Khi cơ quan nhà nước thuê công ty tư nhân đi gỡ website

Nhà cung cấp dịch vụ lưu trữ Flokinet vừa công bố một trường hợp đáng chú ý: họ nhận được yêu cầu gỡ bỏ website icepi.cx – nơi công khai danh tính và thông tin công việc của nhân viên cơ quan di trú Mỹ (ICE) – từ một công ty hoàn toàn không có quan hệ hợp tác với họ.

Flokinet đã từ chối yêu cầu này. Thế nhưng, chỉ vài giờ sau, website vẫn bị khóa ở cấp tên miền bởi một bên hoàn toàn khác. Câu chuyện phản ánh một lỗ hổng ngày càng rõ trong cách vận hành các yêu cầu gỡ bỏ nội dung trên Internet.

Yêu cầu gỡ bỏ đến từ ai?

Theo bài viết của Flokinet, yêu cầu gỡ bỏ được gửi đến bởi một công ty tư nhân, hành động thay mặt cho một cơ quan chính phủ tại quốc gia mà Flokinet không có hoạt động kinh doanh. Nội dung thông báo cáo buộc website icepi.cx thực hiện hành vi doxxing – tức công khai thông tin riêng tư của cá nhân để người khác có thể tìm đến tận nhà.

Flokinet phản bác cách định nghĩa này. Theo họ, icepi.cx không công bố thông tin đời tư mà chỉ tập hợp danh tính công vụ của nhân viên chính phủ: người đó làm ở đâu, giữ vai trò gì, và có thể liên hệ qua kênh công vụ nào. Những người đang thực thi quyền lực nhà nước không còn là cá nhân thuần túy trong phạm vi công việc đó.

Minh họa giao diện website bị yêu cầu gỡ bỏ

Flokinet thừa nhận nguồn gốc dữ liệu không "dễ chịu": dữ liệu đến từ một vụ rò rỉ và không ai trong tập dữ liệu chủ động chọn xuất hiện ở đó. Nhưng câu hỏi họ phải trả lời hẹp hơn: việc công bố có phục vụ mục đích mà nhà cung cấp dịch vụ nên bảo vệ hay không. Họ kết luận là có, bởi website đóng vai trò công cụ tra cứu phục vụ hoạt động giám sát và điều tra của báo chí cũng như công dân.

Vì sao trường hợp này đáng quan tâm?

Điểm mấu chốt không nằm ở bản thân website, mà ở cách yêu cầu gỡ bỏ được tạo ra và gửi đi.

Theo Flokinet, công ty đứng sau thông báo là ZeroFox – đơn vị chuyên phát hiện nội dung vi phạm bằng công cụ AI tự động. Hệ thống này tìm ra nội dung "khả nghi", rồi tự động gửi thông báo yêu cầu gỡ bỏ. Tuy nhiên, việc phân định một website là hoạt động báo chí giám sát hay là chiến dịch quấy rối lại chính là phép thử mà công cụ tự động không thể thực hiện.

Một thông báo gỡ bỏ tự động không hề xóa bỏ công việc kiểm chứng xem cáo buộc có đúng hay không. Nó chỉ chuyển công việc đó sang phía người nhận.

Bài viết còn nêu một chi tiết đáng lo ngại hơn: bên cáo buộc và bên liên hệ không còn là một. Flokinet không thể biết ai trong ICE đã quyết định website cần bị gỡ, liệu có ai thực sự ra quyết định hay không, và người đó đã được xem những thông tin gì trước khi kết luận.

Theo bài viết, Bộ An ninh Nội địa Mỹ (DHS) đã ký hợp đồng trị giá 15 triệu USD với ZeroFox vào tháng 7/2026, bao gồm cả ICE và Homeland Security Investigations, cho phép công ty này nộp thông báo thay mặt bộ đến năm 2028. Một bản ghi nhớ bị rò rỉ được The Intercept đưa tin gọi chương trình này là "Doxing Mitigation Initiative", kèm lời một quan chức ICE lo ngại nó có thể bị dùng để nhắm vào người tố giác và nhà phê bình nội bộ thay vì các mối đe dọa từ bên ngoài.

Minh họa quy trình xử lý yêu cầu gỡ bỏ nội dung

Hệ quả: từ chối vẫn không cứu được website

Điều khiến câu chuyện trở nên đáng chú ý là kết cục trái ngược với quyết định của Flokinet. Đến giữa buổi sáng cùng ngày, icepi.cx không còn phân giải được – registrar CentralNic đã đặt tên miền vào trạng thái serverHold.

Nói cách khác, quyết định thực sự khiến website biến mất không phải là yêu cầu gửi đến Flokinet. Một registrar đưa ra kết luận ngược lại, không công bố lý do, và người dùng trên toàn cầu mất quyền truy cập. Hiện website đã hoạt động trở lại dưới một tên miền khác tại registrar khác.

Bài học về mô hình "gỡ bỏ theo hợp đồng"

Flokinet cho rằng trường hợp này cho thấy điều gì xảy ra khi việc gửi thông báo gỡ bỏ trở thành một dịch vụ thương mại mà các tổ chức chính phủ có thể mua.

Ba đề xuất được nêu ra:

• Bất kỳ ai gửi thông báo gỡ bỏ thay mặt bên khác phải nêu rõ họ đại diện cho ai, dựa trên cơ sở pháp lý nào, và ai chịu trách nhiệm nếu cáo buộc sai.
• Nếu thông báo được tạo bởi hệ thống phát hiện tự động, điều đó phải được khai báo rõ ràng trên chính văn bản.
• Việc gỡ bỏ ở cấp registry và registrar cũng cần được giám sát chặt chẽ như cấp lưu trữ.

Việc xử lý nội dung thực sự độc hại và bảo vệ cá nhân khỏi quấy rối là mục tiêu chính đáng. Nhưng một hệ thống nơi cơ quan nhà nước có thể mua dịch vụ gỡ bỏ qua nhà thầu, nhà thầu có thể được trả theo số lượng, và con đường nhanh nhất lại đi qua hạ tầng không ai giám sát – như trường hợp registrar này – thì không phải là hệ thống chống quấy rối. Đó là hệ thống để khiến những thông tin bất tiện biến mất.

Với người dùng và doanh nghiệp Việt Nam, câu chuyện này là lời nhắc rằng quyền kiểm soát tên miền và hạ tầng DNS có thể quyết định sự tồn tại của một website nhanh hơn bất kỳ tranh chấp nội dung nào – một rủi ro mà các đơn vị vận hành nền tảng trong nước, đặc biệt khi phụ thuộc registrar nước ngoài, nên tính đến khi hoạch định chiến lược hạ tầng.