Trong quá trình hoạt động, Công ty X phát hiện hệ thống máy chủ nội bộ bị hacker xâm nhập trái phép. Đối tượng đã mã hóa dữ liệu kế toán, đánh cắp thông tin khách hàng và chiếm quyền truy cập tài khoản email của bộ phận kinh doanh. Sau đó, hacker gửi thông báo yêu cầu Công ty X chuyển 2 tỷ đồng bằng tiền mã hóa để đổi lấy khóa giải mã và cam kết không công khai dữ liệu đã đánh cắp.

Sự cố khiến hoạt động kinh doanh của Công ty X bị gián đoạn, nhiều giao dịch với đối tác không thể thực hiện đúng hạn. Một số khách hàng thông báo nhận được email giả mạo từ địa chỉ của công ty, yêu cầu chuyển tiền vào tài khoản do hacker kiểm soát. Đồng thời, một đối tác khởi kiện yêu cầu Công ty X bồi thường thiệt hại vì cho rằng việc không bảo vệ an toàn thông tin đã làm lộ dữ liệu giao dịch và gây tổn thất tài chính.

Trước tình hình này, Công ty X phải đối mặt với nhiều vấn đề: nguy cơ mất dữ liệu, trách nhiệm bảo vệ thông tin khách hàng, nghĩa vụ thực hiện hợp đồng và khả năng phát sinh trách nhiệm hành chính hoặc hình sự liên quan đến vụ việc.

Vậy Công ty X cần làm gì khi bị hacker xâm nhập? Doanh nghiệp có phải bồi thường cho khách hàng và đối tác hay không? Làm thế nào để bảo vệ chứng cứ và hạn chế những hậu quả pháp lý tiếp theo?

I. TÓM TẮT TÌNH HUỐNG THỰC TẾ

Tình huống đặt ra bốn vấn đề pháp lý trọng tâm.

Thứ nhất, hành vi xâm nhập trái phép hệ thống máy tính và đánh cắp dữ liệu của doanh nghiệp có thể bị xử lý như thế nào?

Thứ hai, Công ty X có nghĩa vụ gì khi thông tin khách hàng bị truy cập, đánh cắp hoặc tiết lộ trái phép?

Thứ ba, doanh nghiệp có phải chịu trách nhiệm bồi thường khi sự cố an ninh mạng gây thiệt hại cho khách hàng và đối tác hay không?

Thứ tư, Công ty X cần triển khai những biện pháp pháp lý, kỹ thuật và quản trị nào để kiểm soát sự cố, bảo vệ chứng cứ và hạn chế thiệt hại?

II. GÓC NHÌN PHÁP LÝ – LÁ CHẮN VỮNG CHẮC

II.1. Quy định pháp luật

1. Về hành vi xâm nhập trái phép hệ thống máy tính

Điều 289 Bộ luật Hình sự năm 2015, được sửa đổi, bổ sung theo quy định hiện hành, quy định về tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác.

Tùy theo hành vi cụ thể, hậu quả và các dấu hiệu cấu thành tội phạm, người thực hiện hành vi xâm nhập trái phép có thể bị truy cứu trách nhiệm hình sự.

Nếu hacker sử dụng dữ liệu đánh cắp để chiếm đoạt tài sản, đe dọa nhằm chiếm đoạt tài sản hoặc thực hiện hành vi phạm tội khác, cơ quan tiến hành tố tụng cần xem xét các dấu hiệu pháp lý tương ứng để xác định tội danh. Không thể mặc nhiên xác định mọi trường hợp tấn công mạng đều cấu thành cùng một tội phạm.

Đối với Công ty X, việc bị tấn công không đồng nghĩa doanh nghiệp đương nhiên có lỗi hình sự. Trách nhiệm của doanh nghiệp cần được xem xét dựa trên hành vi cụ thể và quy định pháp luật áp dụng.

2. Về nghĩa vụ bảo vệ dữ liệu cá nhân

Luật Bảo vệ dữ liệu cá nhân năm 2025, có hiệu lực từ ngày 01/01/2026, đặt ra các yêu cầu pháp lý đối với việc xử lý và bảo vệ dữ liệu cá nhân.

Nếu dữ liệu bị đánh cắp bao gồm thông tin nhận diện khách hàng, thông tin liên hệ, dữ liệu tài khoản hoặc những thông tin khác thuộc phạm vi điều chỉnh của pháp luật về dữ liệu cá nhân, Công ty X cần xác định loại dữ liệu bị ảnh hưởng, phạm vi sự cố và trách nhiệm của mình với tư cách chủ thể có liên quan đến hoạt động xử lý dữ liệu.

Doanh nghiệp cần thực hiện nghĩa vụ thông báo, phối hợp xử lý sự cố và các biện pháp bảo vệ dữ liệu theo đúng điều kiện, thời hạn và trình tự pháp luật quy định.

Cần lưu ý rằng nghĩa vụ thông báo không thể được xác định chỉ dựa vào việc công ty bị hack. Doanh nghiệp phải đối chiếu quy định áp dụng đối với loại dữ liệu, vai trò của mình trong hoạt động xử lý và tính chất của sự cố.

3. Về trách nhiệm bồi thường thiệt hại

Theo các quy định của Bộ luật Dân sự năm 2015 về trách nhiệm bồi thường thiệt hại ngoài hợp đồng, chủ thể có hành vi xâm phạm quyền, lợi ích hợp pháp của người khác và đáp ứng các điều kiện phát sinh trách nhiệm có thể phải bồi thường thiệt hại.

Trong quan hệ hợp đồng, trách nhiệm của Công ty X đối với khách hàng hoặc đối tác còn phụ thuộc vào nội dung hợp đồng, nghĩa vụ bảo mật, nghĩa vụ bảo vệ dữ liệu, hành vi vi phạm và mối quan hệ nhân quả với thiệt hại.

Việc công ty bị hacker tấn công không tự động làm phát sinh nghĩa vụ bồi thường trong mọi trường hợp. Cần xác định Công ty X có vi phạm nghĩa vụ pháp lý hoặc nghĩa vụ hợp đồng hay không, thiệt hại thực tế là gì và có đủ căn cứ xác lập trách nhiệm hay không.

Nếu Công ty X đã triển khai các biện pháp bảo mật hợp lý nhưng vẫn bị tấn công tinh vi, yếu tố này có thể được xem xét khi đánh giá trách nhiệm, nhưng không đương nhiên giúp doanh nghiệp được miễn trách nhiệm.

4. Về nghĩa vụ bảo đảm an toàn hệ thống thông tin

Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015 là những căn cứ pháp lý liên quan đến hoạt động bảo vệ hệ thống thông tin, phòng ngừa và xử lý hành vi xâm phạm trên không gian mạng, trong phạm vi các quy định còn hiệu lực và phù hợp với sự cố cụ thể.

Công ty X cần rà soát các nghĩa vụ áp dụng đối với hệ thống thông tin của mình, các quy định chuyên ngành và yêu cầu về bảo vệ dữ liệu có liên quan.

Nếu doanh nghiệp hoạt động trong lĩnh vực tài chính, ngân hàng, viễn thông hoặc lĩnh vực có yêu cầu bảo mật chuyên biệt, những nghĩa vụ bổ sung có thể được áp dụng tùy theo quy định điều chỉnh.

II.2. Áp dụng vào tình huống

Thứ nhất, cô lập sự cố và bảo toàn chứng cứ.

Công ty X cần phối hợp với bộ phận công nghệ thông tin hoặc đơn vị ứng cứu sự cố để cô lập các hệ thống bị xâm nhập, thu hồi hoặc vô hiệu hóa thông tin xác thực bị lộ và ngăn chặn truy cập trái phép tiếp diễn.

Doanh nghiệp cần lưu giữ nhật ký hệ thống, email tống tiền, dấu vết truy cập, dữ liệu giao dịch và các tài liệu kỹ thuật có liên quan. Việc thu thập phải bảo đảm tính toàn vẹn của chứng cứ, tránh làm mất dấu vết phục vụ điều tra.

Công ty X không nên tự ý xóa sạch hệ thống, định dạng máy chủ hoặc tiêu hủy dữ liệu có khả năng phục vụ xác minh hành vi phạm tội.

Thứ hai, trình báo cơ quan có thẩm quyền.

Nếu có căn cứ về hành vi xâm nhập trái phép, đánh cắp dữ liệu, tống tiền hoặc chiếm đoạt tài sản, Công ty X cần nhanh chóng trình báo cơ quan công an có thẩm quyền và cung cấp các tài liệu liên quan.

Nếu có giao dịch chuyển tiền bất thường, doanh nghiệp cần liên hệ ngay với ngân hàng hoặc đơn vị cung cấp dịch vụ thanh toán để đề nghị hỗ trợ kiểm tra, ngăn chặn hoặc truy vết giao dịch theo quy định.

Thứ ba, xác định nghĩa vụ đối với dữ liệu khách hàng.

Công ty X cần lập danh sách các nhóm dữ liệu bị ảnh hưởng, xác định dữ liệu cá nhân có bị truy cập hoặc tiết lộ trái phép hay không và đánh giá nguy cơ thiệt hại đối với chủ thể dữ liệu.

Trên cơ sở đó, doanh nghiệp cần thực hiện nghĩa vụ thông báo và phối hợp xử lý theo quy định hiện hành, đồng thời triển khai biện pháp ngăn chặn việc tiếp tục sử dụng dữ liệu bị đánh cắp.

Thứ tư, xử lý yêu cầu bồi thường của đối tác.

Công ty X cần kiểm tra hợp đồng để xác định nghĩa vụ bảo mật, tiêu chuẩn an toàn thông tin, trách nhiệm khi xảy ra sự cố và cơ chế giải quyết tranh chấp.

Nếu đối tác yêu cầu bồi thường, Công ty X cần đề nghị cung cấp chứng cứ về thiệt hại thực tế, làm rõ mối quan hệ giữa sự cố và tổn thất, đồng thời xác định liệu doanh nghiệp có vi phạm nghĩa vụ hợp đồng hoặc nghĩa vụ pháp luật hay không.

Trường hợp Công ty X có lỗi hoặc vi phạm nghĩa vụ dẫn đến thiệt hại, doanh nghiệp có thể phải chịu trách nhiệm tương ứng. Ngược lại, nếu không đủ căn cứ xác lập trách nhiệm, Công ty X có quyền phản đối yêu cầu bồi thường theo quy định pháp luật.

Thứ năm, không vội trả tiền chuộc.

Việc chuyển tiền cho hacker không bảo đảm dữ liệu sẽ được khôi phục hoặc không bị công khai. Công ty X cần ưu tiên cô lập sự cố, khôi phục dữ liệu từ bản sao lưu an toàn, phối hợp với chuyên gia ứng cứu và cơ quan có thẩm quyền.

Mọi quyết định liên quan đến khoản tiền chuộc cần được đánh giá kỹ về rủi ro pháp lý, tài chính và khả năng tiếp tục bị tống tiền.

II.3. Kết luận pháp lý

Khi bị hacker xâm nhập, Công ty X cần đồng thời xử lý sự cố kỹ thuật, bảo vệ dữ liệu, phối hợp điều tra và rà soát trách nhiệm hợp đồng.

Doanh nghiệp không đương nhiên phải bồi thường mọi thiệt hại phát sinh từ vụ tấn công. Trách nhiệm phải được xác định trên cơ sở nghĩa vụ pháp lý, nội dung hợp đồng, hành vi vi phạm, lỗi khi pháp luật yêu cầu và mối quan hệ nhân quả với thiệt hại.

Tuy nhiên, việc bị tấn công cũng không tự động loại trừ trách nhiệm của doanh nghiệp nếu có căn cứ cho thấy doanh nghiệp vi phạm nghĩa vụ bảo vệ dữ liệu hoặc không thực hiện các nghĩa vụ pháp lý bắt buộc.

III. GÓC NHÌN CHUYÊN GIA

III.1. Góc nhìn pháp lý

Rủi ro pháp lý của một vụ tấn công mạng không chỉ nằm ở hành vi phạm tội của hacker mà còn ở cách doanh nghiệp phản ứng sau sự cố.

Việc chậm thông báo khi pháp luật yêu cầu, không bảo toàn chứng cứ, che giấu thông tin cần công bố hoặc tiếp tục để dữ liệu bị khai thác có thể khiến thiệt hại gia tăng và làm phát sinh những vấn đề pháp lý khác.

Doanh nghiệp cần xây dựng quy trình ứng phó sự cố rõ ràng, xác định trách nhiệm của từng bộ phận và lưu giữ hồ sơ đầy đủ để chứng minh các biện pháp đã thực hiện.

III.2. Góc nhìn tâm lý – giáo dục

Tấn công mạng thường khai thác cả điểm yếu kỹ thuật lẫn hành vi con người, chẳng hạn như email giả mạo, đường dẫn lừa đảo hoặc việc sử dụng mật khẩu không an toàn.

Vì vậy, đào tạo nhân viên về nhận diện lừa đảo, bảo vệ tài khoản và báo cáo sự cố có ý nghĩa quan trọng trong việc giảm thiểu nguy cơ.

Khi sự cố xảy ra, doanh nghiệp cần ưu tiên xử lý khách quan và minh bạch, tránh đổ lỗi vội vàng cho cá nhân hoặc che giấu thông tin khiến quá trình ứng cứu bị trì hoãn.

III.3. Góc nhìn quản trị

Doanh nghiệp cần coi an ninh mạng là một bộ phận của quản trị rủi ro, không chỉ là vấn đề kỹ thuật của bộ phận công nghệ thông tin.

Các biện pháp cần được ưu tiên gồm xác thực đa yếu tố, phân quyền truy cập, sao lưu dữ liệu ngoại tuyến hoặc tách biệt, cập nhật phần mềm, giám sát hệ thống và kiểm tra khả năng khôi phục dữ liệu định kỳ.

Bên cạnh đó, hợp đồng với khách hàng và đối tác cần quy định rõ trách nhiệm bảo mật, quy trình thông báo sự cố, phối hợp ứng cứu và xử lý thiệt hại theo quy định pháp luật.

IV. GIẢI PHÁP TOÀN DIỆN THEO 3 BƯỚC

Bước 1: Ứng phó và kiểm soát sự cố

Cô lập hệ thống bị xâm nhập, thu hồi quyền truy cập trái phép, bảo toàn chứng cứ điện tử và phối hợp với đơn vị chuyên môn để đánh giá phạm vi thiệt hại.

Bước 2: Xử lý nghĩa vụ pháp lý và bảo vệ quyền lợi

Rà soát dữ liệu bị ảnh hưởng, thực hiện nghĩa vụ thông báo theo quy định, trình báo cơ quan có thẩm quyền khi cần thiết và đánh giá các yêu cầu bồi thường của khách hàng, đối tác trên cơ sở chứng cứ.

Bước 3: Khôi phục và phòng ngừa tái diễn

Khôi phục hệ thống từ nguồn sao lưu an toàn, thay đổi thông tin xác thực, rà soát lỗ hổng bảo mật và xây dựng kế hoạch ứng phó sự cố. Đồng thời, định kỳ kiểm tra hệ thống, đào tạo nhân viên và đánh giá các điều khoản bảo mật trong hợp đồng kinh doanh.

GÓC NHÌN CHUYÊN GIA

Một cuộc tấn công mạng có thể làm tê liệt hoạt động kinh doanh, gây thất thoát tài sản và ảnh hưởng nghiêm trọng đến uy tín doanh nghiệp. Tuy nhiên, hậu quả có thể được hạn chế nếu doanh nghiệp phản ứng nhanh, bảo toàn chứng cứ và thực hiện đúng các nghĩa vụ pháp lý.

Điều quan trọng là không đồng nhất việc bị tấn công với việc đương nhiên có lỗi, nhưng cũng không sử dụng sự kiện hacker xâm nhập như một lý do mặc nhiên để từ chối mọi trách nhiệm.

Doanh nghiệp cần chủ động chứng minh những biện pháp bảo vệ đã triển khai, xác định chính xác nguyên nhân và phạm vi sự cố, đồng thời giải quyết quyền lợi của khách hàng và đối tác trên cơ sở pháp luật.

THÔNG ĐIỆP CỦA CHUYÊN GIA: An ninh mạng không chỉ là vấn đề công nghệ mà còn là vấn đề pháp lý và quản trị. Chuẩn bị trước một quy trình ứng phó sự cố có thể giúp doanh nghiệp giảm thiểu thiệt hại, bảo vệ dữ liệu và hạn chế tranh chấp phát sinh.

Nếu bạn hoặc tổ chức của bạn đang gặp phải những vướng mắc tương tự về sự cố an ninh mạng, dữ liệu bị đánh cắp hoặc trách nhiệm bồi thường thiệt hại do tấn công mạng, hãy liên hệ với chúng tôi qua website tuvanphapluattamlygiaoduc.vn hoặc hotline 0898.627.762 để được hỗ trợ kịp thời.