Bộ Công an: Công ty VNG để lộ hơn 163 triệu tài khoản khách hàng

Trong Dự thảo Hồ sơ đề nghị xây dựng Luật Bảo vệ dữ liệu cá nhân, Bộ Công an đã có báo cáo Đánh giá thực trạng quan hệ xã hội liên quan bảo vệ dữ liệu cá nhân (DLCN).

Theo Bộ Công an, có tổng số 69 văn bản quy phạm pháp luật liên quan trực tiếp đến bảo vệ dữ liệu cá nhân tại Việt Nam. Tuy nhiên, tất cả đều chưa thống nhất về khái niệm và nội hàm dữ liệu cá nhân, bảo vệ dữ liệu cá nhân.

Ngày 17/4/2023, Chính phủ đã ban hành Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đưa ra định nghĩa về dữ liệu cá nhân và bảo vệ dữ liệu cá nhân. Dù vậy, đây mới chỉ là văn bản Nghị định, chưa phải văn bản Luật nên cần thống nhất thực hiện trong thực tiễn.

Nhiều doanh nghiệp không nhận thức được trách nhiệm bảo vệ DLCN

Về thực trạng bảo vệ dữ liệu cá nhân, Bộ Công an đánh giá, nguy cơ mất an ninh DLCN từ các tổ chức, doanh nghiệp có hoạt động thu thập DLCN là rất lớn.

"Tuy nhiên, nhận thức, giải pháp, quy trình bảo vệ an ninh mạng đã tạo ra khoảng trống lớn. Quản lý nhà nước chưa có tổ chức chuyên trách để đưa ra các khuyến cáo, các yêu cầu và có cơ chế giám sát để đảm bảo an ninh mạng trong các hoạt động thu thập DLCN", Bộ Công an cho biết.

Theo Bộ Công an, công tác bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, doanh nghiệp, cá nhân có hoạt động thu thập dữ liệu cá nhân vẫn còn buông lỏng, chưa có các biện pháp quản lý và kỹ thuật phù hợp để bảo vệ các dữ liệu cá nhân thu thập được, đặc biệt là các tổ chức, doanh nghiệp thu thập thông tin ở quy mô vừa và nhỏ, khả năng ứng phó trước mối đe dọa vẫn còn rất yếu kém. 

Nhiều tổ chức, doanh nghiệp cũng không nhận thức được trách nhiệm bảo vệ cũng như hậu quả có thể xảy ra nếu các thông tin đó bị lộ lọt hay cung cấp cho bên thứ 3.

Các tổ chức, doanh nghiệp thực hiện các hoạt động thu thập, lưu trữ, xử lý dữ liệu cá nhân của người dùng chưa áp dụng giải pháp kỹ thuật đủ mức để chống lộ lọt thông tin, tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật bảo đảm an ninh mạng, chưa có quy trình quản lý an ninh mạng và thông báo, hướng dẫn, khuyến nghị xử lý khi xảy ra sự cố lộ, lọt dữ liệu cá nhân của người dùng.

Bộ Công an nêu một số vụ việc điển hình như Công ty VNG để lộ hơn 163 triệu tài khoản khách hàng; Công ty Thế giới di động và Điện máy xanh để lộ hơn 5 triệu email và hàng chục nghìn thông tin thẻ thanh toán như Visa, thẻ tín dụng của khách hàng; tin tặc đã tấn công vào hệ thống máy chủ của Hãng hàng không quốc gia Việt Nam (Vietnam Airlines), đăng tải lên Internet 411.000 tài khoản khách hàng thành viên của chương trình Bông Sen Vàng;

Tình trạng để lộ thông tin khách hàng để các công ty môi giới dịch vụ taxi của Việt Nam sử dụng để mời chào khách hàng qua tin nhắn SMS; dữ liệu khách hàng của Công ty FPT bị đăng tải công khai trên mạng...

Lỗ hổng an ninh của các thiết bị thông minh

Trong bản đánh giá, Bộ Công an cũng đề cập về phương thức, thủ đoạn thu thập trái phép dữ liệu cá nhân.

Một trong các phương thức là thông qua các website. Theo Bộ Công an, các đối tượng sẽ tạo lập hoặc lợi dụng các website có nội dung hấp dẫn thu hút người dùng, khi người dùng truy cập sẽ âm thầm cài cắm mã độc vào máy tính và các thiết bị thông minh mà người dùng không hề hay biết để thu thập thông tin. 

"Ví dụ như đính kèm các mã độc vào các trang game online, các trang web có nội dung đồi trụy… hoặc đối tượng tạo ra các trang đăng nhập thông tin giả mạo (facebook, email, bank). Những trang này sẽ được gửi qua email đến nạn nhân và chúng có giao diện giống hệt với trang đăng nhập của các nhà cung cấp dịch vụ.

Nếu nạn nhân mất cảnh giác và thực hiện đăng nhập thông tin trên trang web đó, thông tin sẽ được gửi đến hacker thay vì là các nhà cung cấp dịch vụ như họ nghĩ", theo Bộ Công an.

Một phương thức khác đó là tấn công qua các thiết bị thông minh. Bộ Công an chỉ ra đây là một thủ đoạn mới. Các đối tượng thường nhắm vào các thiết bị thông minh có kết nối internet như: Router wifi, camera an ninh, điện thoại thông minh… 

Bằng việc tiến hành rà quét nhằm phát hiện và lợi dụng các lỗ hổng an ninh phổ biến trên các thiết bị này như sử dụng tài khoản và mật khẩu mặc định của nhà sản xuất, không cập nhật các bản vá lỗi thường xuyên… các đối tượng sẽ cài cắm mã độc nhằm theo dõi, thu thập dữ liệu, đe dọa hoặc tống tiền người dùng.

Ngoài ra các đối tượng còn sử dụng nhiều thiết bị nghe lén thông minh để thu thập thông tin.