Hiếu PC: 'Bảo mật không còn là chi phí phát sinh, mà là điều kiện sống còn'

Năm 2025 ghi nhận nhiều diễn biến trái chiều và đầy thách thức trên không gian mạng. Theo báo cáo từ Hiệp hội An ninh mạng Quốc gia (NCA), dù tỷ lệ người dân "sập bẫy" lừa đảo trực tuyến giảm xuống còn 0,18%, nhưng thiệt hại tài chính vẫn ở mức con số đáng lo ngại, hơn 6.000 tỷ đồng chỉ trong 11 tháng đầu năm.

Trong khi đó, ở khối doanh nghiệp và tổ chức đang đối mặt với chiến thuật "nằm vùng" tinh vi của tin tặc. Tổng số vụ tấn công mạng vào các doanh nghiệp năm qua giảm gần 20%, nhưng tỷ lệ đơn vị chịu tổn hại lại tăng mạnh, vượt mức 52%. Năm 2025, thời gian để tội phạm mạng chuyển từ việc phát hiện lỗ hổng sang khai thác thực tế đã giảm từ 9 tuần xuống còn dưới 16 phút - theo báo cáo an ninh AI của Check Point Research.

Tội phạm mạng đã thay đổi chiến thuật, không còn tấn công dàn trải mà chuyển sang khai thác sâu vào dữ liệu với sự trợ giúp của trí tuệ nhân tạo (AI). Sự phát triển của AI đã giúp tội phạm mạng nâng cấp khả năng tấn công tự động hóa trên quy mô lớn. Nhờ AI, hacker có thể tự động dò quét các điểm yếu trong hệ thống, dự đoán mật khẩu dựa trên hành vi và thói quen của người dùng, cũng như phát hiện sai sót trong cấu hình hệ thống nhanh hơn nhiều lần so với con người. Các công cụ AI này cho phép thực hiện các cuộc tấn công liên tục, có mục tiêu cụ thể và đa dạng hóa phương thức xâm nhập mà không cần sự can thiệp trực tiếp của hacker, dẫn đến nguy cơ thông tin nhạy cảm của người dùng bị đánh cắp hoặc bị khai thác, ngay cả khi họ tuân thủ đầy đủ các quy tắc bảo mật cơ bản (IBM Security, 2024).

Tại Việt Nam, các báo cáo cũng ghi nhận xu hướng tăng các cuộc tấn công tự động hóa, đặc biệt nhắm vào hệ thống doanh nghiệp vừa và nhỏ, nơi các biện pháp kiểm soát an ninh còn hạn chế. Điều này nhấn mạnh nhu cầu áp dụng các giải pháp phòng thủ thông minh, như giám sát hành vi người dùng và kiểm tra lỗ hổng định kỳ, nhằm giảm thiểu rủi ro từ các cuộc tấn công AI quy mô lớn. Song song với đó, tình trạng thiếu hụt nhân sự chuyên trách và lỗ hổng trong quản trị khiến 27,8% doanh nghiệp Việt vẫn chưa triển khai bất kỳ tiêu chuẩn bảo mật nội bộ nào.

Trong bối cảnh Luật Bảo vệ dữ liệu cá nhân chính thức có hiệu lực với các chế tài nghiêm khắc, việc xây dựng một "hệ miễn dịch số" không còn là lựa chọn mà đã trở thành nghĩa vụ pháp lý và điều kiện sống còn để bảo vệ uy tín doanh nghiệp. Để hiểu rõ hơn về làn sóng tấn công bằng AI cũng như các giải pháp ưu tiên để bảo vệ dữ liệu trong tình hình mới, Đầu tư Tài chính đã có cuộc trao đổi với chuyên gia an ninh mạng Ngô Minh Hiếu (Hiếu PC) để làm rõ hơn các vấn đề này.

Tài chính là mục tiêu trọng điểm của tội phạm mạng

- Thưa ông, Luật về bảo vệ dữ liệu cá nhân đã có hiệu lực, nhưng trên các diễn đàn ngầm, việc mua bán dữ liệu tài chính dường như vẫn chưa hề hạ nhiệt. Theo quan sát của ông, "mặt hàng" dữ liệu tài chính cá nhân hiện nay đã biến đổi thế nào về giá trị và quy mô so với trước đây? AI đã giúp những đối tượng buôn bán dữ liệu lọc và phân loại dữ liệu tinh vi đến mức nào?

Ông Ngô Minh Hiếu: Theo tôi, dữ liệu tài chính cá nhân trên chợ ngầm không còn chỉ là các “mẩu dữ liệu rời”, mà ngày càng được ghép thành bộ hồ sơ có thể khai thác ngay để lừa đảo, chiếm đoạt tài khoản hoặc mạo danh vay tiền.

AI giúp các đối tượng làm sạch, phân loại, đối sánh và chấm điểm dữ liệu nhanh hơn nhiều, nên giá trị không chỉ nằm ở số lượng mà ở mức độ “giàu ngữ cảnh” của từng hồ sơ; trong khi đó, các báo cáo gần đây cũng cho thấy dữ liệu bị lộ và hoạt động phishing (tấn công giả mạo) đều tăng mạnh, còn ngân hàng vẫn là nhóm mục tiêu trọng điểm.

Điều đáng lo là AI đang giúp tội phạm tự động hóa cả chuỗi lừa đảo: Dò tìm mục tiêu, cá nhân hóa kịch bản, giả giọng nói, giả video, rồi tấn công chiếm quyền tài khoản. AI không làm sinh trắc học “vô dụng”, nhưng nếu tổ chức chỉ dựa vào so khớp khuôn mặt mà thiếu công nghệ liveness detection (xác định thực thể số), kiểm tra thiết bị, phân tích hành vi, thì nguy cơ bị Deepfake (giả mạo khuôn mặt), replay hoặc injection attack (tấn công phát lại/tấn công chèn mã độc) sẽ tăng rất mạnh.

Ngoài ra, nếu như trước đây, hacker chỉ tập trung vào một vài nước, thì nay nhờ công nghệ, chúng có thể “scale-up” (mở rộng quy mô) tấn công toàn cầu. Gần đây, Việt Nam chứng kiến hàng loạt vụ tấn công mã hóa dữ liệu vào các tập đoàn lớn như: VNDirect, PVOil, Vietnam Post... Điều này cho thấy chúng ta đang đối mặt với những kịch bản tấn công tương tự như Mỹ hay châu Âu. Một vấn đề nhức nhối khác là các “trung tâm lừa đảo” (scam compounds) đặt tại Campuchia, Myanmar. Đây là gốc rễ của vấn đề. Muốn giải quyết lừa đảo mạng tại Việt Nam, phải triệt phá được các ổ nhóm này ở nước ngoài.

Tổ chức Cảnh sát Hình sự Quốc tế (Interpol) cũng cảnh báo gian lận tài chính có AI hỗ trợ đang mở rộng nhanh và có lợi nhuận cao hơn đáng kể so với thủ đoạn truyền thống.

Luật Bảo vệ dữ liệu cá nhân đã có hiệu lực từ 1/1/2026, đặt yêu cầu tuân thủ cao hơn, nhưng cũng tạo áp lực chuyển đổi cho nhiều đơn vị. Không phải đơn vị, tổ chức, người dân nào cũng trang bị đầy đủ những kỹ năng để đảm bảo an toàn an ninh dữ liệu.

Dù vậy, luật mới là đã chuyển từ mức “khuyến nghị” sang nghĩa vụ pháp lý và chế tài rõ ràng: Cấm mua bán dữ liệu cá nhân, yêu cầu thông báo vi phạm trong vòng 72 giờ, buộc tổ chức áp dụng biện pháp quản lý và kỹ thuật phù hợp, đồng thời phải chịu trách nhiệm nếu gây thiệt hại cho chủ thể dữ liệu. Khi luật hóa như vậy, việc thu thập và khai thác dữ liệu trái phép sẽ khó hơn vì doanh nghiệp không thể tiếp tục xử lý dữ liệu theo kiểu mơ hồ, thiếu kiểm soát như trước.

- Hiện nay, nhiều doanh nghiệp tài chính đang ở trong tình trạng "chưa kịp thích nghi" với các chế tài mới của Luật 2025. Theo ông, những khoảng trống lớn nhất trong hạ tầng kỹ thuật và quy trình quản trị dữ liệu của các doanh nghiệp Việt hiện nay là gì?

Điểm yếu của chúng ta là sự rời rạc dữ liệu. Hiện tại, ngân hàng làm một kiểu, viễn thông làm một kiểu, cơ quan chức năng làm một kiểu. Chúng ta thiếu một sự kết nối dữ liệu đồng bộ. Tội phạm mạng hoạt động không biên giới, không rào cản pháp lý, chúng đi rất nhanh. Trong khi đó, chúng ta bị trói buộc bởi quá nhiều thủ tục hành chính. Hãy tưởng tượng, khi một người dân bị lừa tiền, họ gọi lên ngân hàng. Ngân hàng yêu cầu ra công an phường xác minh. Thời gian làm giấy tờ mất nửa ngày, trong khi chỉ cần 5-10 phút là tiền đã bị tẩu tán sạch. Đó là một “nút thắt” chết người.

Theo tôi, khoảng trống lớn nhất của nhiều doanh nghiệp hiện nay là không biết mình đang giữ dữ liệu gì, ở đâu, ai được quyền truy cập và đang chia sẻ cho bên nào. Luật hiện yêu cầu nhiều nội dung mà doanh nghiệp thường còn yếu như đánh giá tác động xử lý dữ liệu, cập nhật hồ sơ định kỳ, chỉ định bộ phận hoặc nhân sự phụ trách bảo vệ dữ liệu và ngăn chặn việc thu thập dữ liệu trái phép từ chính hệ thống của mình; nếu thiếu các năng lực nền tảng này thì rất dễ vi phạm dù không cố ý.

Tôi cho rằng doanh nghiệp tài chính buộc phải đổi tư duy: Bảo mật không còn là chi phí phát sinh, mà là điều kiện sống còn. Một vụ rò rỉ dữ liệu không chỉ kéo theo mất uy tín và khách hàng, mà còn có thể dẫn tới bồi thường và xử phạt. Tập đoàn công nghệ máy tính đa quốc gia (IBM) ghi nhận chi phí trung bình toàn cầu của một vụ rò rỉ dữ liệu năm 2025 là 4,4 triệu USD, trong khi luật Việt Nam quy định mức phạt tối đa có thể tới 10 lần khoản thu từ hành vi mua bán dữ liệu, 5% doanh thu năm trước với vi phạm chuyển dữ liệu xuyên biên giới, hoặc 3 tỷ đồng cho các vi phạm khác.

Bài toán văn hóa bảo mật trong doanh nghiệp

- Đối với các tổ chức tài chính, một hệ thống "miễn dịch số" sử dụng AI cần phải hội đủ những yếu tố gì để có thể phát hiện sớm các dấu hiệu rò rỉ dữ liệu từ bên trong?

AI nên được dùng để sàng lọc dữ liệu lớn, nhận diện mẫu lừa đảo, tự động chấm điểm rủi ro và phát hiện bất thường sớm. Với tổ chức tài chính, một hệ thống “miễn dịch số” dùng AI cần có ít nhất 4 lớp: Giám sát truy cập và hành vi người dùng, phát hiện rò rỉ dữ liệu, xác thực chống Deepfake/sinh trắc học giả mạo và cảnh báo sớm theo ngữ cảnh giao dịch, thiết bị, tài khoản.

- Vậy còn các đơn vị nhỏ, nguồn lực cho an ninh mạng thường hạn hẹp. Ông có thể chia sẻ giải pháp nào giúp các đơn vị này vừa tuân thủ luật, vừa đảm bảo an toàn dữ liệu mà không bị "hụt hơi" về tài chính?

Với đơn vị nhỏ, tôi nghĩ cách đúng không phải là mua hệ thống đắt tiền ngay, mà là làm đúng thứ tự ưu tiên: Giảm thu thập dữ liệu, phân quyền chặt, bật MFA mã 2 bước đa yếu tố, mã hóa dữ liệu quan trọng, sao lưu, ghi log truy cập và thuê dịch vụ ngoài khi cần.

Cũng cần nói rõ là luật có cơ chế nới cho doanh nghiệp nhỏ và khởi nghiệp trong 5 năm đối với một số nghĩa vụ nhất định và hộ kinh doanh, doanh nghiệp siêu nhỏ còn được miễn một số yêu cầu, trừ khi xử lý dữ liệu nhạy cảm hoặc dữ liệu số lượng lớn.

- Nhiều người vẫn nghĩ bảo mật là chuyện của máy móc, nhưng thực tế con người mới là mắt xích yếu nhất. Nếu coi bảo vệ dữ liệu là một văn hóa doanh nghiệp thay vì chỉ là các quy định khô khan, thì vai trò dẫn dắt của những người lãnh đạo cao nhất hiện nay nên được thể hiện như thế nào để tạo ra sự thay đổi về chất trong ý thức của toàn bộ hệ thống, thưa ông?

Tôi đồng ý với việc con người mới là mắt xích yếu nhất, nên nếu muốn bảo vệ dữ liệu thành văn hóa doanh nghiệp, người đứng đầu phải trực tiếp dẫn dắt chứ không thể giao hết cho bộ phận công nghệ thông tin.

Bên cạnh đó, vai trò của lãnh đạo nên thể hiện ở 3 việc: Đặt ưu tiên từ trên xuống, cấp ngân sách và nhân sự phụ trách rõ ràng và kiểm tra trách nhiệm thực thi thường xuyên. Luật hiện cũng yêu cầu cơ quan, tổ chức phải có bộ phận hoặc nhân sự đủ điều kiện, hoặc thuê dịch vụ phù hợp để bảo vệ dữ liệu cá nhân.

Xin cảm ơn ông về cuộc trao đổi này!