Dữ liệu cá nhân - “nguyên liệu” để tội phạm viết đúng kịch bản về bạn

Đừng để những mảnh thông tin nhỏ trở thành chìa khóa mở tài khoản và niềm tin

Một người lạ gọi điện nhưng biết chính xác họ tên, ngày sinh, số căn cước, địa chỉ nhà và ngân hàng mà bạn đang sử dụng. Một “nhân viên giao hàng” đọc đúng tên món hàng, số tiền cần thanh toán và nơi nhận. Một người tự xưng là giáo viên biết tên con, lớp học và số điện thoại của phụ huynh. Một “cán bộ cơ quan nhà nước” nắm được thông tin hồ sơ mà bạn vừa thực hiện.

Khi đối tượng biết quá nhiều thông tin chính xác, nhiều người cho rằng đó chắc chắn là người của ngân hàng, doanh nghiệp hoặc cơ quan có thẩm quyền. Từ niềm tin ban đầu ấy, nạn nhân dễ tiếp tục cung cấp mã OTP, mật khẩu, hình ảnh giấy tờ, thông tin tài khoản hoặc làm theo hướng dẫn chuyển tiền.

Tuy nhiên, việc một người biết thông tin của bạn không có nghĩa người đó đáng tin cậy. Những thông tin tưởng như rời rạc có thể đã bị thu thập từ mạng xã hội, biểu mẫu trực tuyến, ứng dụng di động, đơn hàng, tài khoản bị chiếm quyền hoặc các nguồn dữ liệu bị mua bán trái phép. Khi được ghép nối, chúng giúp tội phạm xây dựng một kịch bản lừa đảo riêng, sát với hoàn cảnh của từng nạn nhân.

Dữ liệu cá nhân không chỉ là số căn cước

Nhiều người chỉ cảnh giác khi được yêu cầu cung cấp số căn cước công dân, số tài khoản ngân hàng hoặc mật khẩu. Trên thực tế, dữ liệu cá nhân có phạm vi rộng hơn rất nhiều.

Đó có thể là những thông tin dùng để xác định hoặc gắn với một con người cụ thể, bao gồm:

- Họ tên, ngày tháng năm sinh, giới tính, quê quán và địa chỉ cư trú;

- Số điện thoại, địa chỉ thư điện tử và tài khoản mạng xã hội;

- Số căn cước, hộ chiếu, giấy phép lái xe và mã số thuế;

- Hình ảnh khuôn mặt, giọng nói, dấu vân tay và các dữ liệu sinh trắc học khác;

- Số tài khoản ngân hàng, thông tin thẻ, lịch sử giao dịch và thông tin tín dụng;

- Hồ sơ sức khỏe, bảo hiểm, việc làm, thu nhập và quan hệ gia đình;

- Vị trí, lịch trình di chuyển, địa điểm thường xuyên xuất hiện;

- Thói quen mua sắm, tìm kiếm, truy cập Internet và sử dụng ứng dụng;

- Thông tin về con cái, trường học, lớp học, người thân và đồng nghiệp;

- Địa chỉ IP, mã thiết bị, lịch sử đăng nhập và các dấu vết số khác.

Dữ liệu vị trí có thể giúp xác định một người đang ở đâu; dữ liệu sinh trắc học có thể được dùng để nhận diện con người thông qua những đặc điểm vật lý, sinh học riêng biệt và ổn định. Pháp luật hiện hành đặt ra yêu cầu bảo vệ chặt chẽ đối với các loại dữ liệu này.

Một thông tin riêng lẻ có thể chưa đủ để gây thiệt hại. Nhưng khi nhiều mảnh dữ liệu được ghép lại, đối tượng có thể biết bạn là ai, đang quan tâm điều gì, có quan hệ với ai và dễ bị tác động bởi tình huống nào.

Tội phạm có thể thu thập dữ liệu từ đâu?

1. Từ chính những nội dung được công khai trên mạng xã hội

Nhiều người thường xuyên đăng ảnh sinh nhật, giấy báo nhập học, vé máy bay, lịch trình du lịch, biển số xe, địa chỉ nhà, nơi làm việc hoặc thông tin của con cái.

Những bài đăng tưởng như vô hại có thể tiết lộ:

- Ngày sinh để đối tượng thử làm mật khẩu;

- Mối quan hệ gia đình để giả danh người thân;

- Thời gian vắng nhà để thực hiện hành vi xấu;

- Trường học của con để dựng kịch bản cấp cứu, tai nạn;

- Nơi làm việc và chức vụ để giả danh lãnh đạo, đồng nghiệp;

- Hình ảnh, giọng nói để tạo nội dung giả mạo bằng AI.

Đáng chú ý, không chỉ bài đăng hiện tại mà cả những nội dung từ nhiều năm trước vẫn có thể bị tìm kiếm, sao chép và tổng hợp.

2. Từ các biểu mẫu, trò chơi và khảo sát trực tuyến

Những chương trình như “nhận quà miễn phí”, “xem tính cách qua ngày sinh”, “dự đoán tương lai”, “đăng ký nhận voucher”, “bình chọn cho người thân” hoặc “khảo sát nhận tiền” thường yêu cầu người dùng điền họ tên, số điện thoại, ngày sinh và địa chỉ.

Sau khi có dữ liệu ban đầu, đối tượng có thể tiếp tục gọi điện, nhắn tin hoặc chuyển thông tin cho nhóm khác để thực hiện hành vi quảng cáo trái phép và lừa đảo.

3. Từ các ứng dụng yêu cầu quá nhiều quyền truy cập

Một ứng dụng chỉnh sửa ảnh, xem bói, vay tiền, quét tài liệu hoặc trò chơi đơn giản nhưng lại yêu cầu truy cập danh bạ, vị trí, micro, camera, hình ảnh và tin nhắn là dấu hiệu cần thận trọng.

Nếu người dùng đồng ý mà không đọc kỹ, ứng dụng có thể thu thập nhiều dữ liệu không cần thiết cho chức năng chính. Đặc biệt, ứng dụng cài đặt từ đường link lạ hoặc tệp do người khác gửi có thể chứa mã độc, cho phép đối tượng đọc tin nhắn, theo dõi thao tác và kiểm soát thiết bị từ xa.

4. Từ tài khoản sử dụng mật khẩu yếu hoặc bị chiếm quyền

Khi một tài khoản email hoặc mạng xã hội bị xâm nhập, đối tượng không chỉ lấy được thông tin của chủ tài khoản mà còn có thể tiếp cận danh bạ, tin nhắn, tài liệu, hình ảnh và lịch sử giao dịch.

Từ đó, chúng tiếp tục giả danh chủ tài khoản để lừa người thân, đồng nghiệp hoặc đối tác.

5. Từ hình ảnh giấy tờ được gửi qua môi trường mạng

Ảnh căn cước, hộ chiếu, giấy phép lái xe, hợp đồng, sao kê và hồ sơ cá nhân thường được gửi qua ứng dụng nhắn tin để làm thủ tục. Nếu gửi sai người, lưu tại nhóm đông thành viên hoặc thiết bị bị mất quyền kiểm soát, những tài liệu này có thể bị sao chép và sử dụng trái phép.

6. Từ nhãn hàng, hóa đơn và giấy tờ bị vứt bỏ

Nhãn giao hàng thường có họ tên, số điện thoại và địa chỉ. Hóa đơn, đơn thuốc, hồ sơ ngân hàng hoặc bản photocopy giấy tờ tùy thân cũng chứa nhiều thông tin quan trọng.

Nếu vứt bỏ mà không che hoặc hủy phần thông tin cá nhân, người khác có thể thu thập và sử dụng để thực hiện các kịch bản giả mạo.

7. Từ hoạt động mua bán dữ liệu trái phép

Theo thông tin được Bộ Công an công bố, trong 6 tháng đầu năm 2025, lực lượng chức năng đã phát hiện, xử lý 56 vụ việc liên quan đến mua bán trái phép dữ liệu cá nhân, với hơn 110 triệu bản ghi dữ liệu bị thu thập và giao dịch trái phép.

Con số bản ghi không đồng nghĩa với số lượng cá nhân, bởi một người có thể xuất hiện trong nhiều bộ dữ liệu. Tuy nhiên, điều này cho thấy dữ liệu cá nhân đang trở thành loại tài nguyên bị các đối tượng nhắm tới và khai thác trên quy mô lớn.

Từ dữ liệu thô đến một kịch bản lừa đảo “đúng người, đúng thời điểm”

Tội phạm không nhất thiết phải có đầy đủ hồ sơ của nạn nhân. Chúng chỉ cần một số dữ liệu đủ chính xác để tạo lòng tin, sau đó từng bước khai thác thêm thông tin trong quá trình trò chuyện.

Kịch bản “nhân viên ngân hàng”

Đối tượng biết họ tên, số điện thoại, ngân hàng đang sử dụng hoặc một phần thông tin tài khoản. Chúng gọi điện thông báo tài khoản có giao dịch bất thường, cần nâng cấp sinh trắc học hoặc xác minh để tránh bị khóa.

Sau khi đọc một số thông tin đúng để tạo lòng tin, chúng yêu cầu nạn nhân cung cấp mã OTP, bấm đường link, quét mã QR hoặc cài ứng dụng giả.

Kịch bản “đơn hàng đang gặp sự cố”

Đối tượng biết tên sản phẩm, địa chỉ nhận và số tiền thanh toán. Chúng giả danh người giao hàng, yêu cầu chuyển khoản trước, thanh toán phí bổ sung hoặc bấm vào đường link để cập nhật địa chỉ.

Trong một số trường hợp, đối tượng thông báo người dân đã chuyển nhầm vào tài khoản đăng ký hội viên, sau đó hướng dẫn thao tác hủy nhưng thực chất là chiếm quyền điều khiển thiết bị.

Kịch bản “con đang gặp chuyện”

Từ bài đăng của phụ huynh, đối tượng biết tên con, trường học và lớp học. Chúng giả danh giáo viên, nhân viên y tế hoặc bạn của con, thông báo trẻ bị tai nạn, cần tiền phẫu thuật hoặc đang gặp nguy hiểm.

Nếu có thêm hình ảnh và giọng nói, đối tượng có thể kết hợp công nghệ Deepfake để làm cuộc gọi trở nên thuyết phục hơn.

Kịch bản “cơ quan nhà nước đang xử lý hồ sơ”

Đối tượng biết nạn nhân vừa làm thủ tục về thuế, bảo hiểm, đất đai, giấy phép hoặc dịch vụ công. Chúng giả danh cán bộ, thông báo hồ sơ thiếu thông tin, cần xác thực trực tuyến hoặc phải nộp một khoản phí.

Mục tiêu thường là dẫn dụ nạn nhân vào website giả, cài ứng dụng hoặc cung cấp thông tin tài khoản ngân hàng.

Kịch bản “đầu tư phù hợp với nhu cầu của bạn”

Dựa trên lịch sử tìm kiếm, hội nhóm tham gia hoặc nội dung thường xuyên tương tác, đối tượng biết nạn nhân quan tâm đến bất động sản, chứng khoán, tiền số hay việc làm thêm.

Chúng đưa ra một sản phẩm đầu tư được thiết kế đúng với nhu cầu và khả năng tài chính của từng người, từ đó từng bước thuyết phục nạn nhân chuyển tiền.

Kịch bản “thay đổi tài khoản thanh toán”

Đối với cơ quan, doanh nghiệp, đối tượng có thể nghiên cứu thông tin lãnh đạo, kế toán, nhà cung cấp và thời điểm thanh toán hợp đồng. Sau đó, chúng giả mạo email của đối tác, gửi thông báo thay đổi tài khoản nhận tiền.

Cơ quan chức năng cảnh báo phần lớn hành vi lừa đảo bắt đầu từ việc thu thập dữ liệu; khi có đủ thông tin, tội phạm có thể “đọc vị” nạn nhân và xây dựng kịch bản sát với bối cảnh đời sống.

Người gọi biết đúng thông tin vẫn có thể là kẻ lừa đảo

Dấu hiệu nguy hiểm không chỉ nằm ở thông tin sai. Trong nhiều trường hợp, chính việc đối tượng đọc đúng thông tin lại khiến nạn nhân mất cảnh giác.

Cần dừng cuộc trao đổi nếu xuất hiện một trong các dấu hiệu sau:

- Người gọi đọc thông tin cá nhân rồi yêu cầu bạn “xác nhận” thêm mật khẩu, mã OTP hoặc số thẻ;

- Yêu cầu cung cấp ảnh căn cước ở cả hai mặt, video khuôn mặt hoặc thông tin sinh trắc học;

- Đề nghị bấm đường link, quét mã QR, cài ứng dụng hoặc chia sẻ màn hình;

- Tự xưng là cơ quan chức năng nhưng yêu cầu làm việc hoàn toàn qua điện thoại hoặc mạng xã hội;

- Yêu cầu chuyển tiền để xác minh, chứng minh tài khoản hợp pháp hoặc “giữ an toàn” cho tài sản;

- Thúc giục phải thực hiện ngay, không được hỏi người thân;

- Yêu cầu đọc lại toàn bộ thông tin mà đối tượng chỉ biết một phần;

- Gửi đường link có tên gần giống ngân hàng, doanh nghiệp hoặc cơ quan nhà nước;

- Liên hệ từ số điện thoại, tài khoản hoặc địa chỉ thư điện tử không thuộc kênh chính thức.

Hãy nhớ rằng thông tin đúng có thể đã bị thu thập trái phép. Danh tính của người liên hệ phải được xác minh bằng kênh độc lập, không xác minh bằng chính số điện thoại hoặc đường link mà người đó cung cấp.

Bảo vệ dữ liệu cá nhân theo từng lớp

Trước khi cung cấp thông tin, hãy hỏi bốn câu

1. Ai đang yêu cầu dữ liệu?

2. Dữ liệu được thu thập để làm gì?

3. Có thật sự cần cung cấp toàn bộ thông tin hay không?

4. Dữ liệu sẽ được lưu giữ, chia sẻ và bảo vệ như thế nào?

Nếu chưa xác minh được đơn vị yêu cầu, không nên tiếp tục cung cấp thông tin.

Thiết lập lại quyền riêng tư trên mạng xã hội

- Hạn chế người lạ xem danh sách bạn bè và bài đăng cũ;

- Ẩn số điện thoại, email và ngày sinh;

- Không công khai lịch trình di chuyển theo thời gian thực;

- Không đăng ảnh vé máy bay, hồ sơ y tế, giấy báo nhập học hoặc giấy tờ có mã QR;

- Hạn chế đăng thông tin về trường học, lớp học và lịch sinh hoạt của trẻ em;

- Kiểm tra các bài đăng cũ có chứa thông tin nhạy cảm.

Kiểm soát quyền của ứng dụng

Thường xuyên kiểm tra ứng dụng nào đang được quyền truy cập camera, micro, vị trí, danh bạ, ảnh và tệp. Thu hồi những quyền không cần thiết và gỡ bỏ ứng dụng ít sử dụng hoặc không rõ nguồn gốc.

Chỉ cài ứng dụng từ kho ứng dụng chính thức. Không cài tệp được gửi qua tin nhắn chỉ vì người gửi tự xưng là nhân viên ngân hàng, cơ quan thuế, bảo hiểm hoặc Công an.

Bảo vệ tài khoản

- Sử dụng mật khẩu dài, khó đoán và khác nhau cho từng tài khoản;

- Kích hoạt xác thực hai lớp;

- Không lưu mật khẩu trên thiết bị dùng chung;

- Không cung cấp mã OTP hoặc mã khôi phục tài khoản;

- Kiểm tra các phiên đăng nhập và đăng xuất thiết bị lạ;

- Cập nhật hệ điều hành, trình duyệt và ứng dụng thường xuyên.

Thận trọng khi gửi bản chụp giấy tờ

Chỉ gửi giấy tờ cho đúng cơ quan, tổ chức đã được xác minh và qua kênh chính thức. Nếu thủ tục cho phép, có thể ghi chú rõ mục đích, đơn vị tiếp nhận và thời điểm sử dụng trên bản sao; không tự ý sửa đổi nội dung của giấy tờ gốc.

Không gửi ảnh giấy tờ vào nhóm trò chuyện đông người, không để bản chụp tồn tại lâu trên thiết bị công cộng và không giao tài khoản lưu trữ đám mây cho người khác sử dụng.

Hủy thông tin trước khi vứt bỏ

Xóa hoặc cắt nhỏ phần có họ tên, số điện thoại, địa chỉ, mã đơn hàng, mã QR và thông tin tài khoản trên nhãn giao hàng, hóa đơn, hồ sơ hoặc bản photocopy trước khi bỏ vào rác.

Bảo vệ dữ liệu của trẻ em và người cao tuổi

Cha mẹ không nên công khai quá nhiều thông tin về con, nhất là tên đầy đủ, trường học, lớp học, lịch đưa đón và địa điểm thường xuyên xuất hiện.

Đối với người cao tuổi, cần hướng dẫn rõ rằng người gọi biết họ tên, địa chỉ hoặc số căn cước chưa chắc là người của cơ quan nhà nước. Khi có yêu cầu liên quan đến tiền hoặc tài khoản, phải trao đổi với người thân trước khi thực hiện.

Nếu nghi ngờ dữ liệu đã bị lộ, cần làm gì?

1. Xác định loại dữ liệu có nguy cơ bị lộ

Cần kiểm tra xem thông tin bị lộ là số điện thoại, mật khẩu, ảnh căn cước, tài khoản ngân hàng, email hay dữ liệu sinh trắc học. Mỗi loại dữ liệu đòi hỏi biện pháp xử lý khác nhau.

2. Đổi mật khẩu bằng thiết bị an toàn

Ưu tiên đổi mật khẩu email trước, sau đó đến ngân hàng, mạng xã hội và các tài khoản quan trọng khác. Đăng xuất khỏi tất cả phiên đăng nhập cũ và kích hoạt xác thực hai lớp.

Nếu nghi thiết bị bị cài mã độc, không nên đổi mật khẩu trên chính thiết bị đó.

3. Liên hệ ngân hàng hoặc đơn vị cung cấp dịch vụ

Nếu lộ thông tin tài khoản, thẻ hoặc phát hiện giao dịch bất thường, cần liên hệ ngay với ngân hàng để khóa thẻ, khóa tài khoản hoặc áp dụng biện pháp bảo vệ phù hợp.

Nếu SIM có dấu hiệu mất sóng bất thường hoặc bị chiếm quyền, liên hệ nhà mạng để kiểm tra.

4. Cảnh báo người thân và đồng nghiệp

Nếu tài khoản mạng xã hội hoặc email bị chiếm quyền, cần nhanh chóng thông báo để người quen không chuyển tiền, cung cấp thông tin hoặc bấm vào đường link do tài khoản đó gửi.

5. Lưu giữ chứng cứ và trình báo

Chụp màn hình nội dung trao đổi, số điện thoại, tài khoản mạng xã hội, địa chỉ website, số tài khoản ngân hàng và thời gian xảy ra vụ việc. Trình báo cơ quan Công an gần nhất nếu phát hiện dấu hiệu lừa đảo, chiếm đoạt, mua bán hoặc sử dụng trái phép dữ liệu cá nhân.

Không tin các dịch vụ quảng cáo có thể “xóa sạch dữ liệu trên mạng”, “thu hồi tiền bị lừa” hoặc “lấy lại tài khoản” nếu phải nộp phí trước. Đây có thể là một vòng lừa đảo tiếp theo.

Bảo vệ dữ liệu cá nhân là quyền được pháp luật bảo hộ

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026. Luật xác lập các quyền cơ bản của công dân như quyền được biết, đồng ý, truy cập, chỉnh sửa và yêu cầu xóa dữ liệu theo quy định; đồng thời quy định trách nhiệm của cơ quan, tổ chức và doanh nghiệp trong quá trình thu thập, xử lý, lưu trữ và chia sẻ dữ liệu.

Luật nghiêm cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác; nghiêm cấm chiếm đoạt, cố ý làm lộ, làm mất dữ liệu; sử dụng dữ liệu cá nhân của người khác hoặc cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái pháp luật.

Tùy tính chất, mức độ và hậu quả, hành vi thu thập, mua bán, làm lộ hoặc sử dụng trái phép dữ liệu cá nhân có thể bị xử lý theo quy định của pháp luật.

Khuyến cáo của Công an tỉnh Tây Ninh

Công an tỉnh Tây Ninh đề nghị người dân, cơ quan, tổ chức và doanh nghiệp nhận thức rằng dữ liệu cá nhân không phải là thông tin có thể tùy tiện trao đổi. Mỗi lần cung cấp dữ liệu đều cần có mục đích rõ ràng, đúng phạm vi và đúng chủ thể tiếp nhận.

Người dân cần ghi nhớ:

- Người biết đúng thông tin của bạn chưa chắc là người đáng tin cậy;

- Không cung cấp mật khẩu, mã OTP và mã khôi phục tài khoản;

- Không gửi ảnh giấy tờ cho tài khoản chưa được xác minh;

- Không cài ứng dụng hoặc bấm đường link theo hướng dẫn qua điện thoại;

- Không công khai lịch trình, dữ liệu của con cái và thông tin tài chính;

- Không cho người khác mượn danh tính, tài khoản hoặc dữ liệu sinh trắc học;

- Khi phát hiện dấu hiệu bất thường, cần dừng giao dịch, lưu chứng cứ và liên hệ cơ quan Công an gần nhất.

Trong môi trường số, tội phạm có thể không biết bạn ngoài đời nhưng vẫn hiểu khá rõ về bạn qua những dấu vết dữ liệu để lại trên mạng. Bảo vệ dữ liệu cá nhân vì vậy không chỉ là bảo vệ quyền riêng tư, mà còn trực tiếp bảo vệ tài sản, danh tính, uy tín và sự an toàn của mỗi gia đình./.

Minh Long