Data breach là gì?

Mục lục

1. Data breach là gì?
2. Data breach khác gì tấn công mạng và sự cố bảo mật?
3. Một vụ data breach diễn ra như thế nào?
4. Nguyên nhân phổ biến của rò rỉ dữ liệu
5. Dữ liệu nào thường bị lộ và hậu quả ra sao?
6. Một vụ breach tốn bao nhiêu tiền?
7. Dấu hiệu nhận biết doanh nghiệp có thể đã bị rò rỉ
8. Khi nghi ngờ có breach tại Việt Nam, bạn xử lý thế nào?
9. Phòng ngừa: giảm khả năng lộ và giảm thiệt hại khi lộ
10. Ví dụ minh hoạ: lộ dữ liệu từ một bảng báo cáo
11. Khi nào doanh nghiệp nên coi mình có nguy cơ cao?
12. Câu hỏi thường gặp

Data breach là gì?

Data breach, dịch là rò rỉ dữ liệu hoặc vi phạm dữ liệu, là sự cố an toàn thông tin khiến dữ liệu bị người không được phép truy cập, sao chép, lấy đi, tiết lộ hoặc thay đổi. Dữ liệu đó có thể là hồ sơ khách hàng, số thẻ thanh toán, hợp đồng, mã nguồn hay bảng lương. Chủ sở hữu thường không biết và không đồng ý.

Các cách gọi khác như “tràn dữ liệu” (data spill) hay “data leak” thường được dùng thay thế nhau trong tiếng Việt. Về kỹ thuật, bạn nên hiểu theo ba yếu tố an toàn thông tin: bảo mật (confidentiality), toàn vẹn (integrity) và sẵn sàng (availability). Breach chủ yếu là mất bảo mật. Khi dữ liệu bị sửa trái phép thì toàn vẹn cũng bị ảnh hưởng.

Data breach khác gì tấn công mạng và sự cố bảo mật?

Người mới thường gộp ba khái niệm này. Chúng khác nhau ở phạm vi:

Khái niệm	Là gì	Có phải data breach?
Tấn công mạng (cyber attack)	Hành vi nhằm vào hệ thống	Chỉ khi dữ liệu bị lộ hoặc bị lấy
Sự cố bảo mật (security incident)	Mọi sự kiện đe doạ an toàn hệ thống	Breach là một loại con
Data breach	Dữ liệu bị tiếp cận hoặc tiết lộ trái phép	Có
Data leak	Dữ liệu lộ ra do sơ suất, không cần kẻ tấn công	Thường được tính là breach

Ví dụ minh hoạ: một cuộc tấn công từ chối dịch vụ (DDoS) làm website sập nhưng không lấy dữ liệu thì không phải breach. Ngược lại, một kế toán gửi nhầm bảng lương cho nhóm email sai là breach, dù không có hacker nào. Mã độc tống tiền (ransomware) mà kẻ tấn công đã sao chép dữ liệu trước khi mã hoá, rồi doạ công bố, cũng là breach.

Một vụ data breach diễn ra như thế nào?

Hầu hết vụ breach có chuỗi sự kiện tương tự. Kẻ tấn công cần có “lối vào”, sau đó di chuyển trong hệ thống, tìm dữ liệu giá trị rồi mang ra ngoài. Điểm đáng chú ý là khoảng cách giữa lúc xâm nhập và lúc tổ chức phát hiện thường kéo dài hàng tháng.

Với lỗi cấu hình, bước 1 và 2 gần như biến mất. Một kho lưu trữ đám mây để chế độ công khai, hay một cơ sở dữ liệu mở cổng ra internet không có mật khẩu, cho phép bất kỳ ai tìm thấy là đọc được. Vì vậy “không bị hack” không có nghĩa là “không bị lộ”.

Nguyên nhân phổ biến của rò rỉ dữ liệu

Bạn có thể chia nguyên nhân thành ba nhóm. Cách chia này giúp doanh nghiệp biết nên đầu tư vào kiểm soát nào.

Theo báo cáo Cost of a Data Breach 2025 của IBM, phishing vượt qua thông tin đăng nhập bị đánh cắp để trở thành vector tấn công ban đầu phổ biến nhất, chiếm 16% số vụ, chi phí trung bình 4,8 triệu USD. Cũng theo nguồn này, tấn công chuỗi cung ứng có chi phí 4,91 triệu USD và mất lâu nhất để giải quyết, 267 ngày. Chuỗi cung ứng quan trọng với doanh nghiệp Việt vì bạn thường giao dữ liệu cho nhà cung cấp phần mềm, đơn vị gia công hay agency marketing. Nếu họ bị lộ thì dữ liệu của bạn cũng lộ.

Một nguồn rủi ro mới là “shadow AI”, tức nhân viên dùng công cụ AI không được duyệt và dán dữ liệu nội bộ vào đó. IBM cho biết mức shadow AI cao làm tăng thêm 670.000 USD vào chi phí breach trung bình toàn cầu. Với văn phòng Việt Nam, tình huống dễ gặp là kế toán dán bảng đối chiếu công nợ có tên khách vào một chatbot công cộng để nhờ tóm tắt.

Dữ liệu nào thường bị lộ và hậu quả ra sao?

Không phải mọi dữ liệu có mức độ nghiêm trọng như nhau. Bạn nên phân loại để biết vụ nào phải báo cáo gấp:

• Thông tin định danh cá nhân (PII): họ tên, số CCCD, số điện thoại, địa chỉ, ngày sinh. Hậu quả chính là giả mạo danh tính và lừa đảo nhắm đích danh nạn nhân.
• Thông tin tài chính: số thẻ, số tài khoản, lịch sử giao dịch. Hậu quả là gian lận thanh toán.
• Thông tin đăng nhập: email và mật khẩu băm. Kẻ tấn công thử lại trên nhiều dịch vụ khác (credential stuffing) vì nhiều người dùng chung mật khẩu.
• Bí mật kinh doanh: bảng giá, mã nguồn, hợp đồng, kế hoạch sản phẩm. Hậu quả là mất lợi thế cạnh tranh.
• Dữ liệu vị trí, sinh trắc học, sức khoẻ: không thể đổi như đổi mật khẩu, nên rủi ro kéo dài.

Vụ Equifax năm 2017 thường được dẫn làm ví dụ: hãng báo cáo tín dụng này thông báo lộ thông tin cá nhân nhạy cảm của 147 triệu người Mỹ. Điểm rút ra cho doanh nghiệp là tổ chức nào gom dữ liệu tập trung thì trở thành mục tiêu tập trung.

Một vụ breach tốn bao nhiêu tiền?

Con số hay được trích nhất là của IBM và Ponemon Institute. Theo báo cáo năm 2025, chi phí trung bình toàn cầu giảm 9% còn 4,44 triệu USD, so với 4,88 triệu USD năm trước. Đây là số trung bình của các vụ lớn trong mẫu khảo sát, không phải mức chi phí cho doanh nghiệp vừa và nhỏ ở Việt Nam.

IBM ghi nhận y tế là ngành tốn kém nhất: 14 năm liên tiếp, trung bình 7,42 triệu USD và 279 ngày để phát hiện và khống chế. Về cơ cấu, chi phí phát hiện và leo thang vẫn là hạng mục lớn nhất, 1,47 triệu USD. Tức là tiền không chỉ nằm ở tiền phạt. Phần lớn là điều tra, khôi phục, mất khách và thông báo cho nạn nhân.

Dấu hiệu nhận biết doanh nghiệp có thể đã bị rò rỉ

Vì thời gian phát hiện trung bình rất dài, bạn nên biết các tín hiệu sớm. IBM ghi nhận vòng đời breach trung bình toàn cầu năm 2025 là 241 ngày, tức gần tám tháng từ lúc xâm nhập đến lúc khống chế xong. Các dấu hiệu thường gặp:

• Khách hàng báo nhận cuộc gọi hoặc tin nhắn lừa đảo nhắc đúng đơn hàng gần đây của họ.
• Dữ liệu công ty xuất hiện trên diễn đàn mua bán, kênh Telegram hoặc kết quả tìm kiếm.
• Nhật ký đăng nhập có đăng nhập ngoài giờ, từ quốc gia lạ, hoặc một tài khoản tải khối lượng lớn bất thường.
• Tài khoản quản trị mới xuất hiện mà bộ phận IT không tạo.
• Nhà cung cấp hoặc đối tác thông báo họ bị sự cố.
• Lưu lượng ra ngoài tăng đột biến vào ban đêm.

Muốn thấy các bất thường này, bạn cần nhật ký truy cập bảng và tệp dữ liệu. Phần giám sát chất lượng và hành vi của dữ liệu được trình bày trong bài data observability là gì. Còn việc biết dữ liệu nhạy cảm đang nằm ở bảng nào, ai dùng, được mô tả trong bài về danh mục dữ liệu.

Khi nghi ngờ có breach tại Việt Nam, bạn xử lý thế nào?

Đây là nội dung mang tính thông tin chung, không phải tư vấn pháp lý cho trường hợp cụ thể. Nếu sự cố liên quan dữ liệu cá nhân, bạn cần xét nghĩa vụ báo cáo theo Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP. Theo một nguồn tổng hợp, Nghị định này do Chính phủ ban hành ngày 31/12/2025 và có hiệu lực từ 1/1/2026.

Mốc 72 giờ và nội dung thông báo

Với trường hợp lộ, mất dữ liệu cá nhân nhạy cảm, nguồn tin tài chính nêu rằng trong không quá 72 giờ kể từ khi phát hiện, bên trực tiếp thu thập dữ liệu phải thông báo cho cơ quan chuyên trách và cho chủ thể dữ liệu. Đồng hồ chạy từ lúc phát hiện, không phải lúc điều tra xong. Vì vậy bạn không nên chờ có báo cáo pháp y hoàn chỉnh mới báo.

Nội dung thông báo gồm mô tả tính chất vi phạm: thời gian, địa điểm, hành vi, tổ chức hoặc cá nhân liên quan, loại dữ liệu và số lượng dữ liệu. Nghĩa là ngay từ giờ đầu, nhóm xử lý phải ghi lại thời điểm phát hiện, hệ thống nào bị ảnh hưởng và ước tính số bản ghi. Với dữ liệu vị trí và sinh trắc học, một nguồn phân tích cho biết hồ sơ vi phạm phải được lưu tối thiểu 5 năm kể từ khi sự cố được khắc phục hoàn toàn. Bạn nên đối chiếu văn bản gốc hoặc hỏi luật sư để xác nhận điều khoản áp dụng cho ngành của mình.

Tổ chức nào có vai trò kiểm soát hay chỉ xử lý dữ liệu cũng ảnh hưởng đến việc ai phải báo cáo. Nếu bạn thuê bên thứ ba xử lý, hợp đồng nên quy định họ báo cho bạn bao lâu sau khi phát hiện, vì đồng hồ 72 giờ của bên kiểm soát không dừng chờ nhà cung cấp.

Các việc kỹ thuật trong 24 giờ đầu

1. Ghi lại thời điểm phát hiện và ai phát hiện, vì đây là mốc tính hạn báo cáo.
2. Khoanh vùng: ngắt máy hoặc tài khoản bị ảnh hưởng khỏi mạng, nhưng không tắt nguồn nếu cần giữ bằng chứng trong bộ nhớ.
3. Thu hồi thông tin xác thực: đổi mật khẩu, thu hồi khoá API và token phiên của tài khoản liên quan.
4. Bảo toàn nhật ký trước khi chúng bị ghi đè theo chu kỳ.
5. Xác định phạm vi dữ liệu: bảng nào, trường nào (CCCD, số điện thoại, địa chỉ) và bao nhiêu bản ghi.
6. Soạn thông báo cho cơ quan chuyên trách và chủ thể dữ liệu bị ảnh hưởng.

Bước 5 là chỗ nhiều đội vướng nhất: nếu không biết dữ liệu đi từ hệ thống nào sang hệ thống nào thì không thể nói chính xác ai bị ảnh hưởng. Bài về dòng chảy dữ liệu giải thích cách truy vết này.

Phòng ngừa: giảm khả năng lộ và giảm thiệt hại khi lộ

Phòng ngừa có hai hướng: giảm xác suất bị xâm nhập, và giảm giá trị của dữ liệu nếu bị lấy. Hướng thứ hai thường bị bỏ quên.

Lớp kiểm soát	Biện pháp cụ thể	Giảm rủi ro nào
Danh tính	Xác thực đa yếu tố, thu hồi tài khoản khi nhân viên nghỉ	Phishing, lộ mật khẩu
Quyền truy cập	Chỉ cấp quyền đọc bảng cần thiết, rà soát quyền định kỳ	Người trong cuộc, quyền thừa
Cấu hình	Quét kho lưu trữ công khai, cấm khoá API trong mã nguồn	Lỗi cấu hình
Bản thân dữ liệu	Mã hoá khi lưu và khi truyền, che hoặc thay thế trường nhạy cảm	Giá trị dữ liệu bị lấy
Vòng đời dữ liệu	Xoá dữ liệu hết mục đích sử dụng	Quy mô lộ
Nhà cung cấp	Điều khoản báo sự cố, quyền kiểm tra	Chuỗi cung ứng

Dòng “bản thân dữ liệu” là chỗ đội phân tích dữ liệu có thể làm nhiều nhất. Môi trường kiểm thử, báo cáo và huấn luyện mô hình thường dùng bản sao dữ liệu thật, và những bản sao này ít được bảo vệ như hệ thống gốc. Kỹ thuật thay giá trị thật bằng giá trị giả mà vẫn giữ cấu trúc được trình bày ở bài data masking là gì. Nếu bạn cần dữ liệu thử nghiệm mà không chứa người thật, có thể xem thêm bài dữ liệu tổng hợp.

Trong ngữ cảnh doanh nghiệp, ai được xem dữ liệu nào, dữ liệu nào phân loại nhạy cảm và ai duyệt chia sẻ là chủ đề của quản trị dữ liệu. Khung này được trình bày ở bài quản trị dữ liệu.

Ví dụ minh hoạ: lộ dữ liệu từ một bảng báo cáo

Ví dụ minh hoạ (giả định): một công ty bán lẻ xuất bảng khách hàng ra tệp CSV, gồm họ tên, số điện thoại, địa chỉ và tổng chi tiêu, để đội marketing làm báo cáo. Tệp được tải lên thư mục chia sẻ dùng chung với đối tác agency, và đường dẫn để chế độ “ai có liên kết đều xem được”. Một tháng sau, khách hàng nhận tin nhắn lừa đảo nhắc đúng địa chỉ giao hàng.

Không có hacker nào ở đây, nhưng đây là breach. Điểm sai nằm ở ba chỗ: xuất toàn bộ trường khi báo cáo chỉ cần mã khách và vùng; chia sẻ bằng liên kết công khai; và không có ai rà soát tệp đã xuất. Nếu tệp chỉ chứa mã khách đã che số điện thoại, thiệt hại gần như không có. Điều này cho thấy giảm trường dữ liệu thu thập và xuất ra là biện pháp rẻ nhất.

Khi nào doanh nghiệp nên coi mình có nguy cơ cao?

Bạn nên ưu tiên rà soát ngay nếu rơi vào một trong các tình huống sau:

• Lưu số CCCD, ảnh giấy tờ, dữ liệu sinh trắc học hoặc dữ liệu sức khoẻ của khách hàng.
• Có nhiều bản sao dữ liệu ở bảng tính, email, thư mục chia sẻ và công cụ báo cáo mà không ai kê khai đủ.
• Dùng nhiều nhà cung cấp bên ngoài có quyền truy cập dữ liệu, như agency, gia công phần mềm, trung tâm cuộc gọi.
• Nhân viên dùng công cụ AI chưa được duyệt với dữ liệu nội bộ.
• Chưa có quy trình ghi nhận ai đã truy cập tệp hay bảng nào.

Ngược lại, nếu doanh nghiệp chỉ lưu dữ liệu giao dịch không định danh và không có tích hợp bên ngoài, rủi ro thấp hơn nhưng không bằng không: tài khoản email của chính nhân viên vẫn là điểm yếu.

Câu hỏi thường gặp

Data breach và data leak có giống nhau không?

Trong tiếng Việt, hai từ thường được dùng thay nhau. Phân biệt chặt chẽ thì “leak” nhấn vào việc dữ liệu lộ ra do sơ suất hoặc cấu hình sai, còn “breach” nhấn vào việc bị truy cập trái phép, thường có kẻ tấn công. Với nghĩa vụ báo cáo, điều quan trọng là dữ liệu có bị lộ hay không, không phải tên gọi.

Bị ransomware có phải là data breach không?

Không tự động. Ransomware khoá dữ liệu là sự cố về tính sẵn sàng. Nhưng nhiều nhóm tấn công sao chép dữ liệu trước khi mã hoá và doạ công bố. Nếu có dấu hiệu dữ liệu bị lấy ra ngoài thì sự cố đồng thời là breach, và bạn phải xét nghĩa vụ thông báo.

Doanh nghiệp nhỏ có cần lo về data breach không?

Có. Tấn công phishing và lỗi cấu hình không chọn theo quy mô. Doanh nghiệp nhỏ thường ít người phụ trách an toàn thông tin hơn nên thời gian phát hiện có thể lâu hơn. Con số 4,44 triệu USD của IBM là trung bình khảo sát toàn cầu, không phản ánh mức thiệt hại của doanh nghiệp nhỏ.

Phát hiện dữ liệu khách hàng bị lộ thì phải báo trong bao lâu?

Với dữ liệu cá nhân nhạy cảm, theo Nghị định 356/2025/NĐ-CP, mốc nêu trong các nguồn tổng hợp là không quá 72 giờ kể từ khi phát hiện. Hãy đối chiếu văn bản gốc và hỏi luật sư về loại dữ liệu cụ thể của bạn, vì điều khoản có thể khác theo lĩnh vực và vai trò xử lý.

Đổi mật khẩu có đủ để khắc phục breach không?

Thường là không. Đổi mật khẩu chỉ xử lý thông tin đăng nhập. Nếu số CCCD, địa chỉ hay dữ liệu sinh trắc học đã bị lấy thì không thể thu hồi bằng cách đổi mật khẩu, nên bạn còn phải thông báo cho người bị ảnh hưởng và hướng dẫn họ phòng lừa đảo.

Làm sao biết dữ liệu nào trong công ty là nhạy cảm?

Bạn cần kiểm kê: liệt kê hệ thống, bảng, trường dữ liệu và gắn nhãn mức nhạy cảm. Việc kiểm kê này cũng giúp ích khi xử lý sự cố vì nhóm biết ngay trường nào có thể đã bị lộ. Chất lượng và tính nhất quán của dữ liệu được đề cập thêm ở bài chất lượng dữ liệu.