TÌNH HUỐNG 790: CÔNG TY BỊ HACK HỆ THỐNG THANH TOÁN?

Trong bối cảnh doanh nghiệp ngày càng phụ thuộc vào hệ thống thanh toán điện tử, chỉ một sự cố an ninh mạng cũng có thể làm gián đoạn hoạt động kinh doanh, gây thiệt hại tài chính và ảnh hưởng nghiêm trọng đến uy tín của doanh nghiệp. Khi hệ thống bị xâm nhập trái phép, doanh nghiệp không chỉ cần khẩn trương khắc phục sự cố mà còn phải xác định trách nhiệm pháp lý, bảo vệ quyền lợi khách hàng và hạn chế những tổn thất tiếp theo. Vậy khi công ty bị hack hệ thống thanh toán, doanh nghiệp cần xử lý như thế nào để vừa bảo đảm an toàn giao dịch, vừa tuân thủ pháp luật?

1. Tóm tắt tình huống

Công ty TNHH Minh An kinh doanh thiết bị điện tử và sử dụng hệ thống thanh toán trực tuyến để tiếp nhận tiền từ khách hàng. Trong một ngày đầu tháng 10/2026, công ty phát hiện tài khoản quản trị hệ thống có dấu hiệu bị truy cập trái phép. Một số giao dịch không do công ty khởi tạo đã được thực hiện, khiến tiền trong tài khoản thanh toán bị chuyển đi; đồng thời, hệ thống ghi nhận nhiều lần đăng nhập bất thường.

Ngay sau khi phát hiện sự việc, công ty tạm ngừng một phần chức năng thanh toán để kiểm tra. Tuy nhiên, công ty chưa xác định được số tiền thiệt hại chính xác, nguồn gốc cuộc tấn công và liệu thông tin cá nhân của khách hàng có bị truy cập hay không. Một số khách hàng đã liên hệ yêu cầu giải thích về các giao dịch lạ và hoàn trả tiền.

Ban lãnh đạo công ty đang băn khoăn về trách nhiệm pháp lý, nghĩa vụ thông báo sự cố, khả năng thu hồi tiền và cách xử lý khi khách hàng yêu cầu bồi thường.

2. Phân tích dưới góc độ pháp lý

2.1. Trách nhiệm bảo đảm an ninh mạng và xử lý sự cố

Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026, là căn cứ pháp lý hiện hành cần được xem xét khi đánh giá trách nhiệm bảo vệ hệ thống thông tin của doanh nghiệp. Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015 đã hết hiệu lực kể từ thời điểm luật mới có hiệu lực. Vì vậy, không nên tiếp tục viện dẫn hai luật cũ như căn cứ pháp luật hiện hành độc lập cho tình huống này.

Căn cứ khoản 2 Điều 10 Luật An ninh mạng số 116/2025/QH15, chủ quản hệ thống thông tin có trách nhiệm thực hiện các biện pháp bảo vệ an ninh mạng tương ứng với cấp độ của hệ thống. Đối với Công ty Minh An, cần xác định cấp độ hệ thống thanh toán và trách nhiệm quản lý trực tiếp để đánh giá chính xác nghĩa vụ bảo vệ, giám sát và ứng phó khi xảy ra sự cố.

 

Công ty cần phối hợp với ngân hàng và đơn vị cung cấp dịch vụ thanh toán để khóa hoặc hạn chế các giao dịch có dấu hiệu bất thường, bảo toàn nhật ký truy cập, dữ liệu giao dịch và các chứng cứ điện tử liên quan. Việc tạm dừng chức năng thanh toán trong trường hợp cần thiết có thể giúp hạn chế thiệt hại, nhưng phải đi kèm phương án bảo đảm quyền lợi của khách hàng và duy trì hoạt động kinh doanh ở mức phù hợp.

2.2. Trách nhiệm hình sự đối với hành vi tấn công hệ thống

Nếu có căn cứ cho thấy người thực hiện đã cố ý truy cập trái phép vào hệ thống, chiếm quyền điều khiển, can thiệp dữ liệu hoặc sử dụng trái phép dịch vụ, hành vi có thể được xem xét theo Điều 289 Bộ luật Hình sự năm 2015, sửa đổi, bổ sung năm 2017 về tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác.

Trường hợp người phạm tội sử dụng mạng máy tính, mạng viễn thông hoặc phương tiện điện tử để chiếm đoạt tài sản, hành vi còn có thể được xem xét theo Điều 290 Bộ luật Hình sự nếu đáp ứng đầy đủ dấu hiệu cấu thành tội phạm. Việc áp dụng điều luật nào phải căn cứ vào phương thức thực hiện, mục đích, hậu quả và các tình tiết cụ thể của vụ việc; không thể chỉ dựa vào việc hệ thống bị hack để mặc nhiên kết luận có tội.

Do đó, Công ty Minh An nên lưu giữ chứng cứ và trình báo cơ quan công an khi có dấu hiệu tội phạm. Công ty không nên tự ý xóa dữ liệu, cài đặt lại toàn bộ hệ thống hoặc thỏa thuận với đối tượng tấn công theo cách có thể làm mất chứng cứ phục vụ điều tra.

2.3. Nghĩa vụ bảo vệ dữ liệu cá nhân của khách hàng

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026; Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành luật này cũng có hiệu lực từ ngày 01/01/2026. Đây là các văn bản cần được xem xét nếu sự cố làm lộ, mất hoặc khiến dữ liệu cá nhân của khách hàng bị truy cập trái phép.

Căn cứ Điều 23 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, nếu sự cố tấn công hệ thống làm phát sinh vi phạm về bảo vệ dữ liệu cá nhân thuộc trường hợp luật quy định, Công ty Minh An phải thực hiện nghĩa vụ thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn luật định, đồng thời phối hợp xử lý vi phạm và khắc phục hậu quả. Công ty cần kiểm tra phạm vi dữ liệu bị ảnh hưởng để xác định chính xác nghĩa vụ pháp lý phát sinh.

Trong vụ việc, công ty chưa xác định được dữ liệu khách hàng có bị truy cập hay không. Vì vậy, trước hết cần kiểm tra phạm vi dữ liệu bị ảnh hưởng, loại dữ liệu liên quan và nguy cơ thông tin bị sử dụng sai mục đích. Nếu phát hiện có sự cố liên quan đến dữ liệu cá nhân, công ty phải thực hiện nghĩa vụ xử lý, thông báo hoặc phối hợp với cơ quan có thẩm quyền theo đúng điều kiện, trình tự và thời hạn do pháp luật hiện hành quy định.

Công ty cũng cần thông tin kịp thời, rõ ràng cho khách hàng về những gì đã được xác minh, các biện pháp bảo vệ tài khoản và cách liên hệ để phản ánh giao dịch bất thường. Không nên khẳng định dữ liệu đã bị đánh cắp khi chưa có chứng cứ, nhưng cũng không được che giấu nguy cơ đã được xác định.

2.4. Trách nhiệm đối với thiệt hại tài chính và yêu cầu hoàn trả tiền

Theo các nguyên tắc về trách nhiệm bồi thường thiệt hại ngoài hợp đồng tại Điều 584 và Điều 585 Bộ luật Dân sự năm 2015, trách nhiệm bồi thường cần được xác định dựa trên hành vi, thiệt hại thực tế, quan hệ nhân quả và các căn cứ pháp luật liên quan.

Vì vậy, việc hệ thống thanh toán của công ty bị xâm nhập không đồng nghĩa công ty đương nhiên phải bồi thường toàn bộ mọi khoản tiền bị mất. Cần xác minh giao dịch được thực hiện từ tài khoản nào, ai có quyền kiểm soát tài khoản, cơ chế xác thực giao dịch ra sao, lỗi thuộc về chủ thể nào và thỏa thuận giữa khách hàng với công ty hoặc đơn vị cung cấp dịch vụ thanh toán quy định thế nào.

Nếu khách hàng bị trừ tiền trái phép, công ty cần phối hợp với ngân hàng hoặc đơn vị thanh toán để tra soát, yêu cầu phong tỏa hoặc thu hồi khoản tiền khi còn khả năng. Nếu xác định công ty có hành vi vi phạm nghĩa vụ và hành vi đó gây thiệt hại, trách nhiệm hoàn trả hoặc bồi thường sẽ được xem xét theo căn cứ pháp lý tương ứng. Ngược lại, nếu lỗi thuộc về bên cung cấp dịch vụ hoặc bên thứ ba, cần làm rõ trách nhiệm của từng chủ thể thay vì mặc nhiên quy toàn bộ thiệt hại cho công ty.

3. Góc nhìn từ tâm lý học, giáo dục và quản trị

Dưới góc độ tâm lý học: Sự cố thanh toán có thể khiến khách hàng lo lắng, mất niềm tin và nghi ngờ khả năng bảo vệ thông tin của doanh nghiệp. Nhân viên phụ trách hệ thống cũng có thể chịu áp lực khi phải xử lý sự cố trong thời gian ngắn. Vì vậy, công ty cần giao tiếp bình tĩnh, minh bạch, tránh đổ lỗi khi chưa xác minh đầy đủ và tạo điều kiện để khách hàng phản ánh vấn đề.

Dưới góc độ giáo dục: Sự cố cho thấy việc nâng cao nhận thức về an toàn thông tin cần được xem là hoạt động thường xuyên. Nhân viên cần được hướng dẫn nhận diện email giả mạo, bảo vệ mật khẩu, sử dụng xác thực nhiều yếu tố, kiểm soát quyền truy cập và báo cáo ngay khi phát hiện dấu hiệu bất thường. Đào tạo cần gắn với tình huống thực tế thay vì chỉ phổ biến lý thuyết.

Dưới góc độ quản trị: An ninh mạng không chỉ là nhiệm vụ của bộ phận công nghệ thông tin mà còn là vấn đề quản trị rủi ro của toàn doanh nghiệp. Công ty cần xác định rõ người chịu trách nhiệm khi xảy ra sự cố, xây dựng quy trình ứng phó, kiểm tra định kỳ hệ thống thanh toán và có phương án dự phòng để hạn chế gián đoạn kinh doanh. Đồng thời, cần rà soát hợp đồng với ngân hàng và nhà cung cấp công nghệ nhằm làm rõ trách nhiệm bảo mật, phối hợp xử lý sự cố và phân bổ rủi ro.

4. Giải pháp xử lý và phòng ngừa
5. Khẩn trương kiểm soát sự cố: Tạm khóa tài khoản hoặc chức năng có nguy cơ bị xâm nhập; phối hợp với ngân hàng và đơn vị thanh toán để rà soát giao dịch, hạn chế thiệt hại và bảo toàn chứng cứ điện tử.
6. Xác minh và trình báo: Thu thập nhật ký hệ thống, lịch sử giao dịch, dữ liệu đăng nhập và các thông tin liên quan; thuê đơn vị chuyên môn đánh giá lỗ hổng nếu cần thiết. Khi có dấu hiệu tội phạm, cần trình báo cơ quan có thẩm quyền.
7. Bảo vệ khách hàng: Thông báo rõ ràng về sự cố trong phạm vi đã xác minh, hướng dẫn khách hàng kiểm tra giao dịch và bảo vệ tài khoản; tiếp nhận yêu cầu tra soát, hoàn trả hoặc bồi thường để xử lý theo căn cứ pháp luật.
8. Rà soát nghĩa vụ pháp lý: Đánh giá liệu có dữ liệu cá nhân bị ảnh hưởng hay không và thực hiện các nghĩa vụ liên quan theo Luật Bảo vệ dữ liệu cá nhân năm 2025 cùng văn bản hướng dẫn hiện hành.
9. Tăng cường phòng ngừa: Thay đổi thông tin xác thực có nguy cơ bị lộ, áp dụng xác thực nhiều yếu tố, phân quyền truy cập, giám sát giao dịch bất thường, sao lưu dữ liệu và diễn tập phương án ứng phó sự cố định kỳ.
10. Hoàn thiện cơ chế quản trị rủi ro: Rà soát hợp đồng với đối tác thanh toán, xác định đầu mối xử lý khẩn cấp và xây dựng quy trình phân định trách nhiệm khi sự cố phát sinh từ hệ thống của công ty hoặc của bên cung cấp dịch vụ.
11. Quan điểm chuyên gia

Theo góc nhìn chuyên gia, sự cố bị xâm nhập hệ thống thanh toán cần được xử lý đồng thời trên ba phương diện: an toàn hệ thống, bảo vệ quyền lợi khách hàng và xác định trách nhiệm pháp lý. Doanh nghiệp không nên chỉ tập trung khôi phục hệ thống mà bỏ qua việc tra soát các giao dịch bất thường, bảo toàn chứng cứ và kiểm tra nguy cơ lộ dữ liệu cá nhân.

Điều quan trọng là phải phân biệt giữa thiệt hại thực tế và trách nhiệm pháp lý của từng bên. Công ty cần chủ động phối hợp với ngân hàng, đơn vị cung cấp dịch vụ thanh toán và cơ quan có thẩm quyền để làm rõ nguyên nhân, hạn chế thiệt hại và xử lý yêu cầu của khách hàng. Về lâu dài, đầu tư cho bảo mật, đào tạo nhân viên và xây dựng quy trình ứng phó sự cố là biện pháp thiết thực để bảo vệ tài sản, uy tín và sự phát triển bền vững của doanh nghiệp.

Kết luận

Sự cố bị hack hệ thống thanh toán không chỉ gây nguy cơ mất tiền mà còn đặt ra những vấn đề pháp lý về an ninh mạng, bảo vệ dữ liệu cá nhân và trách nhiệm đối với khách hàng. Doanh nghiệp cần xử lý nhanh chóng nhưng thận trọng, bảo toàn chứng cứ, phối hợp với các bên liên quan và chỉ xác định trách nhiệm khi có đủ căn cứ. Chủ động phòng ngừa và quản trị rủi ro sẽ giúp doanh nghiệp giảm thiểu thiệt hại, củng cố niềm tin của khách hàng và hạn chế nguy cơ xảy ra sự cố tương tự.