TÌNH HUỐNG SỐ 433: STARTUP CÔNG NGHỆ FINTECH HUY ĐỘNG VỐN THEO MÔ HÌNH CHO VAY NGANG HÀNG (P2P), BỊ SẬP HỆ THỐNG MÁY CHỦ DO HACKER TẤN CÔNG LÀM MẤT SẠCH TIỀN TÀI KHOẢN NGƯỜI DÙNG?

I. TÓM TẮT TÌNH HUỐNG THỰC TẾ

Tình huống giả định:

Công ty Fintech X là một startup công nghệ được thành lập để vận hành nền tảng cho vay ngang hàng (P2P Lending). Công ty xây dựng ứng dụng cho phép người có tiền nhàn rỗi đăng ký làm bên cho vay, người có nhu cầu vốn đăng ký làm bên đi vay. Nền tảng công nghệ của Công ty X thực hiện xác minh thông tin, kết nối hai bên, hỗ trợ giao kết hợp đồng điện tử và theo dõi khoản vay.

Để thu hút khách hàng, Công ty quảng cáo rằng hệ thống được bảo mật bằng công nghệ hiện đại, giao dịch nhanh chóng, lợi nhuận cao và an toàn.

Tin tưởng vào quảng cáo, nhiều người dân đã đưa tiền vào hệ thống. Trong đó có ông Nguyễn Văn A, cư trú tại xã B, tỉnh C, đã sử dụng phần lớn khoản tiền tiết kiệm của gia đình để tham gia cho vay thông qua nền tảng P2P của Công ty X.

Ông A còn giới thiệu nền tảng này cho một số người hàng xóm. Một số hộ gia đình trong xóm cũng tham gia với số tiền từ vài chục đến vài trăm triệu đồng.

Sau một thời gian hoạt động, Công ty X bất ngờ bị hacker tấn công. Hacker xâm nhập vào hệ thống máy chủ, chiếm quyền truy cập một số tài khoản quản trị, làm gián đoạn hệ thống và khiến dữ liệu giao dịch bị thay đổi. Một lượng lớn tiền của người dùng bị chuyển khỏi các tài khoản liên quan hoặc không thể xác định được trạng thái.

Công ty X thông báo:

“Đây là sự cố do hacker tấn công từ bên ngoài. Công ty cũng là nạn nhân nên không chịu trách nhiệm đối với khoản tiền bị mất.”

Thông báo này lập tức khiến hàng nghìn người dùng hoang mang.

Riêng tại xã B, ông Nguyễn Văn A bị nhiều người hàng xóm tìm đến yêu cầu trả lại tiền vì chính ông là người đã giới thiệu họ tham gia nền tảng. Một số người cho rằng ông A “biết rõ công ty lừa đảo nhưng vẫn rủ mọi người đầu tư”. Hai gia đình hàng xóm phát sinh cãi vã, thậm chí có nguy cơ xảy ra xô xát.

Ông A cho rằng mình cũng là nạn nhân và không thể lấy tiền gia đình để trả cho người khác.

Từ đó phát sinh ba nhóm vấn đề:

Thứ nhất, hacker có phải là người duy nhất chịu trách nhiệm hay Công ty X cũng phải chịu trách nhiệm?

Thứ hai, người dùng có được yêu cầu Công ty X bồi thường toàn bộ số tiền bị mất hay không?

Thứ ba, trong quan hệ giữa ông Nguyễn Văn A và những người hàng xóm, ai phải chịu trách nhiệm và có thể hòa giải như thế nào?

Đây không chỉ là một sự cố công nghệ mà còn là bài toán về lòng tham vật chất, quản trị rủi ro tài sản cá nhân, trách nhiệm pháp lý của doanh nghiệp Fintech và kỹ năng hòa giải cộng đồng.

II. GÓC NHÌN PHÁP LÝ – “LÁ CHẮN VỮNG CHẮC”

2.1. Trước hết phải xác định: Startup P2P có phải là tổ chức tín dụng không?

Đây là vấn đề pháp lý đặc biệt quan trọng.

Luật Các tổ chức tín dụng số 32/2024/QH15 điều chỉnh việc thành lập, tổ chức, hoạt động của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài và một số chủ thể liên quan.

Do đó, nếu Công ty X chỉ là một doanh nghiệp Fintech cung cấp nền tảng kết nối người vay và người cho vay thì không thể mặc nhiên coi Công ty X là ngân hàng hoặc tổ chức tín dụng.

Điều này dẫn đến một nguyên tắc rất quan trọng:

Không được sử dụng danh nghĩa “Fintech”, “P2P Lending”, “nền tảng tài chính” để suy diễn rằng doanh nghiệp có đầy đủ quyền của một tổ chức tín dụng.

Đồng thời, người dùng cũng không thể mặc nhiên hiểu rằng:

“Đưa tiền vào ứng dụng P2P thì Nhà nước hoặc ngân hàng sẽ bảo đảm tiền cho mình.”

Đây là nhận thức sai lầm rất nguy hiểm.

2.2. Hoạt động P2P hiện nay phải đặt trong khuôn khổ pháp lý nào?

Một điểm mới rất đáng chú ý là Nghị định 94/2025/NĐ-CP của Chính phủ về Cơ chế thử nghiệm có kiểm soát trong lĩnh vực ngân hàng, có hiệu lực từ ngày 01/7/2025, đã xác định cho vay ngang hàng là một trong các giải pháp Fintech được tham gia cơ chế thử nghiệm.

Theo Nghị định này, giải pháp P2P là giải pháp công nghệ thông tin do công ty cho vay ngang hàng cung cấp nhằm kết nối thông tin và hỗ trợ giao kết hợp đồng giữa bên đi vay và bên cho vay trên nền tảng số.

Đáng chú ý, Công ty P2P tham gia cơ chế thử nghiệm chỉ được cung cấp giải pháp trong phạm vi Giấy chứng nhận tham gia Cơ chế thử nghiệm.

Như vậy, nếu Công ty X hoạt động P2P nhưng không thuộc phạm vi pháp lý cho phép hoặc thực hiện hoạt động vượt quá phạm vi được cấp phép/thử nghiệm thì đây là vấn đề phải được cơ quan quản lý xem xét độc lập.

2.3. Công ty X có được trực tiếp “ôm” tiền của khách hàng hay không?

Đây là điểm đặc biệt quan trọng khi giải quyết tình huống.

Nghị định 94/2025/NĐ-CP quy định đối với giải pháp P2P trong cơ chế thử nghiệm, việc giải ngân, thanh toán khoản vay, lãi, phí phải thực hiện thông qua tài khoản thanh toán của khách hàng tại tổ chức tín dụng, chi nhánh ngân hàng nước ngoài hoặc ví điện tử của khách hàng tại tổ chức cung ứng dịch vụ trung gian thanh toán.

Điều đó cho thấy mô hình P2P được pháp luật thiết kế theo hướng:

Nền tảng công nghệ chủ yếu làm nhiệm vụ kết nối – hỗ trợ giao kết – quản lý thông tin, chứ không phải tùy tiện trở thành nơi tập trung và quản lý tiền của tất cả người dùng.

Vì vậy, nếu Công ty X đã tự mình tập trung tiền của hàng nghìn người dùng vào một hệ thống ví hoặc tài khoản trung gian do Công ty kiểm soát, cần phải kiểm tra rất kỹ:

• Công ty có được phép thực hiện việc đó không?
• Tiền của khách hàng được quản lý theo cơ chế nào?
• Có tách biệt tài sản của khách hàng với tài sản doanh nghiệp không?
• Có cơ chế đối soát không?
• Có sao lưu dữ liệu không?
• Có hệ thống dự phòng độc lập không?
• Có kiểm thử an ninh trước khi vận hành không?

Nếu các biện pháp bảo vệ tài sản và dữ liệu không được thực hiện đúng yêu cầu, việc hacker tấn công không đương nhiên giúp Công ty X được miễn trách nhiệm.

2.4. Công ty P2P phải có hệ thống kỹ thuật dự phòng

Nghị định 94/2025/NĐ-CP đặt ra yêu cầu đối với nền tảng P2P về hệ thống công nghệ thông tin, lưu trữ thông tin, vận hành an toàn và liên tục; đặc biệt phải có hệ thống kỹ thuật dự phòng độc lập với hệ thống chính để hạn chế gián đoạn khi xảy ra sự cố kỹ thuật, công nghệ.

Ngoài ra, dữ liệu khách hàng phải được lưu trữ an toàn, bảo mật, sao lưu dự phòng và bảo đảm tính đầy đủ, toàn vẹn để phục vụ kiểm tra, đối chiếu, giải quyết tra soát, khiếu nại và tranh chấp.

Do đó, trong vụ việc của Công ty X, câu hỏi pháp lý không chỉ là:

“Hacker có tấn công hay không?”

Mà còn phải hỏi:

“Tại sao một cuộc tấn công lại có thể làm mất hoặc không thể khôi phục dữ liệu và tài sản của khách hàng?”

Nếu Công ty X không sao lưu dữ liệu, không có máy chủ dự phòng, không kiểm soát quyền truy cập, không giám sát giao dịch bất thường hoặc có lỗ hổng bảo mật nghiêm trọng thì có thể phát sinh trách nhiệm của chính doanh nghiệp.

2.5. Luật An ninh mạng đặt vấn đề trách nhiệm bảo vệ hệ thống

Luật An ninh mạng số 24/2018/QH14 có hiệu lực từ ngày 01/01/2019 và quy định về hoạt động bảo vệ an ninh quốc gia, bảo đảm trật tự, an toàn xã hội trên không gian mạng cũng như trách nhiệm của cơ quan, tổ chức, cá nhân có liên quan.

Luật cũng xác định sự cố an ninh mạng là sự việc bất ngờ xảy ra trên không gian mạng xâm phạm quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Vì vậy, khi hệ thống Fintech bị hacker tấn công, Công ty X không thể chỉ đưa ra một thông báo:

“Do hacker nên công ty không chịu trách nhiệm.”

Doanh nghiệp phải chứng minh mình đã xây dựng và vận hành các biện pháp bảo vệ phù hợp, đồng thời thực hiện đầy đủ nghĩa vụ ứng phó, khắc phục và báo cáo theo pháp luật chuyên ngành áp dụng.

Đặc biệt, Nghị định 94/2025/NĐ-CP quy định khi phát hiện sự cố gây gián đoạn hoạt động hoặc rủi ro nghiêm trọng, tổ chức tham gia cơ chế thử nghiệm phải báo cáo ngay cho Ngân hàng Nhà nước trong thời hạn quy định và thực hiện báo cáo bằng văn bản sau khi hoàn thành xử lý, khắc phục sự cố.

2.6. Công ty có phải bồi thường toàn bộ tiền bị mất không?

Không thể trả lời một cách máy móc rằng:

“Hacker lấy tiền thì Công ty phải trả 100%.”

Nhưng cũng không thể chấp nhận lập luận:

“Hacker lấy tiền nên Công ty không phải chịu bất kỳ trách nhiệm nào.”

Phải xác định:

1. Hợp đồng giữa Công ty X và khách hàng quy định gì?
2. Công ty có nghĩa vụ bảo mật, lưu trữ và bảo vệ dữ liệu đến đâu?
3. Công ty có thực hiện đầy đủ nghĩa vụ đó không?
4. Có lỗi quản trị, lỗi kỹ thuật hoặc lỗi bảo mật hay không?
5. Thiệt hại thực tế của từng khách hàng là bao nhiêu?
6. Hacker đã chiếm đoạt tài sản bằng phương thức nào?
7. Có lỗi của khách hàng trong việc bảo mật tài khoản hay không?
8. Sự cố có thực sự là sự kiện bất khả kháng hay chỉ là rủi ro kỹ thuật có thể phòng ngừa?

Bộ luật Dân sự 2015 quy định tại Điều 351 về trách nhiệm dân sự do vi phạm nghĩa vụ và Điều 360 về trách nhiệm bồi thường thiệt hại do vi phạm nghĩa vụ. Về nguyên tắc, khi có thiệt hại do vi phạm nghĩa vụ thì bên có nghĩa vụ phải bồi thường theo quy định pháp luật.

Nếu tranh chấp được xác định là trách nhiệm ngoài hợp đồng thì Điều 584 Bộ luật Dân sự 2015 đặt ra căn cứ phát sinh trách nhiệm bồi thường khi có hành vi xâm phạm tài sản, quyền và lợi ích hợp pháp của người khác gây thiệt hại. Điều 585 quy định nguyên tắc thiệt hại thực tế phải được bồi thường toàn bộ và kịp thời, đồng thời xem xét lỗi của các bên.

2.7. “Bị hacker tấn công” có phải đương nhiên là sự kiện bất khả kháng?

Không.

Đây là điểm mà doanh nghiệp Fintech cần đặc biệt lưu ý.

Một cuộc tấn công mạng chỉ có thể được xem xét dưới góc độ sự kiện bất khả kháng khi đáp ứng đầy đủ các điều kiện pháp luật về bất khả kháng và mối quan hệ nhân quả với thiệt hại.

Nếu doanh nghiệp:

• sử dụng hệ thống lỗi thời;
• không cập nhật bản vá;
• không phân quyền quản trị;
• không xác thực đa yếu tố;
• không sao lưu dữ liệu;
• không có máy chủ dự phòng;
• không giám sát giao dịch bất thường;
• biết có lỗ hổng nhưng không khắc phục;

thì việc hacker khai thác lỗ hổng có thể không còn đơn thuần là một “rủi ro khách quan”.

Nói cách khác:

Hacker có thể là người trực tiếp gây ra cuộc tấn công, nhưng doanh nghiệp vẫn có thể phải chịu trách nhiệm nếu chính sự cẩu thả trong quản trị rủi ro đã tạo điều kiện cho thiệt hại xảy ra hoặc làm thiệt hại nghiêm trọng hơn.

2.8. Trách nhiệm của hacker và trách nhiệm của Công ty X là hai vấn đề khác nhau

Cần tách hai quan hệ:

Quan hệ thứ nhất:

Hacker → Công ty X/khách hàng

Nếu hacker xâm nhập trái phép, chiếm quyền kiểm soát, sửa đổi dữ liệu hoặc chiếm đoạt tài sản thì hành vi của hacker có thể bị xử lý theo pháp luật hình sự tùy tính chất, mức độ và hậu quả.

Quan hệ thứ hai:

Công ty X → khách hàng

Đây là quan hệ hợp đồng và/hoặc trách nhiệm dân sự.

Việc hacker có thể bị truy cứu trách nhiệm không làm mất đi quyền của khách hàng yêu cầu Công ty X thực hiện nghĩa vụ của mình theo hợp đồng và pháp luật.

Hai trách nhiệm này có thể tồn tại song song.

2.9. Người dùng cũng phải quản trị rủi ro tài sản cá nhân

Đây là điểm rất quan trọng.

Không nên biến pháp luật thành một “tấm bảo hiểm vô hạn” cho mọi quyết định đầu tư.

Nghị định 94/2025/NĐ-CP quy định khách hàng sử dụng giải pháp Fintech phải nhận thức về rủi ro phát sinh trong quá trình thử nghiệm và tự chịu trách nhiệm đối với các rủi ro, tổn thất có thể xảy ra theo phạm vi pháp luật quy định.

Vì vậy, người dân phải hiểu:

Lợi nhuận càng cao không đồng nghĩa với rủi ro càng thấp.

Đặc biệt, không nên:

• bán đất để đưa toàn bộ tiền vào một nền tảng P2P;
• vay ngân hàng để đem đi cho vay lại;
• cầm cố tài sản gia đình để đầu tư;
• dùng tiền sinh hoạt thiết yếu để tìm kiếm lợi nhuận;
• tin vào lời giới thiệu của hàng xóm mà không tự kiểm tra pháp lý;
• hiểu nhầm P2P là tiền gửi ngân hàng.

Ngay cả trong cơ chế thử nghiệm, pháp luật cũng yêu cầu bên cho vay phải có nguồn tiền hợp pháp và không đi vay để cho vay lại.

2.10. Ông Nguyễn Văn A có phải trả tiền cho hàng xóm không?

Thông thường, không thể chỉ vì ông A giới thiệu nền tảng mà mặc nhiên buộc ông A trả lại tiền cho người hàng xóm.

Phải xác định ông A có:

• nhận tiền của hàng xóm hay không;
• đứng tên tài khoản hay không;
• cam kết bảo đảm lợi nhuận hay không;
• nói sai sự thật về pháp lý của Công ty X hay không;
• biết Công ty X có dấu hiệu gian dối nhưng vẫn cố ý lôi kéo người khác hay không;
• nhận hoa hồng dựa trên số tiền người khác nộp vào hay không.

Nếu ông A chỉ là một người dùng thông thường, không có cam kết bảo lãnh và bản thân cũng bị thiệt hại, trách nhiệm chính phải được xem xét giữa khách hàng và Công ty X, cũng như giữa khách hàng với người vay thực tế trong từng hợp đồng P2P.

Không nên biến một người hàng xóm thành “người bảo lãnh” chỉ vì họ đã giới thiệu một ứng dụng.

III. GÓC NHÌN TÂM LÝ – GIÁO DỤC – QUẢN TRỊ – “CHÌA KHÓA NHÂN VĂN”

3.1. Lòng tham vật chất có thể biến một khoản tiết kiệm thành “quả bom tài chính”

Điểm đáng suy ngẫm nhất trong tình huống này không nằm ở chiếc máy chủ.

Nó nằm ở tâm lý con người.

Khi một nền tảng quảng cáo:

“Lợi nhuận cao – dòng tiền ổn định – công nghệ hiện đại – đầu tư dễ dàng”

nhiều người có thể bỏ qua câu hỏi quan trọng:

“Nếu rủi ro xảy ra thì tài sản của tôi được bảo vệ bằng cơ chế nào?”

Lòng tham vật chất không phải lúc nào cũng biểu hiện bằng việc muốn chiếm đoạt tài sản của người khác.

Đôi khi nó biểu hiện rất đơn giản:

Muốn kiếm thật nhiều tiền trong thời gian thật ngắn.

Một người có 500 triệu đồng tiết kiệm có thể nghĩ:

“Gửi ngân hàng thì lãi ít, P2P cho lợi nhuận cao hơn, vậy tại sao không chuyển hết?”

Đó chính là lúc lòng tham đã vượt qua quản trị rủi ro.

 

3.2. Quản trị rủi ro tài sản cá nhân phải bắt đầu từ gia đình

Một nguyên tắc giáo dục tài chính rất quan trọng là:

“Không bỏ tất cả tài sản vào một nơi mà mình không kiểm soát được.”

Gia đình ông Nguyễn Văn A đáng lẽ phải chia tài sản thành các nhóm:

• tiền sinh hoạt;
• quỹ dự phòng;
• tiền phục vụ học tập, chữa bệnh và nhu cầu thiết yếu;
• tài sản dài hạn;
• phần vốn có thể chấp nhận rủi ro.

Chỉ phần cuối cùng mới nên được cân nhắc cho các khoản đầu tư có rủi ro cao.

Không nên sử dụng toàn bộ tài sản gia đình để chạy theo lợi nhuận.

3.3. Hàng xóm không phải là “cơ chế bảo hiểm”

Một trong những vấn đề nguy hiểm nhất của vụ việc là tâm lý:

“Ông A giới thiệu tôi tham gia thì ông A phải chịu trách nhiệm.”

Tâm lý này rất dễ phá vỡ tình làng nghĩa xóm.

Nếu không có căn cứ pháp lý về bảo lãnh, cam kết trả tiền hoặc hành vi vi phạm pháp luật của ông A, việc chuyển toàn bộ trách nhiệm tài chính từ Công ty X sang ông A là không hợp lý.

Càng nguy hiểm hơn nếu hàng xóm:

• chửi bới;
• đe dọa;
• xúc phạm;
• gây áp lực lên gia đình;
• đòi lấy tài sản;
• gây mất trật tự.

Thiệt hại tài chính không nên biến thành xung đột cộng đồng.

3.4. Hòa giải xóm giềng phải tách “nỗi đau” khỏi “trách nhiệm pháp lý”

Người mất tiền có quyền tức giận.

Ông A cũng có quyền đau khổ vì chính ông cũng mất tiền.

Do đó, trong hòa giải cần nói rõ:

“Người giới thiệu không đồng nghĩa với người bảo lãnh.”

Nếu ông A không nhận tiền của hàng xóm, không bảo đảm lợi nhuận và không có hành vi gian dối thì không thể chỉ vì quan hệ hàng xóm mà buộc ông phải lấy tài sản cá nhân để bù đắp.

Ngược lại, nếu ông A thực sự biết nền tảng có dấu hiệu lừa đảo, cố tình đưa thông tin sai lệch hoặc cam kết chắc chắn rằng người khác sẽ không mất tiền thì cần xem xét trách nhiệm của ông A theo đúng hành vi thực tế.

3.5. Giáo dục tài chính phải đi cùng giáo dục pháp luật

Một người dân khi tham gia Fintech không chỉ cần biết: “Lợi nhuận bao nhiêu?”

mà cần biết ít nhất 7 câu hỏi:

1. Công ty là ai?
2. Có tư cách pháp lý gì?
3. Có thuộc cơ chế thử nghiệm hay không?
4. Tiền của tôi nằm ở đâu?
5. Ai quản lý dòng tiền?
6. Nếu hacker tấn công thì ai chịu trách nhiệm?
7. Tôi có thể yêu cầu ai khiếu nại, tra soát và bồi thường?

Nếu không trả lời được 7 câu hỏi này thì không nên đưa toàn bộ tài sản vào nền tảng.

IV. GIẢI PHÁP TOÀN DIỆN CỦA CHUYÊN GIA NGUYỄN HỮU LONG

4.1. Đối với Công ty Fintech X: “Không được trốn sau chiếc mặt nạ hacker”

Theo quan điểm của Chuyên gia Nguyễn Hữu Long, sau khi xảy ra sự cố, việc đầu tiên của Công ty X không phải là tìm cách phủi trách nhiệm mà phải:

Bước 1: Khóa và bảo toàn hệ thống

• cô lập máy chủ bị xâm nhập;
• bảo toàn log hệ thống;
• khóa các tài khoản quản trị nghi vấn;
• ngăn giao dịch bất thường;
• bảo toàn chứng cứ điện tử;
• không tự ý xóa dữ liệu.

Bước 2: Xác định chính xác số tiền thiệt hại

Phải lập danh sách:

• từng tài khoản;
• số dư trước sự cố;
• giao dịch phát sinh;
• giao dịch nghi vấn;
• số tiền đã bị chuyển;
• số tiền còn khả năng thu hồi;
• số tiền thực tế bị mất.

Không thể giải quyết tranh chấp bằng một thông báo chung chung: “Hệ thống gặp sự cố.”

4.2. Công ty phải khẩn trương báo cáo cơ quan có thẩm quyền

Nếu thuộc phạm vi Cơ chế thử nghiệm theo Nghị định 94/2025/NĐ-CP, khi xảy ra sự cố gây gián đoạn hoặc rủi ro nghiêm trọng, doanh nghiệp phải thực hiện nghĩa vụ báo cáo theo quy định của Nghị định.

Đồng thời cần phối hợp với cơ quan chức năng để:

• điều tra nguồn tấn công;
• truy tìm dòng tiền;
• phong tỏa tài khoản nhận tiền bất hợp pháp nếu có căn cứ;
• khôi phục dữ liệu;
• xác định người thực hiện hành vi xâm nhập.

4.3. Công ty phải giải quyết quyền lợi khách hàng theo từng trường hợp

Không nên áp dụng một công thức:

“Hacker lấy tiền → công ty không chịu trách nhiệm.”

Cũng không nên áp dụng máy móc:

“Hệ thống của công ty bị hack → công ty phải trả toàn bộ ngay lập tức.”

Cần phân loại:

Nhóm 1:

Thiệt hại hoàn toàn do hành vi tấn công từ bên ngoài, doanh nghiệp đã áp dụng đầy đủ biện pháp an ninh và không có lỗi.

Nhóm 2:

Doanh nghiệp có lỗi một phần trong quản trị hệ thống.

Nhóm 3:

Doanh nghiệp vi phạm nghiêm trọng nghĩa vụ bảo mật, lưu trữ, sao lưu, quản trị dữ liệu.

Nhóm 4:

Có dấu hiệu nhân viên hoặc người quản trị nội bộ thông đồng với hacker.

Nhóm 5:

Khách hàng cũng có lỗi, chẳng hạn để lộ mật khẩu, mã xác thực hoặc chủ động cung cấp thông tin bảo mật cho đối tượng giả mạo.

Mỗi nhóm phải được xác định trách nhiệm khác nhau.

4.4. Khách hàng phải lập hồ sơ chứng minh thiệt hại

Ông Nguyễn Văn A và những người tham gia P2P cần:

• lưu hợp đồng điện tử;
• chụp màn hình số dư;
• lưu lịch sử giao dịch;
• sao kê ngân hàng;
• email, tin nhắn xác nhận giao dịch;
• thông tin khoản vay;
• chứng từ chuyển tiền;
• thông báo của Công ty X;
• bằng chứng về các khoản tiền đã bị chuyển bất thường.

Sau đó gửi yêu cầu tra soát và khiếu nại bằng văn bản cho Công ty X.

Nếu không được giải quyết, có thể cân nhắc các phương thức:

thương lượng → hòa giải → khởi kiện dân sự, đồng thời phối hợp với cơ quan chức năng nếu có dấu hiệu tội phạm.

4.5. Hòa giải giữa ông A và hàng xóm phải được tiến hành ngay

Chuyên gia Nguyễn Hữu Long đề xuất một nguyên tắc:

“Giải quyết tiền bạc bằng pháp luật – giải quyết tình làng nghĩa xóm bằng đối thoại.”

Tại cuộc hòa giải, cần xác định rõ:

Một: Ông A không mặc nhiên là người bảo lãnh cho Công ty X.

Hai: Người hàng xóm có quyền yêu cầu ông A cung cấp thông tin về việc giới thiệu nền tảng.

Ba: Nếu ông A có hành vi gian dối thì phải xem xét trách nhiệm theo hành vi cụ thể.

Bốn: Nếu ông A chỉ giới thiệu dựa trên niềm tin của bản thân và cũng bị thiệt hại thì không nên ép ông A bán tài sản để trả tiền thay Công ty.

Năm: Mọi tranh chấp phải được đưa về đúng chủ thể chịu trách nhiệm, tránh biến hàng xóm thành đối tượng để trút giận.

4.6. “Ba không” trong quản trị tài sản cá nhân

Chuyên gia Nguyễn Hữu Long khuyến nghị mỗi gia đình nên ghi nhớ:

KHÔNG 1:

Không dùng tiền thiết yếu của gia đình để đầu tư rủi ro cao.

KHÔNG 2:

Không vay tiền để đầu tư chỉ vì nghe người khác nói lợi nhuận cao.

KHÔNG 3:

Không biến quan hệ họ hàng, bạn bè, hàng xóm thành “bảo lãnh miệng” cho một nền tảng tài chính.

4.7. “Năm lớp lá chắn” cho doanh nghiệp Fintech

Một startup P2P muốn phát triển bền vững cần xây dựng ít nhất 5 lớp bảo vệ:

Lớp 1 – Pháp lý:
Xác định đúng mô hình, giấy phép, phạm vi hoạt động và nghĩa vụ đối với khách hàng.

Lớp 2 – Công nghệ:
Mã hóa, xác thực đa yếu tố, phân quyền, giám sát, kiểm thử xâm nhập và cập nhật bảo mật.

Lớp 3 – Dữ liệu:
Sao lưu độc lập, lưu trữ an toàn, bảo đảm tính toàn vẹn và khả năng phục hồi dữ liệu.

Lớp 4 – Tài chính:
Minh bạch dòng tiền, đối soát, kiểm soát tài khoản và phân tách trách nhiệm.

Lớp 5 – Con người:
Đào tạo nhân viên, kiểm soát quyền quản trị, phòng ngừa gian lận nội bộ và xây dựng quy trình ứng phó sự cố.

Nghị định 94/2025/NĐ-CP hiện cũng đặt ra yêu cầu về hệ thống kỹ thuật dự phòng, an toàn liên tục, lưu trữ và sao lưu dữ liệu đối với công ty P2P tham gia cơ chế thử nghiệm.

KẾT LUẬN

Tình huống Công ty Fintech X bị hacker tấn công làm mất tiền người dùng cho thấy một thực tế:

Trong nền kinh tế số, tài sản không chỉ có thể mất vì một tên trộm cầm dao; tài sản còn có thể biến mất chỉ bằng một lỗ hổng bảo mật.

Nhưng pháp luật không nhìn sự việc theo cách đơn giản: “Có hacker = doanh nghiệp vô tội.”

Cũng không phải:

“Mất tiền = doanh nghiệp phải trả ngay toàn bộ.”

Trách nhiệm phải được xác định trên cơ sở hợp đồng, nghĩa vụ pháp lý, mức độ tuân thủ quy định về an ninh mạng, cơ chế vận hành P2P, lỗi của các bên, quan hệ nhân quả và thiệt hại thực tế.

Đặc biệt, đối với P2P Lending, Nghị định 94/2025/NĐ-CP đã tạo ra một khuôn khổ thử nghiệm có kiểm soát, trong đó đặt ra các yêu cầu đáng chú ý về hệ thống công nghệ, dự phòng, lưu trữ dữ liệu, báo cáo sự cố và bảo vệ quyền lợi khách hàng.

Còn đối với người dân, bài học lớn nhất không phải là: “Đừng đầu tư Fintech.”

mà là:

“Đừng bao giờ để lòng tham lợi nhuận vượt qua khả năng quản trị rủi ro tài sản của chính mình.”

Và trong cộng đồng dân cư, cần nhớ:

Một ứng dụng có thể làm mất tiền, nhưng đừng để một ứng dụng làm mất luôn tình làng nghĩa xóm.

Pháp luật cần được sử dụng để xác định ai phải chịu trách nhiệm; hòa giải cần được sử dụng để bảo vệ tình người; còn giáo dục tài chính phải giúp mỗi cá nhân hiểu rằng tài sản của mình trước hết phải được chính mình quản trị một cách có trách nhiệm.

GÓC NHÌN CHUYÊN GIA:

Bài viết này được xây dựng dựa trên sự tham vấn, tư vấn chuyên môn của ThS. Nguyễn Hữu Long – Chuyên gia Lãnh đạo, Pháp lý, Tâm lý & Giáo dục. Với tư duy tích hợp đa ngành, chúng tôi không chỉ mang lại lá chắn pháp lý vững chắc mà còn cung cấp giải pháp quản trị rủi ro và thấu cảm tâm lý toàn diện vì sự phát triển bền vững của cộng đồng.

Nếu bạn hoặc tổ chức của bạn đang gặp phải những vướng mắc về pháp lý hãy liên hệ ngay với chúng tôi qua hotline hoặc để lại câu hỏi cho chuyên gia tại: https://tuvanphapluattamlygiaoduc.vn/gui-cau-hoi-den-chuyen-gia/ hoặc qua số hotline: 0898.627.762 để được hỗ trợ kịp thời.