14 Tài khoản và an toàn thông tin

Google từng thống kê 350.000 lần kẻ xấu tìm cách cắp tài khoản thật (còn gọi là chiếm đoạt tài khoản). Một nhóm dùng thiết bị để xác minh, như hiện cửa sổ trên điện thoại để bạn bấm xác nhận hoặc cắm khóa bảo mật. Nhóm này chặn được "hơn 94% các lần chiếm đoạt do lừa đảo giả mạo (phishing) và 100% các lần chiếm đoạt tự động". Lừa đảo giả mạo (phishing) nghĩa là lừa bạn nhập mật khẩu vào trang giả, còn tự động là máy dùng mật khẩu rò rỉ đi thử hàng loạt. Nhóm còn lại xác minh bằng câu hỏi, như hỏi bạn đăng nhập lần trước ở đâu hay email dự phòng là gì. Nhóm này "chỉ chặn được thấp tới 10% các lần chiếm đoạt do lừa đảo giả mạo (phishing) và 73% các lần chiếm đoạt tự động". Cùng là xác minh bằng thiết bị, mã SMS yếu hơn cửa sổ bật lên trên điện thoại. Kẻ lừa đảo lấy được 4% mã SMS, còn cửa sổ chỉ 1%. Với các cuộc tấn công nhắm vào một người cụ thể, SMS chặn được 76%, cửa sổ chặn được 90%.

Việc gom tài khoản và mật khẩu rò rỉ ở nơi khác rồi đem đi thử đăng nhập từng chỗ gọi là tấn công credential stuffing (đụng kho), và email của bạn cũng có thể bị thử theo cách này. Hòm thư mà bị vào được thì mọi tài khoản dùng nó lấy lại mật khẩu đều mất cùng lúc. Cơ quan An ninh mạng và An toàn hạ tầng Mỹ khuyên bạn: mỗi tài khoản nên dùng một mật khẩu mạnh khác nhau, ít nhất 16 ký tự, rồi giao cho trình quản lý mật khẩu lưu giữ

Sau khi bạn mất điện thoại, con đường nhanh nhất của kẻ nhặt được là cắm SIM sang máy khác để nhận mã xác minh SMS. Có mã xác minh trong tay, đối phương có thể đặt lại từng tài khoản của bạn. Nếu thẻ SIM đã đặt mã PIN, khi chuyển sang máy khác khởi động lên sẽ phải nhập đúng mã trước, kẻ nhặt được sẽ không thể dùng nó để nhận mã xác minh. Bộ Công Thương Trung Quốc (Công nghiệp và Tin học hóa, MIIT) từng thông báo một vụ việc thật vào tháng 10 năm 2020. Điện thoại của người dùng bị trộm, họ không kịp báo mất thẻ SIM, nên kẻ gian có thời gian lợi dụng. Kẻ gian dùng "số điện thoại cộng mã xác minh" để đăng nhập một ứng dụng dịch vụ chính quyền, lấy được số chứng minh thư và các thông tin khác của người dùng. Sau đó chúng đổi mật khẩu dịch vụ di động. Người dùng về sau mới khóa thẻ, nhưng chúng lại dùng lời lẽ lừa nhân viên chăm sóc khách hàng của nhà mạng để mở khóa thẻ. Cuối cùng, chúng khai thác lỗ hổng "lấy lại mật khẩu" của một nền tảng vay tiền online để đặt lại mật khẩu thanh toán, rồi lừa lấy tiền vay. Bộ này nhắc người dùng đặt mật khẩu SIM sớm và báo mất thẻ ngay khi mất điện thoại. Về mật khẩu màn hình khóa, Ủy ban Truyền thông Liên bang Mỹ (FCC) khuyên: đặt một mật khẩu mạnh cho điện thoại để hạn chế người khác dùng. Khi điện thoại bị mất hoặc bị trộm, mật khẩu này giúp ngăn người khác dùng máy phát sinh chi phí, và ngăn dữ liệu cá nhân của bạn bị lạm dụng.

Thứ tự xử lý quan trọng hơn tốc độ. Bước một, bạn báo mất thẻ SIM để người khác không thể nhận mã xác minh của bạn nữa. Bước hai, bạn khóa điện thoại từ xa và xóa sạch dữ liệu trong máy. Bước ba, bạn ngồi vào máy tính để đổi mật khẩu email và mật khẩu thanh toán. Bước bốn, bạn báo cảnh sát để lấy biên nhận. Cuối cùng, bạn đóng băng thẻ ngân hàng tùy theo nhu cầu. Ủy ban Truyền thông Liên bang Mỹ cũng nhắc: ngay cả khi bạn nghĩ máy chỉ bị thất lạc, bạn vẫn nên khóa máy từ xa. Nếu máy bị trộm, bạn hãy báo cảnh sát ngay, khai rõ dòng máy cùng số IMEI (mã định danh của điện thoại), đồng thời báo ngay cho nhà mạng

Quy định của Tòa án nhân dân tối cao phân định rõ nghĩa vụ đưa ra chứng cứ. Nếu bạn cho rằng đây là giao dịch quẹt trộm bằng thẻ giả hoặc quẹt trộm qua mạng (gạt trộm), bạn cần đưa ra chứng cứ trước. Quẹt trộm bằng thẻ giả là trường hợp thẻ của bạn bị sao chép một bản khác để thanh toán. Bạn có thể dùng các tài liệu sau để chứng minh: văn bản pháp lý đã có hiệu lực, chứng cứ về vị trí của thẻ thật và nơi phát sinh giao dịch tại thời điểm đó. Bạn cũng có thể dùng sao kê giao dịch, thông báo giao dịch, biên bản báo cảnh sát, biên nhận báo mất và các chứng cứ tương tự. Ngược lại, nếu ngân hàng phát hành thẻ hoặc tổ chức thanh toán phi ngân hàng (thanh toán bên thứ ba) cho rằng giao dịch này do chính bạn quẹt hoặc ủy quyền cho người khác quẹt, họ bắt buộc phải đưa ra chứng cứ. Sau khi bạn thông báo cho ngân hàng, nếu ngân hàng không kịp thời xác minh, hoặc không kịp cung cấp và lưu giữ chứng từ giao dịch cùng băng ghi hình giám sát khiến chứng cứ không lấy được, thì ngân hàng phải chịu hậu quả của việc không đưa ra được chứng cứ. Sau khi vụ việc được xác lập: chủ thẻ ghi nợ (thẻ tiết kiệm) có thể yêu cầu ngân hàng phát hành trả lại cả gốc lẫn lãi khoản tiền gửi bị quẹt trộm, đồng thời bồi thường thiệt hại. Chủ thẻ tín dụng có quyền yêu cầu trả lại cả gốc lẫn lãi khoản thấu chi bị trừ và tiền phạt vi phạm, đồng thời bồi thường thiệt hại; nếu ngân hàng đòi bạn phải thanh toán khoản thấu chi này, tòa án sẽ không chấp nhận. Bạn còn có thể yêu cầu ngân hàng phát hành thu hồi hồ sơ tín dụng xấu tương ứng (toàn quốc, thi hành từ ngày 25/5/2021)

Danh sách thiết bị đăng nhập trong tài khoản ghi lại những điện thoại và máy tính hiện vẫn truy cập được vào tài khoản này. Danh sách ứng dụng đã cấp quyền ghi lại các phần mềm của bên khác mà bạn từng cho phép đăng nhập bằng tài khoản này. Thiết bị lạ trong danh sách và các phần mềm bên thứ ba đã lâu không dùng chính là những dấu vết dễ phát hiện nhất. Cơ quan An ninh mạng Anh (UK NCSC) liệt kê "đăng nhập từ địa điểm lạ hoặc vào thời điểm bất thường" là dấu hiệu cần kiểm tra khi tài khoản bị chiếm. Cơ quan này cũng nói kẻ gian thường đặt một quy tắc chuyển tiếp trong hòm thư, để mọi email gửi đến bạn tự động được sao một bản cho chúng, rồi dùng nó đặt lại mật khẩu của bạn. Thứ tự xử lý họ đưa ra là: xóa quy tắc chuyển tiếp không rõ nguồn, đổi mật khẩu, rồi đăng xuất mọi thiết bị và ứng dụng khỏi tài khoản. Sau khi đăng xuất, muốn dùng tài khoản của bạn, người khác phải nhập mật khẩu mới. Ủy ban Thương mại Liên bang Mỹ (FTC) cũng khuyên: lấy lại tài khoản xong thì đăng xuất mọi thiết bị và xóa các quy tắc chuyển tiếp không phải bạn đặt.

Luật Bảo vệ thông tin cá nhân quy định rõ hai điều. Thứ nhất, bên xử lý thông tin không được lấy lý do cá nhân không đồng ý hoặc rút lại sự đồng ý để từ chối cung cấp sản phẩm hay dịch vụ. Ngoại lệ là khi việc xử lý các thông tin đó bắt buộc để cung cấp dịch vụ. Thứ hai, việc thu thập thông tin phải giới hạn trong phạm vi tối thiểu để thực hiện mục đích xử lý, chỉ được thu những gì thực sự cần dùng đến

Có những trường hợp doanh nghiệp bắt buộc phải chủ động xóa thông tin: dịch vụ đã dừng cung cấp, thời hạn lưu giữ đã thỏa thuận kết thúc, bạn rút lại sự đồng ý, mục đích thu thập ban đầu đã đạt được và vài trường hợp khác. Nếu doanh nghiệp không tự xóa, bạn có quyền yêu cầu họ xóa. Trường hợp họ từ chối cho bạn thực hiện các quyền này, họ bắt buộc phải nêu rõ lý do. Bạn có thể khởi kiện thẳng ra tòa án nhân dân

Biện pháp quản lý an toàn ứng dụng công nghệ nhận diện khuôn mặt nêu rõ: "Trường hợp đạt được cùng mục đích hoặc đáp ứng yêu cầu nghiệp vụ tương đương mà có phương thức kỹ thuật khác ngoài nhận diện khuôn mặt, thì không được lấy công nghệ nhận diện khuôn mặt làm phương thức xác minh duy nhất. Cá nhân không đồng ý xác minh danh tính qua thông tin khuôn mặt thì phải cung cấp phương thức khác hợp lý, thuận tiện." Văn bản này cũng quy định: "Bất kỳ tổ chức hay cá nhân nào cũng không được lấy lý do làm thủ tục nghiệp vụ, nâng cao chất lượng dịch vụ để dẫn dắt sai lệch, lừa dối hoặc ép buộc cá nhân chấp nhận công nghệ nhận diện khuôn mặt để xác minh danh tính." Trường hợp xử lý thông tin khuôn mặt dựa trên sự đồng ý của bạn, bên xử lý phải có được "sự đồng ý riêng biệt được đưa ra một cách tự nguyện, rõ ràng trên cơ sở đã được thông báo đầy đủ": họ phải hỏi riêng đúng việc này và bạn đồng ý riêng mới tính. Bạn có quyền rút lại sự đồng ý, và bên xử lý phải cung cấp phương thức rút lại thuận tiện. Việc xử lý thông tin khuôn mặt của người chưa thành niên chưa đủ 14 tuổi bắt buộc phải có sự đồng ý của cha mẹ hoặc người giám hộ khác. Việc lắp đặt thiết bị nhận diện khuôn mặt ở nơi công cộng "phải cần thiết để bảo vệ an ninh công cộng", đồng thời phải đặt biển cảnh báo ở vị trí dễ nhận biết. Bên trong các không gian mang tính riêng tư ở nơi công cộng như phòng khách sạn, nhà tắm công cộng, phòng thay đồ công cộng và nhà vệ sinh công cộng, bất kỳ tổ chức hay cá nhân nào cũng không được phép lắp đặt. Dữ liệu khuôn mặt phải được lưu trữ ngay trong thiết bị nhận diện, không được truyền ra ngoài qua mạng internet. Có hai trường hợp ngoại lệ: luật hoặc quy định hành chính có quy định khác, hoặc đã có được sự đồng ý riêng biệt (toàn quốc, thi hành từ ngày 1/6/2025)

Tháng 6 năm 2026, Bộ An ninh Quốc gia Trung Quốc công bố một cảnh báo rủi ro. Một số trạm trung chuyển giữ lại dữ liệu người dùng gửi lên trên máy chủ của mình. Có trạm tự ý giữ lại rồi bán cho hãng mô hình lớn khác để huấn luyện. Có trạm giấu cửa hậu (đường vào bí mật) và cấy mã độc vào thiết bị của người dùng. Trạm đó đánh cắp khóa truy cập (chuỗi ký tự thay mật khẩu khi gọi dịch vụ) và thông tin xác thực trên đám mây, thậm chí cài chương trình điều khiển từ xa. Cảnh báo khuyên bạn dùng kết nối chính thức thẳng tới hãng hoặc nền tảng được cấp phép chính quy, và đừng dùng nền tảng không rõ nguồn gốc, không có tư cách hoạt động, không bảo đảm an toàn. Khi dùng, bạn nên xóa hoặc che thông tin riêng tư và tài liệu dự án trước khi gửi, giữ kỹ khóa và đổi khóa định kỳ. Nếu gặp khoản trừ tiền bất thường, tài khoản bị khóa vô cớ hay dữ liệu bất thường, bạn dừng dùng ngay, đổi khóa, quét diệt virus và giữ lại bằng chứng. Năm 2026, các nhà nghiên cứu ở Đại học California, Santa Barbara cùng vài nơi khác làm một phép đo. Họ mua 28 trạm trả phí từ Taobao, Xianyu (hai sàn mua bán trực tuyến của TQ) và các cửa hàng trực tuyến ở nước ngoài, rồi thu thập thêm 400 trạm miễn phí từ các cộng đồng công khai. Kết quả là 1 trạm trả phí và 8 trạm miễn phí chèn mã độc vào các lệnh gọi công cụ trong câu trả lời. Lệnh gọi công cụ là lệnh AI bảo máy tính của bạn chạy, ví dụ cài một gói phần mềm. Thêm 2 trạm chọn đúng lúc mới ra tay. Ví dụ trong bài nghiên cứu là chỉ ra tay với những phiên làm việc mà lệnh được chạy hoàn toàn tự động. Có 17 trạm đã dùng khóa Amazon Web Services (dịch vụ đám mây của Amazon) mà người nghiên cứu cố ý đặt vào. Có 1 trạm đã chuyển đi tiền trong ví Ethereum (một loại tiền ảo) của người nghiên cứu. Trong ví chỉ để rất ít tiền, thiệt hại dưới 50 đô la Mỹ. Cách sửa mà bài nghiên cứu trình diễn rất kín: trong lệnh cài đặt, trạm đổi requests thành reqeusts, một cách viết gần giống nên nhìn qua không thấy (cả nước TQ)

Luật Chống lừa đảo qua mạng viễn thông (反电信网络诈骗法) của Trung Quốc quy định cơ quan quản lý viễn thông phải "cung cấp kênh tra cứu tiện lợi cho người dùng kiểm tra thông tin thẻ điện thoại đứng tên mình". Ngân hàng nhân dân và các cơ quan khác phải "cung cấp kênh tra cứu tiện lợi cho khách hàng kiểm tra tài khoản ngân hàng và tài khoản thanh toán đứng tên mình". Dịch vụ 「一证通查」 của Bộ Công nghiệp và Tin học hóa, ra mắt ngày 14 tháng 9 năm 2021, cho phép bạn tra bằng chứng minh thư số lượng thẻ điện thoại đứng tên mình và nhà mạng của từng thẻ. Dịch vụ này ra đời vì khi phá các vụ lừa đảo viễn thông, người ta phát hiện một số thẻ liên quan được đăng ký bằng giấy tờ của người khác. Chính người đó không biết, và tín dụng cá nhân của họ có thể bị ảnh hưởng. Kết quả gửi qua SMS từ số 10699000 trong vòng 48 giờ. Nếu số lượng không khớp, bạn đến nhà mạng để tra chi tiết; khi có ủy quyền của chính chủ, có thể xác minh, tách, khóa hoặc hủy thẻ. Tháng 7 năm 2022 có thêm 「一证通查 2.0」. Nhập số điện thoại và sáu số cuối chứng minh thư, bạn tra được số này liên kết với bao nhiêu tài khoản internet. Lúc đó dịch vụ hỗ trợ các công ty như Tencent, Alibaba, Baidu, Kuaishou, Douyin, JD và Meituan, và chỉ cho biết số lượng. Về thẻ ngân hàng, UnionPay mở tính năng 「一键查卡」 trong 云闪付 cho tất cả tỉnh, thành trong nước vào ngày 29 tháng 6 năm 2022. Bạn chọn ngân hàng cần tra, xác thực danh tính rồi gửi yêu cầu. Trong 24 giờ sẽ có báo cáo; thông tin thẻ trong báo cáo đã được che, và tự động xóa sau 7 ngày (toàn quốc).

Quy phạm dịch vụ viễn thông ghi rõ "thời gian đóng băng số điện thoại di động tối thiểu là 90 ngày", tính từ khi số bị hủy đến khi được mở lại. Sau 90 ngày hủy số, số này có thể cấp cho người dùng mới. Bộ Công nghiệp và Tin học hóa (MIIT) nhắc trong thông báo chất lượng dịch vụ viễn thông quý I năm 2025 rằng người dùng có thể dùng dịch vụ "làm mới số thứ hai" trong ứng dụng của ba nhà mạng. Khi nhận được số của người khác từng dùng, người đó có thể hủy liên kết các tài khoản internet đã đăng ký và gắn với số này trước khi họ mở tài khoản. Thông báo quý II năm 2026 nói dịch vụ này đã bao phủ 258 ứng dụng internet thường dùng, và số lần yêu cầu hủy liên kết ứng dụng đã vượt 850 triệu. Việc cần hủy liên kết nhiều như vậy cho thấy tài khoản của chủ số cũ vẫn gắn với số này khi số được chuyển sang người mới. Năm 2024, nhân viên chăm sóc khách hàng của ba nhà mạng lớn trả lời phỏng vấn của tờ Người đưa thư Bưu điện Nhân dân (人民邮电报). Theo họ, sau khi số bị hủy, người dùng mới vẫn có thể đăng nhập tài khoản của người cũ bằng mã xác minh SMS. Họ nhắc hủy liên kết Alipay, WeChat và các ứng dụng khác trước khi đổi hoặc hủy số, và đổi số điện thoại dự phòng trên thẻ ngân hàng kịp thời.