cần thiết kế hệ thống xác thực như thế nào để vừa tạo thuận lợi cho người dân thành lập doanh nghiệp, vừa ngăn chặn tình trạng “doanh nghiệp ma”, lợi dụng danh tính người khác để thực hiện các hành vi gian lận?
-Ông Võ Đỗ Thắng: Tôi cho rằng, với hệ thống công nghệ hiện nay và các hệ thống quản lý tập trung, việc cho phép người dân đăng ký doanh nghiệp trực tuyến có nhiều thuận lợi. Người dân có thể thực hiện thủ tục nhanh chóng hơn, giảm thời gian đi lại và tạo điều kiện cho hoạt động kinh doanh.
Tuy nhiên, bên cạnh việc đơn giản hóa thủ tục, cơ quan chức năng cần xây dựng cơ chế kiểm tra nhiều lớp. Không nên chỉ dựa vào VNeID hoặc mã OTP mà cần xem xét thêm những phương thức xác minh để bảo đảm người đăng ký thực sự là người đứng tên và hiểu rõ trách nhiệm pháp lý của mình.
Việc đăng ký doanh nghiệp liên quan đến nhiều thông tin cá nhân và văn bản pháp lý. Nếu một người bị lợi dụng danh tính để đứng tên doanh nghiệp, hậu quả không chỉ dừng ở việc thông tin cá nhân bị sử dụng trái phép mà còn có thể phát sinh những vấn đề liên quan đến thuế và trách nhiệm pháp lý.
Thực tế có nguy cơ những người thiếu hiểu biết, chẳng hạn sinh viên hoặc người chưa có việc làm, được trả một khoản tiền để đứng tên thành lập doanh nghiệp mà không hiểu đầy đủ những hệ lụy. Theo tôi, đây là một trong những tình huống cần được chú ý khi thiết kế quy trình xác minh.
Tôi cho rằng cần xem xét yêu cầu người đại diện theo pháp luật trực tiếp đến cơ quan chức năng để ký các văn bản cần thiết, xác nhận mình thực sự thực hiện thủ tục đăng ký doanh nghiệp. Việc xác minh trực tiếp có thể kết hợp với xác thực điện tử, thay vì thay thế hoàn toàn phương thức đăng ký trực tuyến.
Có thể hình dung cách làm này tương tự một số thủ tục hành chính mà người thực hiện phải trực tiếp có mặt để xác nhận ý chí của mình. Khi gặp trực tiếp người đăng ký, cán bộ có điều kiện trao đổi, đặt câu hỏi và kiểm tra những thông tin liên quan, từ đó nhận diện các trường hợp có dấu hiệu bất thường để xác minh thêm.
Tất nhiên, cần cân nhắc kỹ cách tổ chức để vừa tăng cường an toàn, vừa không làm phát sinh thủ tục rườm rà cho những người có nhu cầu thành lập doanh nghiệp hợp pháp. Mục tiêu không phải là gây khó cho người dân mà là bảo đảm quy trình đăng ký đủ chặt chẽ để hạn chế việc lợi dụng thông tin cá nhân.
Về lâu dài, hệ thống cần kết hợp công nghệ xác thực, cơ chế kiểm tra và quy trình xử lý khi có dấu hiệu mạo danh. Khi phát hiện người đứng tên có thể bị lợi dụng, cơ quan chức năng cần có phương thức xác minh phù hợp trước khi hoàn tất thủ tục.
Nếu kết hợp được các lớp xác minh, kiểm soát dữ liệu và cơ chế tiếp nhận phản ánh nhanh, chúng ta sẽ có thêm điều kiện để hạn chế tình trạng người dân bị lợi dụng danh tính
Ông Võ Đỗ Thắng
Theo tôi, nguyên tắc quan trọng nhất là phải xác định được người đăng ký thực sự là ai, có chủ động thực hiện thủ tục hay không và có hiểu trách nhiệm pháp lý gắn với việc đứng tên doanh nghiệp hay không. Công nghệ có thể hỗ trợ rất nhiều, nhưng không nên xem một thao tác xác thực điện tử là đủ để loại trừ mọi nguy cơ.
Nếu kết hợp được các lớp xác minh, kiểm soát dữ liệu và cơ chế tiếp nhận phản ánh nhanh, chúng ta sẽ có thêm điều kiện để hạn chế tình trạng người dân bị lợi dụng danh tính, đồng thời vẫn bảo đảm mục tiêu tạo thuận lợi cho hoạt động đăng ký, thành lập doanh nghiệp.
Xin cảm ơn ông!