Deep web và dark web là gì?

Mục lục

1. Deep web là gì và bạn đang dùng nó hằng ngày thế nào?
2. Dark web là gì và khác deep web ở điểm nào?
3. Bảng so sánh surface web, deep web và dark web
4. Những hiểu lầm phổ biến cần bỏ
5. Dữ liệu doanh nghiệp đi từ máy nhân viên đến dark web như thế nào?
6. Dữ liệu nào của doanh nghiệp hay xuất hiện trên dark web?
7. Thời gian là yếu tố quyết định
8. Dấu hiệu doanh nghiệp bạn có thể đã bị lộ dữ liệu
9. Doanh nghiệp nên làm gì với rủi ro từ dark web?
10. Điều cần biết về pháp luật Việt Nam
11. Ưu và nhược điểm của việc giám sát dark web
12. Khi nào nên và không nên quan tâm đến dark web?
13. Câu hỏi thường gặp

Deep web là gì và bạn đang dùng nó hằng ngày thế nào?

Deep web (web chìm) là toàn bộ nội dung trên web mà bot của Google hay Bing không lập chỉ mục. Theo cách mô tả của Trend Micro, đó là mọi phần của internet không được công cụ tìm kiếm lập chỉ mục. Lý do không nằm ở chỗ nội dung “bí mật”, mà ở chỗ trang đó cần đăng nhập, cần quyền, hoặc chủ sở hữu chặn bot.

Một vài ví dụ rất đời thường trong văn phòng Việt Nam:

• Hộp thư công ty trên Google Workspace hoặc Microsoft 365: chỉ bạn xem được sau khi đăng nhập.
• Cổng kê khai thuế, cổng hoá đơn điện tử, internet banking của doanh nghiệp.
• Phần mềm kế toán, ERP, CRM, HRM chạy trên web hoặc cloud.
• Thư mục chia sẻ có đường link riêng, tài liệu đặt chế độ “chỉ người có link”.
• Cơ sở dữ liệu thư viện, tạp chí khoa học cần tài khoản.

Điểm hay bị hiểu sai: deep web không phải một nơi bạn “đi tới”. Nó là cách gọi cho mọi thứ nằm sau cổng đăng nhập. Bạn ở trong deep web mỗi lần mở email. Các bài viết nước ngoài ước tính deep web chiếm phần lớn internet, nhưng kích thước chính xác không được biết và không đo trực tiếp được, nên bạn nên thận trọng với các con số phần trăm cụ thể.

Dark web là gì và khác deep web ở điểm nào?

Dark web (web đen) là tập con của deep web, được xây trên các mạng phủ (overlay network) gọi là darknet. Nó chỉ truy cập được qua công cụ riêng như Tor (The Onion Router) hoặc I2P. Hai đặc điểm phân biệt là: dịch vụ cố ý ẩn vị trí máy chủ và người dùng cũng ẩn danh với nhau.

Cơ chế cốt lõi của Tor ở mức khái niệm: lưu lượng đi qua nhiều nút trung gian, mỗi nút chỉ biết nút liền trước và liền sau. Nhờ đó, bên ngoài khó biết ai đang kết nối tới ai. Địa chỉ dịch vụ ẩn thường kết thúc bằng .onion và không nằm trong hệ thống DNS thông thường. Nếu cần hiểu nền tảng tên miền, bạn có thể đọc bài DNS là gì.

Ẩn danh không đồng nghĩa phạm pháp. Nhà báo, người tố giác và người ở nơi bị kiểm duyệt dùng công nghệ này để bảo vệ danh tính. Tuy vậy, các hoạt động bất hợp pháp chính gồm trao đổi hàng cấm như ma tuý và vũ khí, và đó là lý do dark web mang tiếng xấu. Với doanh nghiệp, mối quan tâm hẹp hơn: dữ liệu của mình có đang bị bán hay công bố ở đó không.

Bảng so sánh surface web, deep web và dark web

Tiêu chí	Surface web	Deep web	Dark web
Công cụ tìm kiếm lập chỉ mục	Có	Không	Không, và cố ý ẩn
Cách truy cập	Trình duyệt thường, không cần tài khoản	Trình duyệt thường, cần đăng nhập hoặc link riêng	Phần mềm ẩn danh chuyên dụng
Ví dụ	Trang tin, website công ty	Hộp thư, internet banking, ERP, bệnh án	Diễn đàn ẩn danh, chợ ngầm, trang công bố dữ liệu của nhóm tống tiền
Ẩn danh người dùng	Thấp	Gắn với tài khoản và quyền	Thiết kế để ẩn danh tối đa, nhưng không tuyệt đối
Tính hợp pháp	Phần lớn hợp pháp	Phần lớn hợp pháp	Lẫn lộn, có nhiều nội dung phạm pháp
Rủi ro chính với doanh nghiệp	Lộ thông tin công khai, giả mạo thương hiệu	Cấu hình sai, tài khoản bị chiếm, lộ dữ liệu	Dữ liệu và tài khoản đã bị đánh cắp bị rao bán

Cách nhớ ngắn: surface web là “phố mở cửa”, deep web là “toà nhà có khoá cửa”, dark web là “khu cố ý không có biển địa chỉ”. Khoá cửa không có nghĩa là bất hợp pháp. Không biển địa chỉ mới là đặc trưng của dark web.

Những hiểu lầm phổ biến cần bỏ

“Deep web và dark web là một”

Sai. Một bảng lương trên phần mềm HRM nằm trong deep web, nhưng không ai gọi nó là dark web. Nếu bạn thấy bài viết nào mô tả “deep web toàn là tội phạm”, đó là nhầm lẫn khái niệm. Nếu bạn quản lý nhân sự, bài HRM là gì giải thích loại dữ liệu nhạy cảm nằm trong các hệ thống này.

“Chỉ vào dark web mới bị nguy hiểm”

Phần lớn thiệt hại với doanh nghiệp xảy ra trước đó, trên máy tính nhân viên hoặc hệ thống của bạn. Dark web thường là chỗ dữ liệu xuất hiện sau khi đã bị lấy. Có chuyên gia ví dụ nó như bảng thông báo vi phạm dữ liệu của giới tội phạm.

“Tor là bất hợp pháp nên cứ chặn hết là xong”

Tor là công cụ ẩn danh, không phải nội dung. Chặn lưu lượng Tor trên mạng công ty là một lựa chọn chính sách hợp lý với nhiều tổ chức, nhưng nó không bảo vệ dữ liệu đã bị lấy từ máy ở nhà, máy cá nhân hoặc nhà cung cấp. Chính sách này nên đi cùng giám sát, không thay thế giám sát.

“Tìm tên công ty trên dark web bằng công cụ miễn phí là đủ”

Công cụ tìm kiếm công khai chỉ thấy phần nhỏ. Có hai nhóm: công cụ tìm công khai cho nghiên cứu, và nền tảng giám sát thương mại thu thập liên tục từ diễn đàn, chợ, trang công bố dữ liệu của nhóm tống tiền và kho dữ liệu bị lộ. Truy cập thủ công không cho bạn lịch sử, cảnh báo hay đối chiếu tự động.

Dữ liệu doanh nghiệp đi từ máy nhân viên đến dark web như thế nào?

Con đường phổ biến nhất không phải tin tặc “bẻ khoá” ngân hàng, mà là đánh cắp thông tin đăng nhập quy mô lớn. Một đường đi tiêu biểu:

1. Nhân viên mở tệp hoặc cài phần mềm lạ trên máy, thường qua email giả mạo hoặc bản crack. Đây là kịch bản của phishing và phần mềm độc hại.
2. Mã độc đánh cắp mật khẩu lưu trong trình duyệt, cookie phiên và token, rồi gửi về máy chủ của kẻ tấn công. Loại mã độc này gọi là infostealer.
3. Dữ liệu gom lại thành “log” và được rao bán hoặc chia sẻ trên kênh ngầm.
4. Kẻ mua dùng thông tin đó để đăng nhập thẳng vào VPN, email, cloud hoặc ERP của công ty.

Số liệu minh hoạ mức độ: theo báo cáo DBIR 2025 của Verizon, như Cyble trích lại, thông tin đăng nhập bị đánh cắp được dùng trong 88% các cuộc tấn công vào ứng dụng web cơ bản. Cũng theo trích dẫn đó, 54% nạn nhân ransomware từng có thông tin đăng nhập xuất hiện trong log infostealer trước khi bị tấn công. Cả hai số đến từ báo cáo nước ngoài, nên dùng để hiểu xu hướng, không thay cho số liệu của Việt Nam.

Dữ liệu nào của doanh nghiệp hay xuất hiện trên dark web?

Theo mức độ thường gặp và thiệt hại, bạn nên chia thành các nhóm sau:

Nhóm dữ liệu	Nguồn thường gặp	Hậu quả với doanh nghiệp
Tài khoản email và mật khẩu nhân viên	Infostealer, phishing, lộ từ dịch vụ bên thứ ba	Chiếm email, lừa chuyển tiền, đăng nhập hệ thống
Cookie phiên, token	Infostealer trên trình duyệt	Có thể vượt qua mật khẩu mà không cần đăng nhập lại
Cơ sở dữ liệu khách hàng	Lỗ hổng ứng dụng, cấu hình cloud sai	Lộ dữ liệu cá nhân, mất uy tín, nghĩa vụ báo cáo
Tài liệu nội bộ, hợp đồng	Nhóm tống tiền công bố sau khi không được trả tiền	Lộ bí mật kinh doanh, bị kẻ gian giả mạo đối tác
Quyền truy cập từ xa (VPN, RDP)	Rao bán “quyền truy cập” vào mạng	Mở đường cho ransomware

Về tống tiền: nhiều nhóm tống tiền duy trì trang công bố dữ liệu ẩn trên Tor để đăng dữ liệu của nạn nhân. Vì vậy, một công ty bị mã hoá dữ liệu có thể vẫn chịu thêm rủi ro bị công bố, kể cả khi đã khôi phục từ bản sao lưu. Cách phòng ngừa nằm ở bài ransomware là gì, còn khái niệm lấy dữ liệu ra ngoài nằm ở bài data exfiltration.

Về khía cạnh pháp lý, nếu trong dữ liệu lộ có số căn cước, số điện thoại hay dữ liệu tài chính của khách hàng, doanh nghiệp phải xử lý như một sự cố dữ liệu cá nhân. Bạn nên rà trước xem trường dữ liệu nào đã lộ để xác định có phải thông báo hay không. Đây là thông tin chung, không phải tư vấn pháp lý.

Thời gian là yếu tố quyết định

Dữ liệu lộ ra không đợi bạn phát hiện. Theo báo cáo Identity Threat Landscape 2025 của Recorded Future, như một nguồn thứ cấp trích lại, 36,4% thông tin đăng nhập được lập chỉ mục trong vòng 24 giờ sau khi bị lấy, và 52,9% trong một tuần. Nghĩa là gần một nửa còn chưa bị phát hiện sau tuần đầu. Các con số về thời gian rất khác nhau giữa các nhà cung cấp, vì mỗi bên đo trên nguồn riêng. Bạn nên coi chúng là chỉ báo xu hướng.

Với doanh nghiệp, hàm ý thực tế là: thời gian từ lúc tài khoản lộ đến lúc bạn đổi mật khẩu và thu hồi phiên nên tính bằng giờ. Chỉ số đáng theo dõi, như một nhà cung cấp nêu, là khoảng thời gian giữa lúc thông tin lộ công khai và lúc bạn hoàn tất phản ứng. Số lượng cảnh báo không phản ánh điều này.

Dấu hiệu doanh nghiệp bạn có thể đã bị lộ dữ liệu

Bạn không cần vào dark web để nhận ra. Những dấu hiệu sau xuất hiện trong hệ thống của chính bạn:

• Nhân viên nhận cảnh báo đăng nhập từ vị trí hoặc thiết bị lạ, hoặc bị khoá tài khoản liên tục.
• Email nội bộ có quy tắc tự chuyển tiếp mà không ai tạo.
• Khách hàng báo nhận cuộc gọi hoặc tin nhắn lừa đảo nhắc đúng thông tin giao dịch với công ty.
• Đối tác nhận email yêu cầu đổi số tài khoản từ địa chỉ rất giống địa chỉ của bạn. Đây là kịch bản của social engineering.
• Có người liên hệ đòi tiền và dẫn chứng bằng đúng tài liệu nội bộ.
• Nhật ký (log) hệ thống cho thấy đăng nhập thành công vào giờ bất thường, bằng tài khoản hợp lệ.

Tài khoản bị chiếm không gây lỗi kỹ thuật nào. Chúng trông giống một nhân viên đăng nhập bình thường, nên rất khó thấy nếu chỉ nhìn tường lửa.

Doanh nghiệp nên làm gì với rủi ro từ dark web?

Việc hợp lý là giảm giá trị của dữ liệu bị lộ, và rút ngắn thời gian phát hiện. Cụ thể:

Giảm hậu quả khi mật khẩu bị lộ

Một mật khẩu bị lộ chỉ nguy hiểm nếu nó đủ để đăng nhập. Xác thực đa yếu tố, nhất là passkey hoặc ứng dụng tạo mã thay vì SMS, chặn phần lớn trường hợp dùng lại mật khẩu cũ. Chi tiết nằm ở bài MFA là gì. Lưu ý rằng cookie phiên bị đánh cắp có thể vượt qua cả MFA nếu phiên không bị thu hồi, nên cần đặt thời hạn phiên ngắn cho ứng dụng quan trọng.

Giảm số nơi sinh ra log mật khẩu

Cấm lưu mật khẩu công ty trong trình duyệt cá nhân, tách máy làm việc và máy cá nhân, và cài giải pháp bảo vệ máy trạm. Phần máy trạm thuộc về bài endpoint, còn doanh nghiệp nhỏ có thể tham khảo bài an ninh mạng cho doanh nghiệp nhỏ để chọn mức đầu tư vừa sức.

Chọn giữa tự tìm, đăng ký dịch vụ giám sát hoặc không làm gì

Cách làm	Phù hợp khi	Hạn chế
Kiểm tra email trên dịch vụ báo lộ dữ liệu công khai	Doanh nghiệp nhỏ, cần biết nhanh email nhân viên có lộ không	Chỉ thấy các vụ lộ đã được công bố, không thấy log infostealer mới
Dịch vụ giám sát thương mại	Có thương hiệu lớn, nhiều tài khoản, chịu trách nhiệm dữ liệu khách hàng	Chi phí, số cảnh báo nhiều, cần người xử lý. Cần kiểm tra nguồn thu thập của từng nhà cung cấp
Nhờ đội giám sát an ninh (SOC)	Đã có nhật ký tập trung và cần phản ứng 24/7	Cần hợp đồng và phạm vi rõ ràng, tham khảo bài SOC là gì

Khi mua dịch vụ giám sát, hãy hỏi nhà cung cấp rõ: họ thu thập từ nguồn nào, có đối chiếu theo tên miền và địa chỉ IP của bạn không, và làm gì với dữ liệu họ tìm thấy. Các nền tảng loại này thường tích hợp được với hệ thống giám sát qua API hay webhook, như bảng so sánh của darknet.org.uk nêu: bảng điều khiển, cảnh báo, API và tích hợp SIEM hoặc SOAR.

Khi phát hiện tài khoản nằm trong dữ liệu lộ

1. Đổi mật khẩu và thu hồi mọi phiên đăng nhập, token API, khoá truy cập liên quan.
2. Kiểm tra nhật ký đăng nhập trước thời điểm lộ để xem có truy cập bất thường không.
3. Rà soát quy tắc chuyển tiếp email và ứng dụng được cấp quyền OAuth.
4. Quét máy của người dùng bị lộ. Nếu mã độc còn ở đó, đổi mật khẩu thôi là chưa đủ.
5. Xác định có dữ liệu cá nhân của khách hàng trong tập bị lộ không để quyết định nghĩa vụ thông báo.

Điều cần biết về pháp luật Việt Nam

Trọng tâm bài này không phải luật, nên ở đây chỉ nêu điểm áp dụng riêng. Mua bán, trao đổi dữ liệu cá nhân và thông tin tài khoản trái phép là hành vi bị pháp luật Việt Nam xử lý, kể cả khi diễn ra trên kênh ẩn danh. Nếu doanh nghiệp tìm thấy dữ liệu khách hàng của mình đang bị rao bán, đừng tự mua lại hay thương lượng với người bán. Hãy lưu lại bằng chứng và báo cho đơn vị pháp chế hoặc cơ quan chức năng. Nghĩa vụ khi xảy ra sự cố dữ liệu cá nhân được giải thích ở bài Nghị định 13/2023, và bạn nên đối chiếu với văn bản đang có hiệu lực khi áp dụng.

Ưu và nhược điểm của việc giám sát dark web

Ưu điểm	Nhược điểm
Phát hiện sớm tài khoản và dữ liệu bị lộ trước khi bị dùng	Chỉ thấy phần đã được rao bán hoặc công bố, không thấy các vụ xâm nhập còn âm thầm
Cung cấp bằng chứng về nguồn gốc vụ lộ	Nhiều cảnh báo là dữ liệu cũ tái chế, tốn công phân loại
Hỗ trợ quyết định có cần thông báo khách hàng không	Không ngăn được việc dữ liệu bị lấy

Kết luận thực tế: giám sát dark web là lớp bổ sung, đặt sau MFA, quản lý quyền truy cập, sao lưu và bảo vệ máy trạm. Nếu các lớp này còn yếu, đăng ký giám sát chỉ khiến bạn biết mình bị lộ sớm hơn mà chưa chắc xử lý được.

Khi nào nên và không nên quan tâm đến dark web?

Nên đưa dark web vào kế hoạch khi doanh nghiệp giữ nhiều dữ liệu cá nhân (bán lẻ, tài chính, y tế, giáo dục), có thương hiệu bị mạo danh, hoặc từng gặp sự cố tài khoản. Chưa cần dịch vụ chuyên biệt khi công ty chỉ có vài chục tài khoản và chưa bật MFA: bật MFA trước sẽ mang lại hiệu quả lớn hơn. Nhân viên cũng không nên truy cập dark web “để xem thử” bằng thiết bị công ty.

Câu hỏi thường gặp

Deep web có hợp pháp không?

Phần lớn hợp pháp. Email, tài khoản ngân hàng và hồ sơ nội bộ đều thuộc deep web. Tính hợp pháp phụ thuộc vào nội dung và hành vi cụ thể, không phụ thuộc việc trang có được lập chỉ mục hay không.

Dark web có phải toàn là nội dung phạm pháp không?

Không. Dark web có cả nội dung hợp pháp như truyền thông an toàn cho nhà báo và người tố giác. Tuy nhiên, nó cũng chứa nhiều chợ ngầm và diễn đàn mua bán dữ liệu bị đánh cắp, và đây là phần doanh nghiệp cần cảnh giác.

Chỉ cần dùng Chrome thì có vào được dark web không?

Không. Các dịch vụ ẩn cần phần mềm chuyên dụng như Tor hoặc I2P. Bài này không hướng dẫn cách cài hay truy cập, vì việc đó không cần thiết để bảo vệ doanh nghiệp.

Làm sao biết email của tôi có trên dark web?

Bạn có thể dùng dịch vụ báo lộ dữ liệu công khai để kiểm tra email và tên miền công ty. Nếu doanh nghiệp lớn hơn, nên dùng dịch vụ giám sát chuyên nghiệp. Khi phát hiện bị lộ, đổi mật khẩu, bật MFA và quét máy là các bước đầu tiên.

Dùng VPN có thay thế được Tor hoặc bảo vệ khỏi dark web không?

Không. VPN mã hoá đường truyền giữa thiết bị và máy chủ VPN, còn nó không ngăn mã độc đánh cắp mật khẩu trên máy bạn. Tìm hiểu thêm ở bài VPN là gì.

Trả tiền cho kẻ rao bán để xoá dữ liệu có được không?

Không nên. Không có gì đảm bảo dữ liệu bị xoá, vì bản sao có thể đã được chuyển cho nhiều bên. Việc trả tiền còn có thể tiếp tay cho tội phạm. Hãy lưu bằng chứng, xử lý sự cố và báo cho cơ quan chức năng.