Nhìn lại vụ Ngô Minh Hiếu bán dữ liệu người Mỹ

NGHE BÀI VIẾTBấm nút ▶ bên dưới để nghe đọc toàn bộ bài (khoảng 5 phút). Bà con có thể vừa nghe vừa làm việc khác.

Giọng đọc AI tự động, có thể phát âm chưa chuẩn một số tên riêng.

Vụ Ngô Minh Hiếu (Hieu Minh Ngo, biệt danh “HieuPC”) từng là một trong những vụ đánh cắp danh tính lớn nhất mà tòa án liên bang Mỹ xử lý. Ngày 14/7/2015, Bộ Tư pháp Mỹ (DOJ) thông báo chàng trai người Việt khi đó 25 tuổi bị tòa liên bang tại New Hampshire tuyên 13 năm tù vì điều hành các trang web bán thông tin cá nhân của người Mỹ. Hơn 10 năm sau, Tin Người Việt nhìn lại vụ án và những bài học còn nguyên giá trị.

Tòa nhà bưu điện và tòa án liên bang cũ ở Concord, New Hampshire (ảnh minh họa). Ảnh: Billy Hathorn / Wikimedia Commons (CC BY-SA 3.0)

Diễn biến vụ án

Theo DOJ, từ năm 2007 đến 2013, Ngô Minh Hiếu ngồi tại nhà ở Việt Nam, vận hành hai “chợ đen” trực tuyến tên superget.info và findget.me. Tại đây, khách mua được các gói dữ liệu mà giới tội phạm gọi là “fullz”: họ tên, ngày sinh, số An sinh Xã hội (SSN), số tài khoản và mã định tuyến ngân hàng. Anh ta cũng bán dữ liệu thẻ thanh toán gồm số thẻ, ngày hết hạn, mã CVV, địa chỉ và số điện thoại.

DOJ cho biết Hiếu cung cấp quyền truy cập thông tin của khoảng 200 triệu công dân Mỹ. Hơn 1.300 khách hàng khắp thế giới đã thực hiện trên 3 triệu lượt tra cứu. Một phần dữ liệu có được do xâm nhập máy tính của một doanh nghiệp ở New Jersey. Theo các báo công nghệ, một nguồn dữ liệu lớn là Court Ventures, công ty con của hãng tín dụng Experian; Experian nói với Quốc hội Mỹ rằng họ không ghi nhận người tiêu dùng nào bị thiệt hại. Tổng cộng, Hiếu thu gần 2 triệu USD.

Thiệt hại thật sự nằm ở phía người dân. Sở Thuế Vụ (IRS) xác nhận 13.673 công dân Mỹ đã bị kẻ gian dùng dữ liệu mua từ các trang này để khai thuế giả, đòi hoàn thuế tổng cộng 65 triệu USD.

Xử lý pháp lý

Tháng 2/2013, Hiếu bị bắt khi đặt chân tới đảo Guam, lãnh thổ của Mỹ. Theo OC Weekly và Wikipedia, một đặc vụ Sở Mật vụ (Secret Service) đóng vai đối tác đã dụ anh ta sang đó bằng lời mời làm ăn, hứa cung cấp thêm dữ liệu.

Hiếu nhận tội tại hai tòa liên bang ở New Hampshire và New Jersey với các tội: gian lận qua đường truyền (wire fraud), gian lận danh tính, gian lận thiết bị truy cập và 4 tội gian lận, lạm dụng máy tính. Thẩm phán Paul J. Barbadoro tuyên 13 năm tù. Theo OC Weekly, Hiếu có thể phải chịu hơn 24 năm nhưng được giảm vì hợp tác với điều tra viên. Báo Tuổi Trẻ cho biết anh đã giúp cảnh sát Mỹ bắt khoảng 20 khách hàng và ra làm chứng tại các phiên tòa.

Vụ án giờ ra sao

Theo Taipei Times (dẫn AFP, 2022), Hiếu ngồi tù khoảng 7 năm, được thả và về Việt Nam năm 2020. Tháng 12/2020, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC) thuộc Bộ Thông tin và Truyền thông xác nhận với Tuổi Trẻ rằng sẽ tuyển anh làm chuyên gia kỹ thuật. Năm 2022, AFP mô tả anh làm công việc “săn” tin tặc nhắm vào dữ liệu người Việt và dạy sinh viên về an ninh mạng. Anh nói với AFP: “Hacking giống như con dao”, tùy người cầm dùng vào việc gì.

Các tội danh Hiếu đã nhận

Các tội Hiếu nhận đều thuộc luật hình sự liên bang. Gian lận qua đường truyền (điều 18 U.S.C. 1343) có mức án tối đa 20 năm tù mỗi tội. Gian lận thiết bị truy cập (18 U.S.C. 1029) bao gồm mua bán số thẻ, số tài khoản bị đánh cắp. Tội gian lận và lạm dụng máy tính (18 U.S.C. 1030) xử lý hành vi xâm nhập hệ thống trái phép. Khi một người nhận nhiều tội, thẩm phán tính án theo Hướng dẫn kết án liên bang, dựa vào số tiền thiệt hại và số nạn nhân. Việc hợp tác với công tố là lý do phổ biến để được giảm án, như trong vụ này.

Bị cáo không cần sống ở Mỹ vẫn bị truy tố nếu nạn nhân và hệ thống bị xâm nhập ở Mỹ. Nhà chức trách Mỹ thường chờ nghi phạm đến một nơi có thể bắt giữ, như cách họ làm ở Guam.

Góc nhìn Tin Người Việt

Vụ án cho thấy dữ liệu cá nhân của người Mỹ, kể cả người Việt ở Mỹ, có thể bị mua bán từ rất xa mà nạn nhân không hề biết. Phần lớn 13.673 nạn nhân khai thuế giả chỉ phát hiện khi tờ khai thật của họ bị IRS từ chối vì “đã có người nộp”. Với gia đình người Việt có người lớn tuổi ít dùng mạng, rủi ro càng cao vì ít ai theo dõi tín dụng thường xuyên.

Câu chuyện của Hiếu cũng là bài học cho giới trẻ giỏi máy tính: một kỹ năng có thể đưa người ta vào tù liên bang Mỹ, nhưng cũng có thể dùng để bảo vệ cộng đồng.

Cách tự bảo vệ dữ liệu cá nhân

Những bước phòng ngừa dưới đây đều miễn phí và có trên trang chính thức:

Xin mã IP PIN của IRS: mã 6 số, hiệu lực một năm, giúp chặn kẻ gian khai thuế bằng SSN của mình. Ai có SSN hoặc ITIN và xác minh được danh tính đều xin được, qua tài khoản trực tuyến trên irs.gov, Mẫu 15227 hoặc đặt hẹn tại văn phòng hỗ trợ người đóng thuế.
Đóng băng tín dụng (credit freeze): từ 21/9/2018, luật liên bang cho phép đóng băng miễn phí; phải liên hệ đủ ba hãng Equifax, Experian và TransUnion. Cha mẹ cũng đóng băng miễn phí được cho con dưới 16 tuổi.
Cảnh báo gian lận (fraud alert): kéo dài một năm, chỉ cần báo một hãng, hãng đó sẽ thông báo cho hai hãng còn lại.
Khi nghi bị đánh cắp danh tính: báo cáo và lập kế hoạch khắc phục tại IdentityTheft.gov của Ủy ban Thương mại Liên bang (FTC).
Không gửi số SSN, số tài khoản qua tin nhắn, email hay điện thoại cho người tự xưng là ngân hàng, IRS hay cơ quan nhà nước.

Đọc thêm: Pasadena: án 64 tháng tù vì dọa đánh bom lãnh sự quán Mỹ. Xem thêm tin người Việt tại Mỹ.