Trong quá trình chuyển đổi số, dữ liệu có thể trở thành tài sản quan trọng nhất của một doanh nghiệp. Chính vì vậy, ransomware – hình thức mã độc mã hóa hoặc làm mất khả năng truy cập dữ liệu rồi yêu cầu nạn nhân trả tiền chuộc – đang đặt doanh nghiệp trước một bài toán không chỉ về công nghệ mà còn về pháp lý.

Giả sử một Startup Việt Nam đang vận hành hệ thống dữ liệu tại nhiều quốc gia bất ngờ bị hacker xâm nhập. Toàn bộ cơ sở dữ liệu bị mã hóa, hệ thống kinh doanh trên nhiều thị trường bị đình trệ. Hacker gửi thông báo yêu cầu doanh nghiệp chuyển 5 triệu USD bằng tiền điện tử để nhận khóa giải mã, đồng thời đe dọa công khai dữ liệu khách hàng nếu doanh nghiệp không thanh toán.

Khi đó, doanh nghiệp có bắt buộc phải trả tiền chuộc hay không? Việc trả 5 triệu USD có làm chấm dứt trách nhiệm pháp lý không? Nếu dữ liệu khách hàng bị đánh cắp, doanh nghiệp có phải thông báo cho cơ quan có thẩm quyền và khách hàng hay không?

I. TÓM TẮT TÌNH HUỐNG THỰC TẾ

Startup A của Việt Nam cung cấp nền tảng thương mại điện tử cho khách hàng tại Việt Nam, Singapore, Hoa Kỳ và một số quốc gia thuộc Liên minh châu Âu.

Hệ thống máy chủ của Startup A bị một nhóm hacker xâm nhập bằng ransomware.

Hacker mã hóa dữ liệu và khóa quyền truy cập vào hệ thống. Sau đó, nhóm này gửi yêu cầu:

Startup A phải thanh toán 5 triệu USD bằng tiền điện tử trong thời hạn 72 giờ để nhận khóa giải mã.

Hacker đồng thời tuyên bố đã sao chép một phần dữ liệu khách hàng và sẽ công khai dữ liệu nếu doanh nghiệp không thanh toán.

Startup A đứng trước ba vấn đề:

Một là có nên thanh toán khoản tiền chuộc 5 triệu USD hay không.

Hai là việc dữ liệu bị mã hóa và có khả năng bị đánh cắp có làm phát sinh trách nhiệm pháp lý của doanh nghiệp hay không.

Ba là nếu khách hàng ở EU bị ảnh hưởng, Startup A có phải thực hiện nghĩa vụ theo GDPR hay không.

II. GÓC NHÌN PHÁP LÝ – “LÁ CHẮN VỮNG CHẮC”

1. Quy định của pháp luật

1.1. Ransomware là sự cố an ninh mạng

Theo khoản 17 Điều 2 Luật An ninh mạng năm 2025, được định nghĩa, “sự cố an ninh mạng” là sự việc bất ngờ xảy ra trên không gian mạng xâm phạm an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Luật An ninh mạng năm 2025, có hiệu lực từ ngày 01/07/2026, đồng thời xác định việc tấn công, xâm nhập, chiếm quyền điều khiển, làm sai lệch, gián đoạn, ngưng trệ, tê liệt hoặc phá hoại hệ thống thông tin là hành vi bị nghiêm cấm theo khoản 3 Điều 7.

Đối với ransomware, hành vi của hacker có thể đồng thời bao gồm xâm nhập trái phép, phát tán chương trình gây hại, mã hóa dữ liệu, làm gián đoạn hệ thống và đòi tiền để khôi phục quyền truy cập.

1.2. Chủ quản hệ thống phải có biện pháp bảo vệ và ứng phó sự cố

Điều 10 Luật An ninh mạng năm 2025 quy định trách nhiệm, biện pháp bảo vệ đối với hệ thống thông tin, trong đó có việc triển khai các biện pháp lưu trữ, sao lưu bảo vệ an ninh thông tin mạng và an ninh của các thành tố cấu thành hệ thống thông tin; đồng thời phải ứng phó, khắc phục sự cố an ninh mạng theo phạm vi áp dụng.

Đặc biệt, Luật An ninh mạng năm 2025 xác định ứng phó, khắc phục sự cố an ninh mạng là một trong các biện pháp bảo vệ an ninh mạng tại điểm đ khoản 1 Điều 5.

Như vậy, khi hệ thống bị ransomware, doanh nghiệp không thể chỉ xem đây là vấn đề kỹ thuật của bộ phận IT mà phải kích hoạt cơ chế ứng phó sự cố phù hợp.

1.3. Hành vi của hacker có thể bị xử lý hình sự

Hành vi xâm nhập trái phép vào hệ thống máy tính, phá hoại hoặc làm gián đoạn hoạt động của hệ thống có thể bị xem xét theo các quy định tương ứng của Bộ luật Hình sự năm 2015, được sửa đổi, bổ sung năm 2025.

Trong đó, Điều 289 Bộ luật Hình sự năm 2015, được sửa đổi, bổ sung năm 2025, điều chỉnh tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác.

Nghị quyết số 08/2021/NQ-UBTVQH15 cũng đã giải thích phạm vi hành vi xâm nhập trái phép tại khoản 1 Điều 289, bao gồm trường hợp vượt qua cảnh báo, mã truy cập, tường lửa, sử dụng quyền quản trị của người khác hoặc phương thức khác để xâm nhập trái phép.

Nếu hacker đồng thời làm tê liệt hoặc gây rối loạn hoạt động của hệ thống máy tính, các quy định hình sự khác về hành vi cản trở, gây rối loạn hoặc gây thiệt hại cho hoạt động của mạng máy tính, mạng viễn thông cũng có thể được xem xét tùy vào hành vi và hậu quả thực tế.

1.4. Doanh nghiệp không mặc nhiên phải trả 5 triệu USD tiền chuộc

Không có quy định chung nào có thể được hiểu rằng cứ bị ransomware thì doanh nghiệp bắt buộc phải trả tiền chuộc cho hacker để lấy lại dữ liệu.

Khoản 5 triệu USD về bản chất là yêu cầu của người tấn công.

Doanh nghiệp phải đánh giá đồng thời:

khả năng khôi phục dữ liệu từ bản sao lưu;

mức độ thiệt hại;

khả năng hacker thực sự sở hữu dữ liệu;

nguy cơ dữ liệu bị công khai;

nghĩa vụ với khách hàng;

nghĩa vụ báo cáo, thông báo sự cố;

và các rủi ro pháp lý liên quan đến giao dịch tiền điện tử.

Đặc biệt, thanh toán tiền chuộc không đồng nghĩa với việc doanh nghiệp đương nhiên được miễn trách nhiệm về sự cố dữ liệu.

1.5. Nếu dữ liệu cá nhân của khách hàng EU bị ảnh hưởng, GDPR có thể được áp dụng

Nếu Startup A thuộc phạm vi áp dụng của GDPR, việc ransomware làm mất quyền kiểm soát, làm lộ hoặc cho phép truy cập trái phép vào dữ liệu cá nhân có thể cấu thành personal data breach.

Điều 32 GDPR yêu cầu bên kiểm soát và bên xử lý dữ liệu phải áp dụng các biện pháp kỹ thuật và tổ chức phù hợp với mức độ rủi ro, bao gồm khả năng bảo đảm tính bảo mật, toàn vẹn, khả dụng và khả năng phục hồi của hệ thống, cũng như khả năng khôi phục quyền truy cập dữ liệu kịp thời sau sự cố kỹ thuật.

Theo khoản 1 Điều 33 GDPR, khi xảy ra vi phạm dữ liệu cá nhân, bên kiểm soát dữ liệu phải thông báo cho cơ quan giám sát có thẩm quyền không chậm trễ bất hợp lý và, khi khả thi, không muộn hơn 72 giờ kể từ khi biết về vi phạm, trừ trường hợp chứng minh được rằng vi phạm khó có khả năng gây rủi ro đối với quyền và tự do của cá nhân.

Cơ quan Bảo vệ Dữ liệu châu Âu cũng xác định ransomware có thể tạo thành personal data breach nếu dẫn tới việc dữ liệu cá nhân bị mất, phá hủy, thay đổi, tiết lộ hoặc truy cập trái phép.

2. Áp dụng vào tình huống

2.1. Hacker đang thực hiện hành vi tấn công chứ không phải tranh chấp dân sự với doanh nghiệp

Việc hacker yêu cầu Startup A chuyển 5 triệu USD để mở khóa dữ liệu không tạo ra một “hợp đồng mua bán khóa giải mã” thông thường.

Bản chất của tình huống là:

Hacker xâm nhập hệ thống;

mã hóa dữ liệu;

làm gián đoạn khả năng truy cập;

sau đó đưa ra yêu cầu thanh toán để khôi phục quyền truy cập.

Do đó, trọng tâm pháp lý trước tiên là hành vi tấn công và xâm nhập trái phép, chứ không phải việc doanh nghiệp có “vi phạm nghĩa vụ thanh toán” đối với hacker.

2.2. Việc dữ liệu bị khóa và dữ liệu bị đánh cắp phải được phân biệt

Đây là điểm rất quan trọng.

Trường hợp thứ nhất:

Hacker chỉ mã hóa dữ liệu nhưng chưa chứng minh được đã sao chép dữ liệu ra ngoài.

Trường hợp thứ hai:

Hacker vừa mã hóa vừa sao chép dữ liệu khách hàng.

Trường hợp thứ hai nghiêm trọng hơn về mặt quản trị dữ liệu bởi doanh nghiệp không chỉ mất khả năng truy cập mà còn có nguy cơ mất quyền kiểm soát đối với dữ liệu.

Nếu dữ liệu cá nhân bị truy cập hoặc tiết lộ trái phép, doanh nghiệp có thể phải thực hiện các nghĩa vụ pháp lý tương ứng, trong đó có nghĩa vụ thông báo theo GDPR nếu thuộc phạm vi áp dụng.

2.3. Trả 5 triệu USD không phải là giải pháp pháp lý duy nhất

Startup A có thể phải cân nhắc nhiều phương án đồng thời:

cô lập hệ thống bị nhiễm;

bảo toàn log và chứng cứ;

xác định phương thức xâm nhập;

khôi phục hệ thống từ bản sao lưu sạch;

đánh giá phạm vi dữ liệu bị truy cập;

thông báo cho các chủ thể có thẩm quyền khi pháp luật yêu cầu;

và phối hợp với cơ quan chức năng.

Việc có trả tiền hay không là một quyết định quản trị rủi ro đặc biệt nghiêm trọng. Nhưng dù lựa chọn phương án nào, doanh nghiệp vẫn phải tiếp tục thực hiện các nghĩa vụ pháp lý phát sinh từ sự cố.

2.4. Doanh nghiệp có thể phải chứng minh mình đã áp dụng biện pháp bảo vệ phù hợp

Nếu hacker xâm nhập thành công, câu hỏi pháp lý không chỉ là:

“Hacker có phạm tội hay không?”

mà còn có thể là:

“Doanh nghiệp đã thực hiện nghĩa vụ bảo vệ hệ thống và dữ liệu đến mức nào?”

Doanh nghiệp cần có khả năng chứng minh các biện pháp bảo vệ đã được triển khai, chẳng hạn như kiểm soát truy cập, phân quyền, sao lưu, giám sát, cập nhật hệ thống, bảo vệ tài khoản quản trị và phương án ứng phó sự cố.

Đối với hệ thống thuộc phạm vi điều chỉnh của Luật An ninh mạng năm 2025, pháp luật hiện hành đã đặt ra các yêu cầu về bảo vệ, sao lưu và ứng phó, khắc phục sự cố theo cấp độ và tính chất của hệ thống.

2.5. Nếu có khách hàng EU, thời hạn 72 giờ đặc biệt quan trọng

Giả sử Startup A phát hiện hacker đã truy cập cơ sở dữ liệu chứa thông tin của khách hàng tại Đức, Pháp và Hà Lan.

Nếu sự cố thuộc phạm vi GDPR và tạo ra rủi ro đối với quyền, tự do của cá nhân, Startup A phải đánh giá nghĩa vụ thông báo theo Điều 33 GDPR.

Mốc 72 giờ được tính từ thời điểm bên kiểm soát dữ liệu biết về personal data breach, chứ không phải từ thời điểm hacker gửi yêu cầu 5 triệu USD.

Nếu thông báo sau 72 giờ, GDPR yêu cầu phải giải thích lý do chậm trễ.

3. Kết luận pháp lý

Trong tình huống này, hacker là chủ thể thực hiện hành vi tấn công và tống tiền, còn Startup là nạn nhân của ransomware.

Doanh nghiệp không mặc nhiên có nghĩa vụ trả 5 triệu USD chỉ vì hacker đưa ra yêu cầu.

Tuy nhiên, doanh nghiệp cũng không thể cho rằng mình hoàn toàn không có trách nhiệm pháp lý chỉ vì mình là nạn nhân.

Nếu sự cố làm mất, phá hủy, mã hóa, truy cập hoặc tiết lộ dữ liệu cá nhân, doanh nghiệp có thể phát sinh các nghĩa vụ về bảo vệ dữ liệu, ứng phó sự cố, thông báo và khắc phục hậu quả tùy theo pháp luật áp dụng.

Đặc biệt, nếu Startup có hoạt động liên quan đến dữ liệu cá nhân của người tại EU và thuộc phạm vi GDPR, nghĩa vụ thông báo vi phạm dữ liệu trong thời hạn 72 giờ có thể trở thành vấn đề cấp bách, bên cạnh việc khôi phục hệ thống.

III. GÓC NHÌN TÂM LÝ – GIÁO DỤC – QUẢN TRỊ – “CHÌA KHÓA NHÂN VĂN”

1. Đối với Ban lãnh đạo

Khi toàn bộ hệ thống bị khóa, lãnh đạo doanh nghiệp thường chịu áp lực rất lớn vì mỗi giờ hệ thống ngừng hoạt động có thể gây thiệt hại về doanh thu, khách hàng và uy tín.

Chính áp lực đó có thể khiến doanh nghiệp đưa ra quyết định trả tiền chuộc ngay lập tức.

Tuy nhiên, quyết định trong tình trạng khẩn cấp cần được đặt trong một quy trình ứng phó sự cố đã được chuẩn bị trước, thay vì chỉ phụ thuộc vào quyết định của một cá nhân.

2. Đối với bộ phận IT

Ransomware thường khiến bộ phận IT phải đồng thời xử lý hai nhiệm vụ: khôi phục hoạt động và bảo toàn chứng cứ.

Nếu kỹ thuật viên vội vàng xóa máy chủ, cài lại hệ thống hoặc xóa log mà không bảo toàn dữ liệu phục vụ điều tra, doanh nghiệp có thể mất những chứng cứ quan trọng về phương thức xâm nhập và phạm vi thiệt hại.

3. Đối với khách hàng

Khách hàng không chỉ quan tâm hệ thống có được mở khóa hay không.

Họ còn quan tâm:

Dữ liệu của mình có bị đánh cắp không?

Thông tin nào đã bị truy cập?

Có nguy cơ bị công khai không?

Doanh nghiệp đã áp dụng biện pháp gì để ngăn chặn?

Do đó, quản trị khủng hoảng ransomware phải đồng thời giải quyết vấn đề kỹ thuật, pháp lý và niềm tin của khách hàng.

IV. GIẢI PHÁP TOÀN DIỆN CỦA CHUYÊN GIA NGUYỄN HỮU LONG

Bước 1: Cô lập và bảo toàn chứng cứ

Ngay khi phát hiện ransomware, doanh nghiệp cần kích hoạt phương án ứng cứu sự cố, cô lập các hệ thống bị ảnh hưởng và hạn chế việc mã độc tiếp tục lan rộng.

Đồng thời cần bảo toàn log, lịch sử truy cập, mẫu mã độc, email, địa chỉ ví tiền điện tử, thông báo tống tiền và các dữ liệu liên quan.

Bước 2: Đánh giá phạm vi dữ liệu bị ảnh hưởng

Doanh nghiệp phải xác định:

Hệ thống nào đã bị xâm nhập;

dữ liệu nào đã bị mã hóa;

dữ liệu nào có khả năng bị sao chép;

có dữ liệu cá nhân hay không;

có dữ liệu khách hàng quốc tế hay không;

và quốc gia nào có chủ thể dữ liệu bị ảnh hưởng.

Nếu có dữ liệu cá nhân thuộc phạm vi GDPR, cần lập tức đánh giá nghĩa vụ theo Điều 33 và Điều 34 GDPR.

Bước 3: Khôi phục hoạt động và xử lý trách nhiệm pháp lý

Doanh nghiệp cần ưu tiên khôi phục hệ thống từ các bản sao lưu an toàn, thay đổi thông tin xác thực có nguy cơ bị lộ, vá lỗ hổng và tăng cường kiểm soát truy cập.

Song song với đó, doanh nghiệp cần phối hợp với cơ quan chức năng và các đơn vị chuyên môn để điều tra nguồn tấn công.

Nếu hacker đã xâm nhập trái phép, hành vi có thể được xem xét theo các quy định hình sự tương ứng, trong đó có Điều 289 Bộ luật Hình sự năm 2015, được sửa đổi, bổ sung năm 2025. Nghị quyết số 08/2021/NQ-UBTVQH15 hiện vẫn là văn bản giải thích khoản 1 Điều 289.

GÓC NHÌN CHUYÊN GIA

Một cuộc tấn công ransomware trị giá 5 triệu USD không chỉ là câu chuyện “có trả tiền hay không”.

Đó là một cuộc khủng hoảng đồng thời về an ninh mạng, dữ liệu, hoạt động kinh doanh, chứng cứ và trách nhiệm pháp lý.

Doanh nghiệp cần phân biệt rõ hai vấn đề:

Hacker phải chịu trách nhiệm về hành vi tấn công, xâm nhập và tống tiền.

Doanh nghiệp phải chịu trách nhiệm về việc bảo vệ, quản trị và xử lý dữ liệu trong phạm vi nghĩa vụ pháp luật áp dụng.

Hai vấn đề này tồn tại song song.

Đặc biệt, việc trả tiền chuộc để lấy lại quyền truy cập không xóa bỏ nghĩa vụ bảo vệ dữ liệu hoặc nghĩa vụ thông báo vi phạm dữ liệu nếu những nghĩa vụ đó đã phát sinh.

Đối với doanh nghiệp hoạt động toàn cầu, một kế hoạch ứng phó ransomware tốt phải được xây dựng trước khi cuộc tấn công xảy ra, bao gồm cơ chế sao lưu, khôi phục, bảo toàn chứng cứ, thông báo sự cố, quản trị truyền thông và phân công trách nhiệm giữa Ban lãnh đạo – IT – pháp chế – bảo vệ dữ liệu.

THÔNG ĐIỆP CỦA CHUYÊN GIA

Ransomware có thể khóa hệ thống trong vài phút, nhưng hậu quả pháp lý và uy tín có thể kéo dài nhiều năm.

Vì vậy, doanh nghiệp không nên chỉ đầu tư vào “tường lửa” hay phần mềm chống virus, mà cần xây dựng một cơ chế quản trị sự cố an ninh mạng hoàn chỉnh, trong đó dữ liệu, con người, công nghệ và pháp lý được xử lý như một hệ thống thống nhất.

Nếu bạn hoặc tổ chức của bạn đang gặp phải những vướng mắc tương tự về đất đai hoặc học đường, hãy liên hệ ngay với chúng tôi qua hotline hoặc để lại câu hỏi tại hệ thống website tuvanphapluattamlygiaoduc.vn hoặc qua số hotline: 0898.627.762 để được hỗ trợ kịp thời.