Lạng Sơn là tỉnh biên giới, cửa ngõ giao thương quan trọng, tập trung nhiều doanh nghiệp hoạt động trong lĩnh vực xuất nhập khẩu, logistics, vận tải, kho bãi, lưu trú và dịch vụ hỗ trợ cửa khẩu. Việc trao đổi hợp đồng, chứng từ, thông tin phương tiện và thanh toán trên môi trường điện tử tạo thuận lợi cho hoạt động kinh doanh, nhưng cũng tiềm ẩn nguy cơ doanh nghiệp bị giả mạo, chiếm đoạt tài sản hoặc vi phạm quy định về bảo vệ dữ liệu cá nhân.
Luật Giao dịch điện tử năm 2023 nghiêm cấm hành vi gian lận, giả mạo, chiếm đoạt hoặc sử dụng trái pháp luật tài khoản giao dịch điện tử; cản trở, can thiệp trái pháp luật vào quá trình tạo lập, gửi, nhận, lưu trữ thông điệp dữ liệu; thu thập, cung cấp, sử dụng, tiết lộ hoặc phát tán trái pháp luật thông điệp dữ liệu.
Bên cạnh đó, Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định rõ trách nhiệm của cơ quan, tổ chức, doanh nghiệp trong thu thập, xử lý và bảo vệ dữ liệu cá nhân. Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định cụ thể mức xử phạt đối với các hành vi vi phạm trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Do đó, doanh nghiệp không chỉ cần phòng ngừa nguy cơ bị lừa đảo mà còn phải rà soát hoạt động của chính mình, tránh để xảy ra những hành vi vi phạm pháp luật trong quá trình giao dịch, quản lý khách hàng và sử dụng dữ liệu.
Cảnh giác với yêu cầu thanh toán và thay đổi tài khoản thụ hưởng
Trong hoạt động xuất nhập khẩu, logistics và vận tải, doanh nghiệp thường xuyên trao đổi hợp đồng, hóa đơn, chứng từ hàng hóa, thông tin phương tiện, lịch trình giao nhận và yêu cầu thanh toán qua thư điện tử hoặc ứng dụng liên lạc trực tuyến.
Lợi dụng đặc điểm này, đối tượng xấu có thể thu thập thông tin công khai về doanh nghiệp, người đại diện, cán bộ kế toán, điều vận hoặc đối tác để xây dựng kịch bản giả mạo. Sau đó, chúng sử dụng địa chỉ thư điện tử, tài khoản mạng xã hội hoặc tên hiển thị gần giống tài khoản thật để yêu cầu chuyển tiền, thay đổi tài khoản thụ hưởng, bổ sung chứng từ hoặc truy cập đường dẫn giả mạo.
Tại địa bàn Lạng Sơn, nguy cơ này có thể xuất hiện dưới hình thức thông báo giả về phí lưu kho, lưu bãi, phí vận chuyển, lịch trình giao nhận hàng hóa, bổ sung giấy tờ, xác nhận phương tiện hoặc xử lý công việc được cho là “khẩn cấp” tại khu vực cửa khẩu. Việc đối tượng nắm được một phần thông tin về lô hàng, phương tiện hoặc cán bộ phụ trách dễ khiến người tiếp nhận mất cảnh giác.
Đáng chú ý, khi tài khoản thư điện tử hoặc ứng dụng trao đổi công việc của doanh nghiệp, đối tác bị chiếm quyền sử dụng, đối tượng có thể theo dõi quá trình giao dịch, lựa chọn thời điểm thanh toán rồi gửi thông báo thay đổi tài khoản nhận tiền. Nếu doanh nghiệp chỉ xác nhận lại trên chính tài khoản đã bị xâm nhập, khoản tiền có thể được chuyển đến tài khoản do đối tượng kiểm soát.
Sự phát triển của trí tuệ nhân tạo cũng làm gia tăng nguy cơ giả mạo hình ảnh, giọng nói và cuộc gọi video. Doanh nghiệp tuyệt đối không được coi giọng nói, hình ảnh hoặc khuôn mặt xuất hiện trong cuộc gọi trực tuyến là căn cứ duy nhất để phê duyệt chuyển tiền, cung cấp mã xác thực hoặc bỏ qua quy trình kiểm soát nội bộ.
Những dấu hiệu giả mạo yêu cầu thanh toán và các bước doanh nghiệp cần kiểm tra trước khi chuyển tiền trong giao dịch xuất nhập khẩu, logistics.
Không thực hiện giao dịch chỉ qua một kênh liên lạc
Khi nhận được yêu cầu thay đổi tài khoản thụ hưởng, điều chỉnh hợp đồng, phát sinh khoản phí bất thường hoặc chuyển tiền khẩn cấp, doanh nghiệp phải xác minh qua đầu mối chính thức đã được xác lập từ trước. Cán bộ phụ trách cần liên hệ theo số điện thoại được lưu trong hợp đồng hoặc hồ sơ đối tác, không sử dụng số điện thoại mới được cung cấp trong thư điện tử, tin nhắn có dấu hiệu đáng ngờ.
Đối với giao dịch qua biên giới, mọi thay đổi về người thụ hưởng, ngân hàng nhận tiền hoặc nội dung thanh toán cần được xác nhận bằng văn bản và kiểm tra qua ít nhất một kênh độc lập. Việc người gửi cung cấp đúng một số thông tin về doanh nghiệp, lô hàng hoặc phương tiện không đủ để khẳng định yêu cầu giao dịch là hợp pháp.
Doanh nghiệp không chuyển tiền vào tài khoản cá nhân khi hợp đồng và các giao dịch trước đó được thực hiện qua tài khoản của tổ chức, trừ trường hợp có đầy đủ căn cứ pháp lý, chứng từ và xác nhận chính thức. Không giao cho một cá nhân thực hiện toàn bộ các bước từ tiếp nhận yêu cầu, lập lệnh đến phê duyệt thanh toán. Đối với giao dịch có giá trị lớn, giao dịch quốc tế hoặc khoản thanh toán phát sinh ngoài hợp đồng, cần thực hiện kiểm tra chéo và phê duyệt của người có thẩm quyền.
Trường hợp sử dụng chữ ký điện tử, chữ ký số, doanh nghiệp phải quản lý chặt chẽ tài khoản, thiết bị và mã xác thực. Việc giao thiết bị ký số, mật khẩu hoặc mã xác thực cho người không có trách nhiệm có thể dẫn đến giả mạo giao dịch, phát sinh nghĩa vụ tài chính và tranh chấp pháp lý.
Không được tùy tiện thu thập, chia sẻ dữ liệu của khách hàng và người lao động
Qua hoạt động kinh doanh, doanh nghiệp tại Lạng Sơn có thể thu thập số căn cước, hộ chiếu, số điện thoại, địa chỉ, tài khoản ngân hàng, giấy phép lái xe, biển số phương tiện, lịch trình vận chuyển, thông tin người lao động, khách hàng và đối tác. Đây là dữ liệu cá nhân phải được quản lý, sử dụng đúng mục đích và bảo vệ theo quy định.
Một số sai phạm dễ phát sinh là thu thập dữ liệu vượt quá nhu cầu thực tế; sử dụng thông tin khách hàng cho mục đích quảng cáo khi chưa được đồng ý; gửi danh sách lái xe, khách hàng hoặc người lao động vào nhóm liên lạc không được kiểm soát; chuyển chứng từ có thông tin cá nhân cho đối tác không có trách nhiệm; công khai số điện thoại, căn cước, hộ chiếu hoặc tài khoản ngân hàng trên mạng xã hội; tiếp tục lưu giữ, sử dụng dữ liệu sau khi mục đích thu thập đã hoàn thành.
Theo khoản 1 Điều 43 Nghị định số 330/2026/NĐ-CP, hành vi xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý hợp lệ của chủ thể dữ liệu có thể bị phạt từ 30 triệu đồng đến 50 triệu đồng, trừ trường hợp pháp luật cho phép xử lý dữ liệu không cần sự đồng ý. Trường hợp tổ chức có cùng hành vi vi phạm, mức phạt về nguyên tắc bằng hai lần mức phạt đối với cá nhân theo Điều 7 Nghị định này.
Điều 49 Nghị định số 330/2026/NĐ-CP quy định phạt tiền từ 20 triệu đồng đến 30 triệu đồng đối với hành vi cung cấp dữ liệu cá nhân cho cơ quan, tổ chức, cá nhân khác khi chưa được chủ thể dữ liệu đồng ý, trừ trường hợp pháp luật có quy định khác. Nếu doanh nghiệp là tổ chức thực hiện hành vi vi phạm, mức phạt có thể từ 40 triệu đồng đến 60 triệu đồng; trường hợp liên quan đến dữ liệu cá nhân nhạy cảm, chế tài còn nghiêm khắc hơn.
Theo Điều 50 Nghị định này, hành vi công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp được phép công khai hoặc công khai vượt quá phạm vi cần thiết có thể bị phạt từ 20 triệu đồng đến 30 triệu đồng đối với cá nhân; mức phạt đối với tổ chức có cùng hành vi vi phạm bằng hai lần mức phạt đối với cá nhân. Người vi phạm còn có thể bị buộc thu hồi, xóa hoặc hạn chế quyền truy cập đối với dữ liệu đã công khai trái quy định.
Vì vậy, doanh nghiệp kinh doanh xuất nhập khẩu, vận tải, kho bãi, lưu trú và dịch vụ cửa khẩu không được tùy tiện chụp, sao lưu hoặc chuyển tiếp giấy tờ của khách hàng, lái xe, người lao động cho bên thứ ba; không sử dụng dữ liệu thu được từ một giao dịch để quảng cáo, môi giới hoặc phục vụ mục đích khác khi chưa có căn cứ hợp pháp.
Mua bán dữ liệu khách hàng có thể bị xử phạt rất nặng
Luật Bảo vệ dữ liệu cá nhân năm 2025 nghiêm cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác; đồng thời nghiêm cấm chiếm đoạt, cố ý làm lộ, làm mất hoặc sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật.
Doanh nghiệp, hộ kinh doanh không được mua các danh sách được quảng cáo là “dữ liệu khách hàng”, “dữ liệu chủ doanh nghiệp”, “danh sách lái xe”, “khách hàng xuất nhập khẩu”, “dữ liệu người vay” hoặc “khách hàng theo khu vực cửa khẩu” để gọi điện, gửi tin nhắn hoặc quảng cáo sản phẩm, dịch vụ.
Nghị định số 330/2026/NĐ-CP quy định mức phạt đối với hành vi mua, bán dữ liệu cá nhân có thể được xác định bằng nhiều lần khoản thu có được từ hành vi vi phạm. Đối với hành vi mua, bán số lượng lớn dữ liệu cá nhân, mức phạt có thể lên đến hàng trăm triệu đồng hoặc hàng tỷ đồng, kèm theo biện pháp tịch thu phương tiện, buộc xóa, hủy dữ liệu và nộp lại khoản thu bất hợp pháp.
Tùy theo tính chất, mức độ và hậu quả, hành vi sử dụng mạng máy tính, mạng viễn thông hoặc phương tiện điện tử để chiếm đoạt tài sản, mua bán trái phép thông tin tài khoản ngân hàng hoặc thực hiện hành vi vi phạm khác còn có thể bị xem xét trách nhiệm hình sự.
Doanh nghiệp có trách nhiệm thông báo khi xảy ra sự cố dữ liệu
Khi phát hiện thư điện tử, tài khoản quản trị, phần mềm kế toán, ngân hàng điện tử hoặc hệ thống lưu trữ bị xâm nhập, doanh nghiệp không chỉ phải ngăn chặn thiệt hại về tài sản mà còn phải kiểm tra nguy cơ lộ, mất dữ liệu cá nhân.
Nghị định số 330/2026/NĐ-CP quy định xử phạt đối với hành vi không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân khi phát hiện vi phạm; xử lý dữ liệu sai mục đích hoặc không bảo đảm quyền của chủ thể dữ liệu. Hành vi thông báo chậm hơn 72 giờ đối với sự cố gây tổn hại hoặc có khả năng gây tổn hại đến quyền, lợi ích hợp pháp của chủ thể dữ liệu cũng có thể bị xử phạt.
Do đó, khi xảy ra sự cố, doanh nghiệp cần kịp thời cô lập tài khoản hoặc thiết bị bị xâm nhập, thay đổi thông tin xác thực, lưu giữ nhật ký hệ thống và chứng cứ điện tử, đánh giá phạm vi dữ liệu bị ảnh hưởng, thông báo cho cơ quan có thẩm quyền và cho chủ thể dữ liệu trong trường hợp pháp luật yêu cầu. Không nên tự ý xóa thư điện tử, tin nhắn, tệp đính kèm hoặc nhật ký truy cập vì đây có thể là tài liệu phục vụ xác minh, điều tra.
Siết chặt kiểm soát nội bộ để phòng ngừa vi phạm
Người đứng đầu doanh nghiệp cần chịu trách nhiệm tổ chức rà soát quy trình tài chính, kế toán, giao dịch điện tử và bảo vệ dữ liệu; xác định rõ người đề nghị, người kiểm tra và người phê duyệt đối với từng khoản thanh toán.
Dữ liệu về hợp đồng, hàng hóa, khách hàng, người lao động, tài khoản ngân hàng, lịch trình phương tiện và chứng từ xuất nhập khẩu phải được phân loại và phân quyền truy cập theo vị trí việc làm. Doanh nghiệp không sử dụng chung tài khoản; cần đặt mật khẩu mạnh, bật xác thực nhiều lớp và kịp thời thu hồi tài khoản, thiết bị, quyền truy cập khi người lao động chuyển vị trí hoặc nghỉ việc.
Không tải hợp đồng, hồ sơ khách hàng, giấy tờ xuất nhập cảnh, danh sách lái xe hoặc dữ liệu nội bộ lên công cụ trí tuệ nhân tạo, trang chuyển đổi tệp và kho lưu trữ trực tuyến khi chưa đánh giá điều kiện bảo mật. Đồng thời, cần hạn chế công khai tên, số điện thoại cá nhân của cán bộ kế toán, người có thẩm quyền phê duyệt, lịch công tác của lãnh đạo và quy trình thanh toán vì những thông tin này có thể bị khai thác để xây dựng kịch bản giả mạo.
Các nguy cơ vi phạm và biện pháp bảo vệ dữ liệu cá nhân của lái xe, khách hàng, người lao động tại doanh nghiệp.
Khi phát hiện yêu cầu giao dịch có dấu hiệu giả mạo, doanh nghiệp cần dừng chuyển tiền, không truy cập đường dẫn, không mở tệp đính kèm và không tiếp tục cung cấp thông tin. Nếu đã chuyển tiền, cần liên hệ ngay với ngân hàng để đề nghị kiểm tra, áp dụng biện pháp xử lý phù hợp; đồng thời trình báo cơ quan Công an nơi gần nhất.
Công an tỉnh Lạng Sơn đề nghị các doanh nghiệp thường xuyên tập huấn cho cán bộ làm công tác kế toán, tài chính, nhân sự, xuất nhập khẩu, logistics và công nghệ thông tin; chủ động cập nhật phương thức, thủ đoạn mới; xây dựng phương án ứng phó với sự cố và kiểm tra định kỳ việc chấp hành quy định về bảo vệ dữ liệu cá nhân.
Bảo đảm an toàn trong giao dịch điện tử không chỉ là nhiệm vụ của bộ phận công nghệ thông tin mà trước hết là trách nhiệm của người đứng đầu doanh nghiệp. Việc duy trì quy trình xác minh độc lập, kiểm soát nhiều lớp và quản lý chặt chẽ dữ liệu sẽ góp phần bảo vệ tài sản, uy tín của doanh nghiệp, phòng ngừa vi phạm pháp luật và xây dựng môi trường đầu tư, kinh doanh an toàn, lành mạnh trên địa bàn biên giới.
Kiều Oanh, Công an tỉnh