1. Bật xác minh hai bước cho email, tài khoản thanh toán và mạng xã hội; ưu tiên xác nhận bằng cửa sổ bật trên điện thoại, sau đó mới đến mã xác minh qua tin nhắn
Mức chứng cứ A · không tốn tiền · ít thời gian · không cần ý chí · lợi ích lớn · tiền bạc
Chi phí:
Không tốn tiền. Mỗi tài khoản chỉ cần cài một lần, hai ba phút là xong.
Nói dễ hiểu:
Xác minh hai bước nghĩa là khi đăng nhập, ngoài mật khẩu bạn phải xác nhận thêm một lần xem có đúng là bạn không. Cách hiện một cửa sổ trên điện thoại để bạn bấm xác nhận chặn được hơn chín phần mười số vụ lừa lấy tài khoản. Mã xác minh gửi qua tin nhắn thì dễ bị lừa lấy hơn cửa sổ bật trên máy. Với cách cũ là trả lời câu hỏi như «lần trước bạn đăng nhập ở đâu» hay «email dự phòng là gì», thì tỷ lệ chặn được các vụ lừa lấy tài khoản chỉ còn một phần mười.
Lợi ích:
Google đã thống kê 350.000 lần thử lấy cắp tài khoản có thật (còn gọi là chiếm đoạt tài khoản). Một nhóm dùng thiết bị để xác minh, ví dụ hiện cửa sổ trên điện thoại để bạn bấm xác nhận, hoặc cắm một khóa bảo mật vào máy. Nhóm này chặn được «hơn 94% số lần chiếm đoạt bắt nguồn từ lừa đảo giả mạo và 100% số lần chiếm đoạt tự động». Lừa đảo giả mạo là dụ bạn nhập mật khẩu vào một trang web giả. Chiếm đoạt tự động là máy dùng mật khẩu bị lộ đem thử hàng loạt. Nhóm còn lại xác minh bằng cách hỏi câu hỏi, ví dụ hỏi lần trước bạn đăng nhập ở đâu, email dự phòng là gì. Nhóm này «chỉ chặn được có 10% số lần chiếm đoạt do lừa đảo giả mạo và 73% số lần chiếm đoạt tự động». Cùng là xác minh bằng thiết bị, nhưng mã xác minh qua tin nhắn yếu hơn cửa sổ bật trên điện thoại. Kẻ lừa đảo trả lời đúng 4% số mã xác minh gửi qua tin nhắn, còn với cửa sổ bật trên máy thì chỉ lừa được 1%. Trong các vụ tấn công nhắm riêng vào một người, tin nhắn chỉ chặn được 76%, cửa sổ bật trên máy chặn được 90%.
Nguồn:
Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481
Ghi chú:
Cùng nghiên cứu đó cũng thấy cách xác minh này đôi khi chặn nhầm cả chính chủ. 52% người dùng thật lần đầu không đăng nhập được, nhưng cuối cùng 97% vẫn vào được. Bạn nên bật tính năng này cho hòm thư trước, vì phần lớn tài khoản khác đều lấy lại được mật khẩu qua email. Mã xác minh chỉ dùng cho chính mình; còn đọc mã hộ hay quét mặt hộ người khác phải gánh hậu quả gì thì xem mục 45 phần 8 (đọc mã xác minh).
2. Để mật khẩu email riêng một cái, không trùng với bất kỳ trang web nào
Mức chứng cứ C · không tốn tiền · ít thời gian · cần chút ý chí · lợi ích lớn · tiền bạc
Chi phí:
Không tốn tiền. Bạn giao cho trình quản lý mật khẩu lưu hộ thì không phải tự nhớ. Cái khó là bỏ được thói quen dùng một mật khẩu cho mọi nơi.
Nói dễ hiểu:
Mật khẩu bị lộ ở trang khác sẽ có người đem thử đăng nhập thẳng vào email của bạn. Email mà bị người khác vào được thì mọi tài khoản lấy lại mật khẩu qua email đó đều mất theo. Vì vậy mật khẩu email phải để riêng một cái, không dùng ở chỗ nào khác.
Lợi ích:
Lấy tài khoản và mật khẩu bị lộ ở nơi khác đem thử đăng nhập từng chỗ một, cách này gọi là «nhồi mật khẩu». Email của bạn cũng sẽ bị thử theo cách đó. Email mà bị người khác vào được thì mọi tài khoản dùng nó để lấy lại mật khẩu đều mất cùng lúc. Cơ quan An ninh mạng và An toàn hạ tầng Mỹ khuyên mỗi tài khoản dùng một mật khẩu mạnh khác nhau, dài ít nhất 16 ký tự, rồi giao cho trình quản lý mật khẩu lưu giữ.
Ghi chú:
Không nhớ nổi thì dùng trình quản lý mật khẩu có sẵn trong trình duyệt. Nó nhớ mật khẩu từng trang cho bạn, tốt hơn nhiều so với dùng một mật khẩu ở khắp nơi. Đừng lưu mật khẩu trong mục Yêu thích của WeChat hay trong ứng dụng ghi chú.
3. Đặt mật khẩu khóa màn hình cho điện thoại, đặt mã PIN cho thẻ SIM
Mức chứng cứ C · không tốn tiền · ít thời gian · không cần ý chí · lợi ích lớn · tiền bạc
Chi phí:
Không tốn tiền. Mật khẩu khóa màn hình và mã PIN, mỗi thứ chỉ cần đặt một lần.
Nói dễ hiểu:
Thẻ SIM là tấm thẻ nhỏ trong điện thoại, mã xác minh gửi qua tin nhắn được nhận bằng thẻ này. Khi mất điện thoại, người nhặt được có thể rút tấm thẻ ra, cắm sang máy khác để nhận mã xác minh rồi lần lượt đặt lại mật khẩu các tài khoản của bạn. Nếu bạn đặt mã PIN cho thẻ thì khi thẻ sang máy khác, vừa mở máy đã phải nhập mã này trước, con đường đó bị chặn.
Lợi ích:
Sau khi mất điện thoại, đường nhanh nhất của người nhặt được là cắm thẻ SIM sang máy khác để nhận mã xác minh gửi qua tin nhắn. Có mã xác minh trong tay, người đó lần lượt đặt lại được từng tài khoản của bạn. Thẻ SIM đã đặt mã PIN thì khi cắm sang máy khác, vừa mở máy đã phải nhập mã, người nhặt được không dùng nó nhận mã xác minh được nữa. Bộ Công nghiệp và Công nghệ thông tin Trung Quốc tháng 10 năm 2020 đã thông báo một vụ có thật. Sau khi điện thoại của một người dùng bị trộm, người này không báo mất thẻ điện thoại kịp thời, tạo thời gian cho kẻ xấu lợi dụng. Kẻ xấu dùng «số điện thoại cộng mã xác minh» đăng nhập một ứng dụng dịch vụ công, lấy được số căn cước công dân và các thông tin khác của người dùng. Chúng tiếp đó đổi mật khẩu dịch vụ điện thoại. Người dùng về sau báo mất thẻ, chúng lại dùng lời lẽ lừa nhân viên chăm sóc khách hàng của nhà mạng để mở lại thẻ. Cuối cùng chúng lợi dụng lỗ hổng «tìm lại mật khẩu» của một nền tảng cho vay trực tuyến, đặt lại mật khẩu thanh toán và lừa lấy tiền vay. Bộ Công nghiệp và Công nghệ thông tin Trung Quốc nhân vụ này nhắc người dùng đặt mã SIM kịp thời, mất điện thoại thì báo mất ngay. Còn mật khẩu khóa màn hình, Ủy ban Truyền thông Liên bang Mỹ khuyên đặt một mật khẩu mạnh để hạn chế người khác dùng máy. Khi điện thoại bị mất hoặc bị trộm, mật khẩu này ngăn người khác dùng bừa làm phát sinh chi phí, và cũng ngăn dữ liệu cá nhân của bạn bị lạm dụng.
Ghi chú:
Mã PIN đặt ở mục «Khóa thẻ SIM» trong phần cài đặt của điện thoại. Mã ban đầu khi xuất xưởng thường là 1234 hoặc 0000. Nhập sai ba lần liên tiếp thì phải dùng mã PUK do nhà mạng cấp mới mở được. Nên đặt xong thì ghi mã này ra giấy trước. Mục này xếp mức C vì cả hai nguồn đều là khuyến cáo chính thức, cộng thêm một vụ cá biệt, chưa có nghiên cứu nào tính được đặt mã PIN thì mất ít tiền hơn bao nhiêu. Mất điện thoại thì làm gì trước, xem mục 4 (mất điện thoại làm theo thứ tự này).
4. Mất điện thoại thì làm theo thứ tự này: báo mất thẻ SIM, khóa từ xa, đổi mật khẩu, báo cảnh sát, đóng băng thẻ ngân hàng
Mức chứng cứ C · không tốn tiền · ít thời gian · không cần ý chí · lợi ích lớn · tiền bạc
Chi phí:
Không tốn tiền. Làm trọn bộ mất mười mấy phút.
Nói dễ hiểu:
Đúng thứ tự quan trọng hơn nhanh tay. Bước đầu là báo mất thẻ SIM, con đường nhận mã xác minh bị cắt ngay. Tiếp đó khóa điện thoại từ xa, rồi dùng máy tính đổi mật khẩu email và mật khẩu thanh toán, sau đó báo cảnh sát lấy giấy tiếp nhận, cuối cùng tùy tình hình mà đóng băng thẻ ngân hàng. Điện thoại không ở bên mình thì mượn máy người khác gọi tổng đài nhà mạng cũng báo mất được.
Lợi ích:
Thứ tự quan trọng hơn tốc độ. Bước một, báo mất thẻ SIM thì người khác không nhận được mã xác minh của bạn nữa. Bước hai, khóa điện thoại từ xa và xóa sạch nội dung trong máy. Bước ba, đổi mật khẩu email và mật khẩu thanh toán trên máy tính. Bước bốn, báo cảnh sát và lấy giấy tiếp nhận. Cuối cùng đóng băng thẻ ngân hàng nếu cần. Ủy ban Truyền thông Liên bang Mỹ cũng khuyên: dù chỉ nghĩ là làm mất, vẫn phải khóa từ xa. Bị trộm thì báo cảnh sát ngay, khai rõ kiểu máy và số IMEI (mã định danh của điện thoại), đồng thời báo ngay cho nhà mạng.
Ghi chú:
Chỉ áp dụng ở Trung Quốc: Ghi sẵn số tổng đài chăm sóc khách hàng của ba nhà mạng: China Mobile 10086, China Unicom 10010, China Telecom 10000. Bạn cũng nên ghi lại số điện thoại của mình đăng ký ở thành phố nào, vì tổng đài sẽ hỏi. Dùng điện thoại của người khác vẫn gọi tổng đài báo mất được.
5. Thẻ bị kẻ gian quẹt trộm thì báo mất, đóng băng trước, rồi báo cảnh sát, sau đó yêu cầu ngân hàng bồi thường: chứng minh «chính bạn quẹt» là trách nhiệm của ngân hàng
Mức chứng cứ A · không tốn tiền · ít thời gian · cần chút ý chí · lợi ích lớn · tiền bạc
Chi phí:
Không tốn tiền. Thấy thẻ có động tĩnh không đúng, báo mất hoặc đóng băng ngay. Giữ lại biên bản báo cảnh sát, giấy báo mất và thông báo giao dịch ngân hàng gửi đến. Nếu thẻ vẫn ở bên mình, hãy tra cứu hoặc gửi, rút một khoản nhỏ ở chỗ gần nhất, để lại bản ghi chứng minh lúc xảy ra chuyện thẻ thật đang trong tay bạn. Cái khó là phải kìm mình lại, đừng tranh cãi với tổng đài trước, mà báo mất trước đã.
Nói dễ hiểu:
Khi thẻ bị quẹt trộm, trước tiên bạn phải đưa ra chứng cứ như biên bản báo cảnh sát, giấy báo mất. Nếu ngân hàng nói giao dịch này do chính bạn quẹt thì ngân hàng phải đưa chứng cứ; không đưa được thì phải bồi thường cho bạn. Điều kiện là bạn báo mất, đóng băng ngay khi phát hiện. Để lâu không báo mất thì phần thiệt hại phát sinh thêm bạn phải tự chịu.
Lợi ích:
Quy định của Tòa án nhân dân tối cao phân định rõ ai phải đưa chứng cứ. Nếu bạn nói đây là giao dịch bằng thẻ giả hoặc quẹt trộm qua mạng, bạn phải đưa chứng cứ trước. Quẹt trộm bằng thẻ giả là thẻ của bạn bị người khác sao chép thành một bản rồi đem quẹt. Những thứ sau đều là chứng cứ dùng được: văn bản pháp lý đã có hiệu lực, vị trí thẻ thật vào lúc giao dịch, nơi giao dịch xảy ra. Ngoài ra còn có sao kê giao dịch tài khoản, thông báo giao dịch, biên bản báo cảnh sát, giấy báo mất, v.v. Ngược lại, khi ngân hàng phát hành thẻ và tổ chức thanh toán phi ngân hàng (thanh toán bên thứ ba) nói giao dịch này do chính chủ thẻ quẹt hoặc do chủ thẻ ủy quyền, thì chúng phải đưa ra chứng cứ. Sau khi bạn đã thông báo cho ngân hàng, nếu ngân hàng không kịp xác minh, hoặc không kịp cung cấp, lưu giữ chứng từ giao dịch và băng ghi hình giám sát, khiến không lấy được chứng cứ, thì hậu quả của việc không có chứng cứ do ngân hàng chịu. Khi đã xác lập: chủ thẻ ghi nợ (thẻ tiết kiệm) có thể yêu cầu ngân hàng phát hành thẻ trả lại cả gốc lẫn lãi khoản tiền gửi bị quẹt trộm, đồng thời bồi thường thiệt hại. Chủ thẻ tín dụng có thể yêu cầu trả lại cả gốc lẫn lãi khoản tiền thấu chi bị trừ và tiền phạt vi phạm hợp đồng, đồng thời bồi thường thiệt hại; nếu ngân hàng quay lại đòi bạn trả khoản thấu chi này thì tòa án không chấp nhận. Bạn còn có thể yêu cầu ngân hàng phát hành thẻ kịp thời xóa bỏ hồ sơ tín dụng xấu tương ứng (toàn quốc, có hiệu lực từ ngày 25 tháng 5 năm 2021).
Ghi chú:
Chỉ áp dụng ở Trung Quốc: Có hai trường hợp bạn phải tự chịu trách nhiệm. Một là bạn không giữ gìn thẻ ngân hàng, mật khẩu, mã xác minh cẩn thận, bản thân có lỗi (nguyên văn là «chưa làm tròn nghĩa vụ giữ gìn thỏa đáng nên có lỗi»), lỗi bao nhiêu thì chịu bấy nhiêu. Vì vậy mật khẩu không nói cho người khác, mã xác minh không chuyển cho người khác (xem mục 1, xác minh hai bước ưu tiên xác nhận bằng cửa sổ bật trên điện thoại). Hai là không báo mất kịp thời, để thiệt hại tiếp tục lan rộng, phần phát sinh thêm bạn tự chịu. Vì vậy bước đầu tiên luôn là báo mất và đóng băng, đừng gọi tổng đài tranh cãi trước. Tổ chức thanh toán bên thứ ba cũng áp dụng bộ quy tắc này. Nếu tài liệu quảng cáo của họ có ghi «bồi thường trước», và cam kết cụ thể, rõ ràng, thì có thể căn cứ vào đó yêu cầu họ bồi thường trước. Còn tiền do bạn bị lừa nên tự chuyển đi thì phải đi theo cách khác, xem mục 2 phần 8 (phát hiện bị lừa thì gọi ngay 110 hoặc 96110 yêu cầu chặn thanh toán).
6. Thỉnh thoảng xem lại thiết bị đăng nhập và ứng dụng đã cấp quyền của tài khoản, cái nào không dùng thì gỡ đi
Mức chứng cứ C · không tốn tiền · ít thời gian · cần chút ý chí · lợi ích vừa · tiền bạc
Chi phí:
Không tốn tiền. Mỗi lần xem mất vài phút. Cái khó là không ai nhắc, phải tự nhớ mà vào xem.
Nói dễ hiểu:
«Thiết bị đăng nhập» là những điện thoại và máy tính hiện vẫn dùng được tài khoản của bạn. Nếu trong danh sách xuất hiện thiết bị bạn không quen, hoặc phần mềm đã lâu không dùng mà vẫn nối với tài khoản, thì đổi mật khẩu trước, rồi đăng xuất khỏi tất cả các nơi. Với email thì xem thêm một việc: có quy tắc chuyển tiếp tự động nào bạn không hề đặt hay không.
Lợi ích:
Danh sách thiết bị đăng nhập trong tài khoản ghi lại những điện thoại và máy tính hiện vẫn dùng được tài khoản này. Danh sách ứng dụng đã cấp quyền ghi lại những phần mềm của bên khác mà bạn đã cho phép đăng nhập bằng tài khoản này. Thiết bị lạ trong danh sách và phần mềm bên thứ ba đã lâu không dùng là những dấu vết dễ phát hiện nhất. Trung tâm An ninh mạng quốc gia Anh xếp «đăng nhập hoặc thử đăng nhập từ địa điểm lạ hay vào giờ bất thường» vào nhóm dấu hiệu phải kiểm tra khi tài khoản bị chiếm. Trung tâm này cũng nói kẻ phạm tội thường đặt một quy tắc chuyển tiếp trong email, để mỗi thư gửi cho bạn đều tự động gửi thêm một bản cho chúng, nhờ vậy chúng có được thứ để đặt lại mật khẩu của bạn. Trình tự xử lý mà trung tâm này đưa ra là: trước hết gỡ quy tắc chuyển tiếp không rõ, sau đó đổi mật khẩu, rồi đăng xuất tài khoản khỏi mọi thiết bị và ứng dụng. Đăng xuất xong thì người khác muốn dùng tài khoản của bạn phải nhập mật khẩu mới. Ủy ban Thương mại Liên bang Mỹ cũng khuyên: lấy lại tài khoản rồi thì đăng xuất khỏi mọi thiết bị, xóa những quy tắc chuyển tiếp không phải do bạn đặt.
Ghi chú:
WeChat, Alipay, hòm thư, tài khoản Apple và tài khoản Android đều có mục này. Phát hiện thiết bị không quen thì đổi mật khẩu trước, rồi bấm đăng xuất khỏi tất cả, đúng thứ tự mà Trung tâm An ninh mạng quốc gia Anh đưa ra. Mục này xếp mức C vì cả hai nguồn đều là hướng dẫn thao tác chính thức, chưa có nghiên cứu nào tính được kiểm tra định kỳ thì mất ít hơn bao nhiêu.
7. Đừng vì muốn dùng ứng dụng mà bấm «đồng ý tất cả»: thông tin không bắt buộc thì bạn không đồng ý, ứng dụng cũng không được từ chối phục vụ
Mức chứng cứ A · không tốn tiền · ít thời gian · cần chút ý chí · lợi ích vừa · tự do
Chi phí:
Không tốn tiền. Cái khó là phải kìm mình lại, đừng bấm «đồng ý tất cả».
Nói dễ hiểu:
Ứng dụng đòi thông tin của bạn, nếu thông tin đó không bắt buộc để cung cấp dịch vụ này, thì bạn không đồng ý cho, nó cũng không được lấy cớ đó mà không cho bạn dùng. Thứ nó được thu cũng chỉ giới hạn trong những gì cần dùng. Ứng dụng bản đồ đòi vị trí là bắt buộc, còn ứng dụng đèn pin đòi danh bạ thì không phải.
Lợi ích:
Luật ghi rõ hai điều. Một là không được lấy lý do cá nhân không đồng ý hoặc rút lại đồng ý để từ chối cung cấp sản phẩm hay dịch vụ; trừ trường hợp xử lý những thông tin đó là bắt buộc để cung cấp dịch vụ. Hai là việc thu thập phải giới hạn trong phạm vi tối thiểu để thực hiện mục đích xử lý, chỉ được thu những thứ cần dùng.
Ghi chú:
Chỉ áp dụng ở Trung Quốc: Tiêu chuẩn để phán đoán là thông tin đó có bắt buộc để cung cấp dịch vụ này hay không. Bản đồ đòi vị trí là bắt buộc, đèn pin đòi danh bạ thì không. Cài ứng dụng xong, vào trang quyền ứng dụng trong phần cài đặt của điện thoại, tắt những quyền không bắt buộc. Khi thật sự dùng đến thì chọn «chỉ lần này».
8. Bạn có quyền xem, sao chép, sửa và xóa thông tin cá nhân của mình; bị từ chối thì có thể khởi kiện
Mức chứng cứ A · không tốn tiền · ít thời gian · cần chút ý chí · lợi ích vừa · tự do
Chi phí:
Không tốn tiền. Chỉ khi bên kia kéo dài không làm thì mới phải đi khiếu nại hoặc khởi kiện. Kiện thật thì mất từ vài tháng trở lên, tiền luật sư còn phải tự trả, nên khiếu nại trước thì lợi hơn. Cái khó là khi bên kia kéo dài, bạn phải đi giục nhiều lần.
Nói dễ hiểu:
Bạn có quyền yêu cầu doanh nghiệp cho mình xem, sao chép, sửa và xóa thông tin của mình. Khi dịch vụ dừng, thời hạn lưu đã hết, hoặc bạn rút lại đồng ý, doanh nghiệp vốn phải tự xóa. Nếu doanh nghiệp từ chối bạn thì phải nói rõ lý do; nếu không làm, bạn có thể ra tòa kiện thẳng. Hủy tài khoản và xóa thông tin là hai việc khác nhau, hủy tài khoản xong vẫn phải đề nghị xóa riêng.
Lợi ích:
Có mấy trường hợp doanh nghiệp phải chủ động xóa: dịch vụ dừng, thời hạn lưu đã thỏa thuận hết, bạn rút lại đồng ý, mục đích thu thập ban đầu đã đạt được, v.v. Doanh nghiệp không xóa thì bạn có thể yêu cầu xóa. Nếu doanh nghiệp từ chối bạn thực hiện các quyền này thì phải nói rõ lý do. Bạn có thể khởi kiện thẳng ra tòa án.
Nguồn:
全国人大常委会 (2021). 个人信息保护法. 中国人大网. http://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html：第四十五条「个人有权向个人信息处理者查阅、复制其个人信息……个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供」；第四十六条更正、补充权；第四十七条列了五种应当主动删除的情形，含「（一）处理目的已实现、无法实现或者为实现处理目的不再必要」「（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满」「（三）个人撤回同意」，「个人信息处理者未删除的，个人有权请求删除」；第五十条「个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由」「个人可以依法向人民法院提起诉讼」
Ghi chú:
Chỉ áp dụng ở Trung Quốc: Hủy tài khoản và xóa thông tin cá nhân là hai việc khác nhau, hủy tài khoản xong vẫn phải đề nghị xóa riêng. Trước khi đổi điện thoại hoặc bán máy cũ, hãy đăng xuất mọi tài khoản trên máy cũ, gỡ hết liên kết, rồi khôi phục cài đặt gốc. Luật cho bạn quyền xóa sau khi sự việc đã xảy ra, luật không thể thu hồi lại những thứ đã bị lộ ra ngoài.
9. Quét mặt không phải việc bạn buộc phải đồng ý: có cách khác thì không được chỉ cho bạn quét mặt; bạn không đồng ý thì phải đưa cách khác
Mức chứng cứ A · không tốn tiền · ít thời gian · cần chút ý chí · lợi ích vừa · tiền bạc
Chi phí:
Không tốn tiền. Khi bị yêu cầu quét mặt, hỏi một câu «có cách xác minh nào khác không». Bên kia nói không có thì yêu cầu họ đưa ra một cách. Cái khó là phải mở lời hỏi ngay trước mặt.
Nói dễ hiểu:
Chỉ cần còn cách khác làm được cùng một việc, bên kia không được chỉ cho bạn quét mặt. Bạn không đồng ý quét mặt thì họ phải đưa cho bạn cách khác như quẹt thẻ, nhập mật khẩu hay xuất trình căn cước, và không được lấy câu «thế thì không làm được thủ tục» ra ép bạn. Ở phòng khách sạn, nhà tắm công cộng, phòng thay đồ công cộng, nhà vệ sinh, không ai được lắp thiết bị nhận diện khuôn mặt.
Lợi ích:
Biện pháp quản lý an toàn ứng dụng công nghệ nhận diện khuôn mặt ghi rõ: «Trường hợp đạt được cùng mục đích hoặc đáp ứng yêu cầu nghiệp vụ tương đương mà có cách thức kỹ thuật khác không dùng nhận diện khuôn mặt, thì không được lấy công nghệ nhận diện khuôn mặt làm cách xác minh duy nhất. Cá nhân không đồng ý xác minh danh tính bằng thông tin khuôn mặt thì phải cung cấp cách khác hợp lý, thuận tiện.» Biện pháp này cũng ghi rõ: «Không tổ chức, cá nhân nào được lấy lý do làm thủ tục nghiệp vụ, nâng cao chất lượng dịch vụ để dẫn dắt sai lệch, lừa dối, ép buộc cá nhân chấp nhận xác minh danh tính bằng công nghệ nhận diện khuôn mặt.» Nếu xử lý thông tin khuôn mặt dựa trên sự đồng ý của bạn thì phải có được «sự đồng ý riêng, tự nguyện và rõ ràng, đưa ra trên cơ sở đã được thông báo đầy đủ»: hỏi riêng bạn đúng việc này, bạn gật đầu riêng mới tính. Bạn có quyền rút lại đồng ý, bên xử lý phải cung cấp cách rút lại thuận tiện. Xử lý thông tin khuôn mặt của người chưa đủ mười bốn tuổi thì phải được cha mẹ hoặc người giám hộ khác đồng ý. Lắp thiết bị nhận diện khuôn mặt ở nơi công cộng thì «phải là cần thiết để bảo vệ an ninh công cộng», và phải đặt biển nhắc rõ ràng. Bên trong những không gian riêng tư ở nơi công cộng như phòng khách sạn, nhà tắm công cộng, phòng thay đồ công cộng, nhà vệ sinh công cộng, không tổ chức, cá nhân nào được lắp. Thông tin khuôn mặt phải lưu trong chính thiết bị nhận diện, không được truyền ra ngoài qua internet. Có hai trường hợp ngoại lệ: luật, quy định hành chính có quy định khác, hoặc đã có được sự đồng ý riêng (toàn quốc, có hiệu lực từ ngày 1 tháng 6 năm 2025).
Ghi chú:
Chỉ áp dụng ở Trung Quốc: Chỗ hay gặp nhất là cổng ra vào khu chung cư, nền tảng thuê nhà, phòng gym, khách sạn đòi bạn ghi nhận khuôn mặt. Khi bên kia nói «hệ thống chỉ hỗ trợ quét mặt», bạn đọc nguyên văn của biện pháp cho họ nghe. Nguyên văn là: «Trường hợp đạt được cùng mục đích hoặc đáp ứng yêu cầu nghiệp vụ tương đương mà có cách thức kỹ thuật khác không dùng nhận diện khuôn mặt, thì không được lấy công nghệ nhận diện khuôn mặt làm cách xác minh duy nhất». Sau đó yêu cầu họ đưa ra cách khác như quẹt thẻ, nhập mật khẩu hay xuất trình căn cước. Nếu vẫn không đưa, bạn phản ánh với cơ quan quản lý không gian mạng ở địa phương. Trường hợp nhà nước có quy định riêng về xác minh danh tính bằng quét mặt, ví dụ một số cảnh huống tài chính và dịch vụ công, thì làm theo quy định đó. Khác biệt lớn nhất giữa khuôn mặt và mật khẩu là khuôn mặt bị lộ rồi thì không đổi được, nên nó đáng được cẩn trọng hơn mật khẩu. Đơn vị lưu thông tin khuôn mặt của từ 100.000 người trở lên phải đăng ký với cơ quan quản lý không gian mạng cấp tỉnh trở lên trong 30 ngày làm việc; đây cũng là một câu để hỏi xem bên kia có làm ăn chính quy hay không. Quyền xem, sửa, xóa thông tin cá nhân của mình thì xem mục 8. Việc người khác mượn khuôn mặt bạn để làm khoản vay của họ là chuyện khác, xem mục 45 phần 8 (giúp quét mặt hộ).
10. Đừng giao mã nguồn, khóa và tài liệu riêng tư cho «trạm trung chuyển AI» không rõ nguồn gốc, nhất là khi để AI tự chạy lệnh
Mức chứng cứ B · ít tiền · ít thời gian · cần chút ý chí · lợi ích vừa · tự do
Chi phí:
Nối thẳng với kênh chính thức thường đắt hơn qua trạm trung chuyển, nạp tiền cũng không tiện bằng. Cái khó là trạm trung chuyển rẻ, một cửa vào gọi được mấy hãng mô hình.
Nói dễ hiểu:
Trạm trung chuyển nằm chen giữa bạn và hãng mô hình, nên nó nhìn thấy và sửa được cả nội dung bạn gửi đi lẫn câu trả lời bạn nhận về. Có nghiên cứu đo hơn 400 trạm trung chuyển: 9 trạm nhét mã độc vào lệnh sắp được chạy, 17 trạm động vào khóa dịch vụ đám mây mà nhóm nghiên cứu cố ý đặt vào. Với kiểu để AI tự chạy lệnh, chỉ cần lệnh bị sửa là máy tính có thể bị cài mã độc.
Lợi ích:
Bộ An ninh Quốc gia Trung Quốc ra khuyến cáo rủi ro vào tháng 6 năm 2026. Một số trạm trung chuyển giữ dữ liệu người dùng gửi lên trên máy chủ của mình; có trạm tự ý giữ lại rồi bán cho hãng mô hình lớn khác để huấn luyện. Có trạm giấu cửa hậu, cài mã độc vào thiết bị của người dùng, đánh cắp khóa tài khoản và thông tin xác thực trên đám mây, thậm chí cài cả chương trình điều khiển từ xa. Khuyến cáo này khuyên dùng kênh nối thẳng chính thức, nền tảng được cấp phép chính quy; không dùng nền tảng không rõ nguồn gốc, không có tư cách hoạt động, không có bảo đảm an toàn. Khi dùng thì làm mờ thông tin riêng tư và tài liệu dự án trước, giữ khóa cẩn thận và đổi định kỳ. Gặp trừ tiền bất thường, khóa tài khoản vô cớ, dữ liệu bất thường thì dừng dùng ngay, đổi khóa, quét diệt virus, giữ lại chứng cứ. Năm 2026, nhóm nghiên cứu ở Đại học California Santa Barbara và một số nơi khác làm một phép đo. Họ mua 28 trạm trả phí từ Taobao, Xianyu và các cửa hàng trực tuyến ở nước ngoài, rồi thu thập thêm 400 trạm miễn phí từ các cộng đồng công khai. Kết quả là 1 trạm trả phí và 8 trạm miễn phí chèn mã độc vào lệnh gọi công cụ trong câu trả lời. Lệnh gọi công cụ là lệnh AI bảo máy tính của bạn chạy, ví dụ cài một gói phần mềm. Còn 2 trạm biết chọn thời điểm ra tay; ví dụ trong bài báo là chỉ ra tay với những phiên làm việc chạy hoàn toàn tự động. 17 trạm đã động vào khóa dịch vụ đám mây Amazon mà nhóm nghiên cứu cố ý đặt vào. 1 trạm chuyển tiền trong ví Ethereum của nhóm nghiên cứu sang chỗ khác; trong ví chỉ để rất ít tiền, thiệt hại chưa đến 50 đô la Mỹ. Cách chỉnh sửa mà bài báo trình diễn rất kín: đổi requests trong lệnh cài đặt thành reqeusts, viết gần giống nên nhìn qua không thấy (toàn quốc).
Ghi chú:
Chỉ áp dụng ở Trung Quốc: Mục này xếp mức B vì chỉ có một nghiên cứu, và đó là bản in trước (bản công bố trước khi đăng chính thức). Phần lớn trạm được đo là trạm miễn phí, trạm trả phí chỉ có 28, nên không tính được «trong số trạm trung chuyển có mấy phần trăm bị vấn đề». Có báo viết vụ bị lấy tiền đó là 500.000 đô la Mỹ, còn nguyên văn bài báo ghi chưa đến 50 đô la Mỹ. Mức lợi ích được định là vừa theo hậu quả: thiệt hại khi khóa và mã nguồn bị đánh cắp chênh nhau rất xa, trong nghiên cứu không có số tiền nào để áp vào. Nếu bạn đã dùng trạm trung chuyển không rõ nguồn gốc, hãy vào chỗ hãng mô hình để vô hiệu hóa khóa đã dùng và tạo lại khóa mới; khóa của dịch vụ đám mây và kho mã nguồn cũng đổi cùng lúc. Khi đi qua trạm trung chuyển, đừng để AI tự chạy lệnh hoàn toàn, xem qua lệnh rồi mới cho chạy. Bên mở trạm trung chuyển có rủi ro hình sự, xem mục 19 phần 11 (trạm trung chuyển AI). Người hưởng lợi là chính bạn.
11. Mỗi năm tra một lần xem đứng tên mình có mấy thẻ điện thoại, mấy thẻ ngân hàng; thấy cái nào không phải mình mở thì đi hủy
Mức chứng cứ C · không tốn tiền · ít thời gian · không cần ý chí · lợi ích vừa · tiền bạc
Chi phí:
Không tốn tiền. Bạn tra thẻ điện thoại trong tài khoản công chúng «Vi báo Bộ Công nghiệp và Công nghệ thông tin» trên WeChat, hoặc trong tiện ích «Một chứng từ tra hết» trên Alipay. Thẻ ngân hàng thì tra trong tiện ích «Một chạm tra thẻ» của ứng dụng Yunshanfu. Mỗi lần điền mất vài phút, kết quả gửi về bằng tin nhắn trong một hai ngày. Cái khó là không ai nhắc, bạn phải tự nhớ mà tra mỗi năm một lần.
Nói dễ hiểu:
Có người lấy căn cước công dân của người khác đi mở thẻ điện thoại để lừa đảo, mà người bị mạo danh thường không biết. Nay đã có chỗ tra miễn phí của nhà nước: bạn tra được đứng tên mình có mấy thẻ điện thoại, số điện thoại đang gắn với bao nhiêu tài khoản ứng dụng, và có những thẻ UnionPay nào. Tra ra thứ mình không mở thì liên hệ nhà mạng hoặc ngân hàng để xác minh rồi hủy.
Lợi ích:
Luật Chống lừa đảo qua viễn thông và mạng ghi rõ, cơ quan quản lý ngành viễn thông phải «cung cấp kênh thuận tiện để người dùng tra cứu thông tin thẻ điện thoại đứng tên mình». Ngân hàng Nhân dân Trung Quốc và các bộ ngành liên quan phải «cung cấp cho khách hàng kênh thuận tiện để tra cứu tài khoản ngân hàng, tài khoản thanh toán đứng tên mình». Dịch vụ «Một chứng từ tra hết» tra thẻ điện thoại di động toàn quốc, do Bộ Công nghiệp và Công nghệ thông tin hướng dẫn, ra mắt ngày 14 tháng 9 năm 2021. Bạn dùng căn cước công dân là tra được mình đứng tên bao nhiêu thẻ điện thoại và mỗi thẻ thuộc nhà mạng nào. Dịch vụ này ra đời vì khi đấu tranh với nạn lừa đảo qua viễn thông, cơ quan chức năng phát hiện một phần thẻ điện thoại trong các vụ án là do người khác mạo danh để mở. Chủ nhân thật không hề hay biết, mà hồ sơ tín dụng cá nhân của người đó còn có thể bị ảnh hưởng. Kết quả được gửi bằng tin nhắn từ số 10699000 trong vòng 48 giờ. Nếu số lượng tra ra không khớp, bạn đến nhà mạng xem chi tiết; sau khi chính chủ cho phép, nhà mạng xác minh, tách riêng, dừng hoặc hủy số. Tháng 7 năm 2022 lại có thêm «Một chứng từ tra hết 2,0». Bạn nhập số điện thoại và sáu số cuối của số căn cước công dân là biết số đó gắn với bao nhiêu tài khoản internet. Lúc đó dịch vụ hỗ trợ các doanh nghiệp như Tencent, Alibaba, Baidu, Kuaishou, Douyin, JD và Meituan, và kết quả chỉ trả về con số. Còn phần thẻ ngân hàng, ngày 29 tháng 6 năm 2022, UnionPay Trung Quốc mở tiện ích «Một chạm tra thẻ» trên ứng dụng Yunshanfu cho toàn bộ các tỉnh, thành trong nước. Bạn chọn ngân hàng muốn tra, qua bước xác thực danh tính là gửi được yêu cầu. Trong vòng 24 giờ hệ thống lập xong báo cáo; thông tin thẻ trong báo cáo đã được che bớt, và 7 ngày sau thì báo cáo tự động xóa (toàn quốc).
Ghi chú:
Chỉ áp dụng ở Trung Quốc: «Một chạm tra thẻ» chỉ tra thẻ UnionPay. Lúc đó UnionPay nói rõ: thẻ không để số điện thoại ở ngân hàng, hoặc thẻ có căn cước công dân đã hết hạn thì vẫn chưa tra được; phải lấy ghi chép của ngân hàng phát hành làm chuẩn, nên tra không ra không có nghĩa là không có. Khoản vay và thẻ tín dụng bị người khác mạo danh mở thì phải xem báo cáo tín dụng, xem mục 9 phần 8 (báo cáo tín dụng). Số nào tra qua «Một chứng từ tra hết 2,0» mà ra nhiều tài khoản liên kết thì trước khi đổi số, dừng số, hãy gỡ liên kết trước, xem mục 12 (đổi số điện thoại, trước khi bỏ số cũ). Cho người khác mượn hay bán thẻ của mình là chuyện khác, xem mục 8 phần 8 (không đưa thẻ ngân hàng, thẻ điện thoại cho người khác). Mục này xếp mức C vì các nguồn đều là thuyết minh dịch vụ của cơ quan nhà nước, chưa có nghiên cứu nào tính được tra cứu xong thì mất ít hơn bao nhiêu. Mức lợi ích được định là vừa theo đánh giá. Người hưởng lợi là chính bạn.
12. Trước khi đổi số điện thoại hoặc bỏ số cũ, hãy đổi liên kết ngân hàng, thanh toán và mạng xã hội sang số mới; đừng để số cũ nợ cước rồi bị cắt sóng là xong chuyện
Mức chứng cứ C · không tốn tiền · vừa phải · không cần ý chí · lợi ích vừa · tiền bạc
Chi phí:
Không tốn tiền. Bạn phải đổi số điện thoại liên kết ở từng tài khoản một, còn số điện thoại đăng ký sẵn ở ngân hàng thì phải đến ngân hàng đổi. Ai có nhiều tài khoản dùng thường xuyên thì làm một lượt có thể mất một hai tiếng. Cái khó là dễ sót, tài khoản ít dùng thì không nhớ ra.
Nói dễ hiểu:
Sau khi bạn hủy số điện thoại, nhà mạng sớm nhất là 90 ngày sau đã có thể cấp số đó cho người khác. Tài khoản bạn chưa đổi liên kết vẫn dính với số này, nên mã xác minh sẽ bay sang máy của chủ số mới, và người đó có thể dùng mã để vào tài khoản của bạn. Vì vậy trước khi đổi số, hãy đổi hết tài khoản và số điện thoại đăng ký ở ngân hàng sang số mới.
Lợi ích:
Bản quy phạm dịch vụ viễn thông ghi rõ «thời hạn phong tỏa số điện thoại di động ngắn nhất là 90 ngày», tức khoảng thời gian từ khi hủy số đến khi số được dùng lại. Hủy số 90 ngày sau, số này có thể được cấp cho người dùng mới. Bản tin chất lượng dịch vụ viễn thông quý I năm 2025 của Bộ Công nghiệp và Công nghệ thông tin nhắc người dùng sử dụng dịch vụ «làm mới số đã qua sử dụng» trong ứng dụng của ba nhà mạng. Khi nhận được số người khác đã dùng, bạn dùng dịch vụ này để gỡ liên kết những tài khoản internet đã đăng ký và gắn với số đó từ trước khi mình mở số. Bản tin quý II năm 2026 cho biết dịch vụ này đã phủ 258 ứng dụng internet thông dụng, với hơn 850 triệu lượt xin gỡ liên kết. Chủ số mới phải chuyên đi gỡ liên kết, chứng tỏ tài khoản của chủ số trước vẫn còn dính với số này khi số đã sang tay người khác. Năm 2024, nhân viên chăm sóc khách hàng của ba nhà mạng lớn trả lời phỏng vấn của báo Bưu điện Nhân dân. Họ nói sau khi số bị hủy, người dùng mới vẫn có thể dùng mã xác minh gửi qua tin nhắn để đăng nhập vào tài khoản mà người dùng cũ đã đăng ký. Họ nhắc rằng trước khi đổi hoặc hủy số, hãy gỡ liên kết các ứng dụng như Alipay, WeChat, và sửa kịp thời số điện thoại đăng ký ở ngân hàng (toàn quốc).
Ghi chú:
Chỉ áp dụng ở Trung Quốc: Trước hết dùng «Một chứng từ tra hết 2,0» xem số cũ gắn với bao nhiêu tài khoản, xem mục 11 (đứng tên mấy thẻ điện thoại). Bạn đổi tài khoản ngân hàng và thanh toán trước, rồi đổi tài khoản mạng xã hội; tài khoản không dùng nữa thì hủy luôn. Đổi xong đừng dừng số ngay, để lại một hai tháng cho những tin nhắn mã xác minh còn sót. Đây là kinh nghiệm của tác giả. Việc chủ số mới đăng nhập được bằng mã xác minh thì nguồn là lời nhân viên nhà mạng trong bài báo, không có thông báo chính thức hay bản án. Tài khoản bị người khác vào rồi thì xử lý thế nào, xem mục 6 (thiết bị đăng nhập). Đổi điện thoại, bán máy cũ thì phải đăng xuất tài khoản và khôi phục cài đặt gốc riêng, viết ở phần ghi chú của mục 8 (xóa thông tin cá nhân của mình). Mục này xếp mức C vì chưa có nghiên cứu nào tính được đổi liên kết thì mất ít hơn bao nhiêu. Mức lợi ích được định là vừa theo đánh giá. Người hưởng lợi là chính bạn.