Đan Mạch bị rò rỉ dữ liệu cá nhân của 8,8 triệu người dân

Hệ thống đăng ký dân sự trung tâm của Đan Mạch (CPR) vừa xác nhận một sự cố bảo mật nghiêm trọng, đánh động mạnh mẽ cộng đồng công nghệ và an ninh mạng châu Âu về rủi ro từ chuỗi cung ứng truy cập dữ liệu.

Sự cố gì đã xảy ra?

Theo công bố từ phía CPR, kẻ xấu đã lợi dụng quyền truy cập hợp pháp của một doanh nghiệp Đan Mạch để tra cứu dữ liệu trong hệ thống CPR. Qua đó, chúng đã lấy trái phép tên, địa chỉ, mã số CPR và một số thông tin khác của khoảng 8,8 triệu người dân đang được đăng ký trong hệ thống.

Điều đáng chú ý là con số 8,8 triệu người gần như bao trùm toàn bộ dân số Đan Mạch — một quốc gia chỉ có khoảng 6 triệu dân, nhưng hệ thống CPR còn lưu trữ dữ liệu của cả những người đã từng cư trú, đã qua đời hoặc có liên quan hành chính tới quốc gia này.

Những ai bị ảnh hưởng?

Kết quả rà soát cho thấy cuộc truy cập trái phép này không bao gồm tên và địa chỉ của những cá nhân đã đăng ký chế độ bảo vệ tên và địa chỉ (navne- og adressebeskyttelse). Đây là một cơ chế quan trọng giúp các cá nhân có nguy cơ bị đe dọa — chẳng hạn nạn nhân bạo lực, người nổi tiếng, quan chức — được ẩn thông tin khỏi tra cứu công khai.

Tuy nhiên, với phần lớn dân số không đăng ký bảo vệ, mức độ phơi nhiễm vẫn là rất lớn.

Phản ứng của cơ quan chức năng

Cơ quan quản lý CPR đã ngay lập tức dừng toàn bộ quyền truy cập của doanh nghiệp liên quan, đồng thời phối hợp với các chuyên gia kỹ thuật và cơ quan nhà nước để truy vết diễn biến sự việc.

Cơ quan quản lý CPR đã gửi báo cáo tới Cơ quan Bảo vệ Dữ liệu (Datatilsynet) và vụ việc hiện do cảnh sát phối hợp với các cơ quan chức năng liên quan tiến hành điều tra.

Bộ trưởng Bộ Nghiên cứu, Giáo dục và Số hóa Đan Mạch cũng đã ra thông cáo chính thức về sự cố này, khẳng định mức độ nghiêm trọng và cam kết minh bạch thông tin tới công chúng.

Vì sao sự việc này đáng lo ngại?

Sự cố lần này phơi bày một lỗ hổng mang tính hệ thống phổ biến ở nhiều quốc gia: các doanh nghiệp, tổ chức được cấp quyền truy cập dữ liệu công dân để phục vụ hoạt động hợp pháp lại có thể trở thành điểm vào (entry point) cho kẻ tấn công.

Một số rủi ro chính bao gồm:

• Đánh cắp danh tính (identity theft): mã số CPR được xem là "chìa khóa vạn năng" trong nhiều giao dịch hành chính, ngân hàng và y tế tại Đan Mạch.
• Gian lận tài chính: tội phạm có thể dùng thông tin để mở tài khoản, vay tiền hoặc thực hiện giao dịch giả mạo.
• Tấn công có mục tiêu: dữ liệu cá nhân kết hợp với địa chỉ có thể dẫn tới các hành vi đe dọa, quấy rối hoặc theo dõi.
• Rủi ro chuỗi cung ứng (supply chain): chỉ cần một đối tác bị xâm nhập, toàn bộ hệ thống dữ liệu quốc gia có thể bị ảnh hưởng.

Bài học cho Việt Nam và khu vực

Vụ việc ở Đan Mạch là lời cảnh báo trực tiếp cho các quốc gia đang trong quá trình chuyển đổi số mạnh mẽ, trong đó có Việt Nam.

Tại Việt Nam, dữ liệu dân cư được quản lý tập trung qua Cơ sở dữ liệu quốc gia về dân cư và hệ thống định danh điện tử VNeID. Việc hàng loạt doanh nghiệp, tổ chức được cấp quyền truy cập vào các hệ thống này để phục vụ dịch vụ công, ngân hàng, viễn thông đặt ra yêu cầu cấp thiết về kiểm soát truy cập, giám sát hành vi và phân quyền tối thiểu (least privilege).

Một số khuyến nghị có thể rút ra:

• Áp dụng mô hình Zero Trust đối với mọi truy cập vào dữ liệu công dân.
• Ghi log, giám sát và cảnh báo hành vi truy vấn bất thường theo thời gian thực.
• Định kỳ đánh giá bảo mật với các đối tác được cấp quyền truy cập.
• Xây dựng quy trình ứng phó sự cố minh bạch, có thời hạn công bố thông tin rõ ràng.

Sự cố tại Đan Mạch một lần nữa cho thấy an ninh dữ liệu cá nhân không chỉ là vấn đề kỹ thuật, mà là vấn đề quản trị và niềm tin quốc gia.