Vì sao doanh nghiệp bị ransomware nên trình báo Công an, PA05?

Khi máy chủ hoặc NAS của doanh nghiệp bỗng xuất hiện hàng nghìn file có đuôi lạ, database SQL Server không thể mở, hệ thống ảo hóa bị gián đoạn và trên ổ đĩa có một tệp đòi tiền chuộc, phản ứng đầu tiên thường là: làm sao lấy lại dữ liệu sớm nhất? Điều đó hoàn toàn dễ hiểu. Nhưng ở một sự cố ransomware, khôi phục dữ liệu chỉ là một nhánh công việc. Còn có việc ghi nhận dấu hiệu tội phạm, kiểm soát thiệt hại, giữ chứng cứ và thực hiện các nghĩa vụ thông báo theo pháp luật.

Với những đơn vị đang sử dụng máy chủ Windows, VMware ESXi, SQL Server, NAS Synology/QNAP hoặc lưu trữ nhiều hồ sơ khách hàng, chúng tôi khuyến nghị chủ hệ thống chủ động liên hệ PA05 địa phương hoặc cơ quan công an có thẩm quyền để được tiếp nhận, hướng dẫn phù hợp. Nói chính xác hơn: không phải bất cứ trường hợp file bị mã hóa nào cũng là một thủ tục pháp lý giống nhau, và “báo PA05” không đồng nghĩa đã hoàn thành mọi nghĩa vụ báo cáo.

1. Ransomware là sự cố kỹ thuật hay dấu hiệu tội phạm?

Một sự cố ransomware có thể bắt đầu từ mật khẩu VPN bị lộ, dịch vụ điều khiển từ xa phơi ra Internet, lỗ hổng phần mềm, tài khoản quản trị bị chiếm dụng hoặc máy trạm nhiễm mã độc. Hậu quả thường nhìn thấy là file bị mã hóa. Nhưng ở hậu trường có thể còn xảy ra truy cập trái phép, nâng quyền, vô hiệu hóa sao lưu, đánh cắp dữ liệu hoặc gây gián đoạn dịch vụ.

Cần phân biệt bốn hiện tượng có thể cùng xuất hiện trong một sự cố:

• Mã hóa: Nội dung tệp bị biến đổi; tệp có thể bị mã hóa toàn bộ hoặc từng vùng. Khả năng giải mã phụ thuộc đúng biến thể, khóa và mức hư hại. Tên đuôi lạ tự nó chưa chứng minh cách mã hóa.
• Xóa: Tệp, metadata, snapshot hoặc backup bị loại bỏ. Một phần nội dung có thể còn trên lưu trữ, nhưng TRIM, garbage collection, cơ chế RAID và hoạt động ghi tiếp có thể làm giảm khả năng cứu.
• Ghi đè: Các byte gốc tại vùng bị ảnh hưởng đã bị thay thế. Không nên hứa phục hồi phần đã thực sự ghi đè chỉ bằng phần mềm; cần đánh giá bản sao, snapshot độc lập hoặc nguồn dữ liệu khác.
• Đánh cắp: Dữ liệu bị sao chép ra ngoài hoặc được truy cập trái phép. Cần đối chiếu log truyền tải, EDR, dịch vụ cloud và dấu vết truy cập; ransom note hay việc file bị mã hóa chưa đủ kết luận dữ liệu đã bị lấy đi.

Sự phân biệt này có ý nghĩa pháp lý. Người lập báo cáo cần mô tả điều đã thấy và điều đang nghi vấn riêng rẽ, không biến giả thiết forensic thành kết luận.

2. PA05 là gì, nên liên hệ ai?

Căn cứ tố tụng là Điều 144–146 Bộ luật Tố tụng hình sự: phân biệt tin báo, trách nhiệm tiếp nhận và thẩm quyền giải quyết. Điều 99 và Điều 107 là điểm tham chiếu về dữ liệu điện tử và việc thu thập. Đối chiếu bản hợp nhất 172/2026/VBHN-LQ-VPQH ngày 01/10/2026; phần sửa đổi bởi Luật 11/2026/QH16 được ghi có hiệu lực 01/03/2027 chưa áp dụng ở mốc rà soát 25/10/2026. Bản hợp nhất là tài liệu tra cứu, không tự tạo ngày hiệu lực mới cho toàn Bộ luật.

PA05 là ký hiệu thường dùng cho Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Công an cấp tỉnh/thành phố; cần kiểm tra tên gọi và đầu mối hiện hành trên cổng Công an địa phương. Đối với vụ việc có dấu hiệu tấn công mạng, đơn vị này là một đầu mối chuyên môn phù hợp để liên hệ trao đổi, xin hướng dẫn và phối hợp theo chức năng, thẩm quyền.

Người bị hại không nhất thiết phải tìm đúng phòng chuyên môn ngay lần đầu. Theo hướng dẫn của Bộ Công an về tiếp nhận tin báo tội phạm, có thể đến cơ quan có thẩm quyền, cơ quan điều tra hoặc Công an xã, phường để trình báo; các hình thức tiếp nhận còn bao gồm văn bản, điện thoại trực ban, thư điện tử và một số kênh điện tử như VNeID theo điều kiện áp dụng. Khi chưa chắc đầu mối, hãy liên hệ cơ quan công an tại địa bàn để được hướng dẫn hoặc chuyển tin đúng nơi.

Nguồn: Bộ Công an – Hướng dẫn tố giác, báo tin về tội phạm.

3. Ba việc dễ bị nhầm: trình báo, báo cáo sự cố và thông báo vi phạm dữ liệu

Nghĩa vụ báo cáo sự cố an ninh mạng

Điểm c khoản 1 Điều 40 Luật An ninh mạng số 116/2025/QH15 quy định chủ quản hệ thống thông tin báo cáo sự cố an ninh mạng với cơ quan chuyên trách của Bộ Công an hoặc Bộ Quốc phòng. Bài viết này không tự suy diễn rằng nộp một đơn cho PA05 sẽ luôn thay thế được mọi phương thức báo cáo: đơn vị cần xác định hệ thống, chủ quản, cơ quan tiếp nhận và quy trình áp dụng thực tế.

Với doanh nghiệp cung cấp dịch vụ trên không gian mạng thuộc Điều 41, khoản 3 còn yêu cầu triển khai ứng cứu khẩn cấp ngay khi xảy ra sự cố và đồng thời báo cáo ngay cho lực lượng chuyên trách. Hệ thống quan trọng về an ninh quốc gia, lĩnh vực chuyên ngành và hợp đồng có thể có quy trình bổ sung. Mốc 72 giờ về dữ liệu cá nhân không phải thời gian được phép chờ trước khi ứng cứu hoặc báo cáo sự cố.

Khi nào xuất hiện mốc 72 giờ?

Khoản 1 Điều 23 Luật 91/2025/QH15 đặt hạn chậm nhất 72 giờ từ khi phát hiện vi phạm cho bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba khi vi phạm có thể gây hại tới quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu. Bên xử lý dữ liệu cá nhân khi phát hiện vi phạm phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Không đợi có kết luận điều tra đầy đủ mới đánh giá nghĩa vụ này.

Không suy ra “chưa có bằng chứng bị đánh cắp thì không cần thông báo”. Vi phạm bảo vệ dữ liệu cá nhân có thể liên quan việc dữ liệu bị mất, thay đổi hoặc xử lý trái phép; cần đánh giá cả dữ liệu bị mã hóa. Khoản 3 Điều 23 còn quy định các trường hợp thông báo khác, vì vậy điều kiện của hạn 72 giờ không phải lý do bỏ qua toàn bộ trách nhiệm thông báo.

Điều 28 Nghị định 356/2025/NĐ-CP hướng dẫn nội dung và Mẫu số 08 gửi cơ quan chuyên trách hoặc Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân. Điều 29 quy định riêng: khi vi phạm liên quan dữ liệu vị trí hoặc sinh trắc học, bên kiểm soát hoặc bên kiểm soát và xử lý phải thông báo cho chủ thể bị ảnh hưởng trong không quá 72 giờ từ khi phát hiện; nếu không thể thông báo hết vì lý do kỹ thuật hoặc khẩn cấp, thực hiện phương thức tại khoản 3. Đồng thời báo cáo cơ quan có thẩm quyền và lưu hồ sơ ít nhất 5 năm từ khi khắc phục xong. Đầu mối pháp chế/dữ liệu cá nhân cần xác định đúng vai trò, loại dữ liệu và nơi nhận.

Văn bản gốc: Luật An ninh mạng 116/2025/QH15 · Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 · Nghị định 356/2025/NĐ-CP.

4. Vì sao trình báo sớm lại có ích?

Thứ nhất, tạo một hồ sơ có mốc thời gian. Việc nạn nhân ghi nhận thời điểm phát hiện, phạm vi tác động, bản sao thông điệp đòi tiền và người chịu trách nhiệm giúp công tác tiếp nhận và phối hợp rõ ràng hơn. Văn bản/biên nhận tiếp nhận không có nghĩa cơ quan chức năng đã chứng thực ngay mọi đánh giá kỹ thuật hay thiệt hại.

Thứ hai, giảm rủi ro làm mất chứng cứ. Đơn vị kỹ thuật có thể đề xuất bảo toàn log, ảnh đĩa, cấu hình firewall và nhật ký hệ thống. Cơ quan tiếp nhận có thể hướng dẫn thêm tùy vụ việc. Đây là một cách phối hợp, không phải bảo đảm sẽ xác định được tác giả tấn công.

Thứ ba, có thêm kênh xử lý khi bị đe dọa tống tiền. Email, Telegram, địa chỉ ví, nội dung đòi tiền, lời đe dọa tung dữ liệu là những thông tin có thể liên quan tới vụ việc. Không nên đăng công khai dữ liệu nhạy cảm hoặc tự ý tương tác với đối tượng vượt quá phạm vi được doanh nghiệp cho phép.

Thứ tư, giúp doanh nghiệp quản trị trách nhiệm. Khi một phòng kế toán, bệnh viện, nhà máy hoặc khách hàng B2B gặp sự cố, ai được phê duyệt cô lập máy chủ? Ai được phép chia sẻ dữ liệu? Ai chịu trách nhiệm hồ sơ pháp lý? Bắt đầu bằng một incident log và quyết định bằng văn bản sẽ hạn chế hiểu lầm về sau.

5. Bảo toàn chứng cứ trong 60 phút đầu: đừng vô tình phá hiện trường số

Khi phát hiện mã hóa đang diễn ra, ưu tiên ngăn thiệt hại tiếp tục: cô lập thiết bị và tài khoản nghi bị chiếm quyền; kiểm soát quyền truy cập NAS, SMB, hypervisor, VPN; hạn chế hệ thống bị xâm nhập tiếp xúc bản sao lưu. Không nên trì hoãn biện pháp an toàn cấp thiết chỉ vì đang chuẩn bị hồ sơ.

Kế tiếp, hãy ghi lại:

1. Giờ phát hiện, ai phát hiện, biểu hiện đầu tiên, hệ thống và dải mạng liên quan.
2. Ảnh chụp màn hình, thông điệp đòi tiền, tên phần mở rộng file và các mẫu file đã được sao chép an toàn.
3. Tên thiết bị, số serial, cấu hình ổ đĩa/RAID, tên máy ảo, datastore, đường dẫn quan trọng, múi giờ của log.
4. Log VPN, RDP, Windows Security, Sysmon/EDR (nếu có), NAS, router/firewall, AD, hypervisor và lịch sử backup.
5. Hash SHA-256 cho mẫu và bản sao chứng cứ; ai trích xuất, lúc nào, đã chuyển cho ai và mục đích sử dụng.

Không nên chạy bừa decryptor không rõ nguồn, rebuild RAID, format, reset NAS, xóa ransom note hoặc restore đè lên thiết bị gốc. Với hệ thống vẫn đang mã hóa dữ liệu, thứ tự thao tác phải tùy tình trạng thực tế. Việc tắt máy đột ngột có thể làm mất chứng cứ RAM, nhưng giữ máy chạy cũng có thể làm thiệt hại lan rộng; cần quyết định có cân nhắc và ghi lại lý do.

Giữ đúng hiện vật, không chỉ ảnh chụp màn hình

• Ransom note và liên lạc: lưu tệp nguyên bản, đường dẫn, tên và mốc thời gian; xuất email kèm header đầy đủ, lưu nội dung chat và địa chỉ ví đúng như quan sát. Không mở link hoặc chạy tệp thực thi đính kèm trên máy vận hành.
• Mẫu file: sao chép một số mẫu đại diện theo loại và kích thước, giữ nguyên tên đuôi; nếu có bản sạch để đối chiếu thì ghi nguồn bản sạch. Tách mẫu nghi mã độc khỏi file dữ liệu và không tải dữ liệu khách hàng lên dịch vụ phân tích công khai.
• Log: ưu tiên xuất định dạng gốc như EVTX cùng cấu hình audit; giữ log VPN, firewall, AD, EDR, NAS, hypervisor, backup và cloud. Ghi thời gian bắt đầu/kết thúc, múi giờ, lệch đồng hồ và khoảng trống; ảnh chụp màn hình chỉ là bổ trợ. Sao lưu log trước khi hết retention.
• Truy cập trái phép: nối phiên đăng nhập, IP, tài khoản, MFA, tạo dịch vụ/tác vụ, lệnh bất thường, tắt backup và lưu lượng ra ngoài. IP lạ hoặc một lần đăng nhập riêng lẻ chưa đủ xác định người thực hiện hay nguyên nhân.
• Thiết bị: chụp nhãn serial và thứ tự khay/slot RAID, ghi cấu hình controller, trạng thái ổ, datastore và chuỗi VMDK. Không đảo vị trí ổ, initialize, rebuild, sửa filesystem hoặc mount ghi lên nguồn. Việc tạo image/clone và chặn ghi nên do người có chuyên môn thực hiện; ổ lỗi vật lý cần đánh giá trước khi đọc kéo dài.
• RAM và dữ liệu dễ mất: đội ứng cứu có thể cần thu RAM, tiến trình và kết nối đang mở trước khi tắt máy nếu an toàn. Không yêu cầu nhân sự thiếu chuyên môn thử công cụ thu thập trên hệ thống đang hỏng; ưu tiên ngăn thiệt hại và ghi lý do quyết định.

SHA-256 giúp kiểm tra tính toàn vẹn, không chứng minh thủ phạm

Trên máy kiểm tra sạch, với bản sao mẫu đã thu thập, PowerShell có thể tính hash mà không thực thi nội dung tệp:

Get-FileHash -LiteralPath 'E:\Evidence\README.txt' -Algorithm SHA256

Ghi tên tệp, kích thước byte, SHA-256, mã hiện vật, nguồn và thời điểm thu thập, người thực hiện, công cụ/phiên bản, nơi lưu và từng lần bàn giao. Đối chiếu hash sau sao chép và trước/sau chuyển giao; giữ một bản bảo quản hạn chế ghi và một bản làm việc. File đang thay đổi có thể cho hash khác, nên phải mô tả trạng thái thu thập. Hash không tự chứng minh tính hợp pháp của quá trình thu thập, tính đầy đủ của dữ liệu hay danh tính kẻ tấn công.

Đây là khuyến nghị bảo quản phục vụ ứng cứu, tham chiếu NIST SP 800-86; việc đánh giá giá trị chứng cứ và thu thập theo tố tụng thuộc cơ quan có thẩm quyền theo Điều 99, 107 Bộ luật Tố tụng hình sự.

6. Gửi cho cơ quan tiếp nhận những gì?

Hồ sơ ban đầu không nhất thiết phải có kết luận điều tra đầy đủ. Một bản thông tin sơ bộ nên gồm: tên đơn vị và người đại diện; địa điểm; số điện thoại liên hệ; thời điểm và cách phát hiện; loại hệ thống bị ảnh hưởng; hiện trạng dịch vụ; dấu hiệu bị xâm nhập/mã hóa/tống tiền; các bước cô lập và phục hồi đã thực hiện; danh mục chứng cứ còn lưu giữ; yêu cầu được hướng dẫn tiếp nhận, bảo toàn chứng cứ và phối hợp xử lý.

Mẫu diễn đạt an toàn về mặt kỹ thuật:

“Vào khoảng …, đơn vị phát hiện một số tệp trên máy chủ/NAS không thể truy cập và xuất hiện thông điệp yêu cầu tiền chuộc. Hiện chưa đủ căn cứ xác định nguyên nhân xâm nhập, số lượng dữ liệu bị ảnh hưởng hay có xảy ra sao chép dữ liệu ra ngoài hay không. Đơn vị đã cách ly hệ thống, lưu giữ những chứng cứ sẵn có và đề nghị cơ quan chức năng tiếp nhận thông tin, hướng dẫn xử lý theo thẩm quyền.”

Không đưa toàn bộ database kế toán, hồ sơ nhân sự, dữ liệu cá nhân hoặc mật khẩu quản trị vào email đầu tiên nếu chưa rõ kênh nhận, phạm vi cần cung cấp và biện pháp bảo mật. Chỉ chuyển dữ liệu theo yêu cầu hợp lệ, an toàn và được người có thẩm quyền của đơn vị cho phép.

7. Trình báo có làm chậm phục hồi dữ liệu không?

Không nhất thiết. Nhiều phần việc có thể song song: người đại diện doanh nghiệp làm việc với cơ quan tiếp nhận; nhóm ứng cứu cô lập và lập hồ sơ; nhóm phục hồi phân tích thiết bị hoặc bản sao forensic/clone. Tuy nhiên, khi có quyết định thu giữ, niêm phong, trưng cầu giám định hoặc yêu cầu bảo toàn hiện trạng, đơn vị cần phối hợp đúng quy định. Không thể bảo đảm mọi trường hợp sẽ hoàn thành ngay trong một thời hạn kỹ thuật mong muốn.

Một bài học quan trọng: phục hồi thành công không tự động có nghĩa hệ thống đã an toàn. Sau khi có dữ liệu, cần kiểm tra persistence, mật khẩu/khóa truy cập, nguồn backup, điểm xâm nhập, phân đoạn mạng, kiểm thử và giám sát trước khi đưa dịch vụ trở lại hoạt động.

8. Những hiểu lầm phổ biến

“Bị ransomware là chắc chắn lộ dữ liệu?” Không. File mã hóa, xóa dữ liệu và sao chép dữ liệu ra bên ngoài là ba hiện tượng khác nhau; cần bằng chứng tương ứng.

“Đã báo PA05 thì không cần báo cơ quan nào khác?” Chưa chắc. Phải đối chiếu nghĩa vụ báo cáo sự cố theo Luật An ninh mạng và thông báo dữ liệu cá nhân nếu đủ điều kiện.

“Chỉ có ransomware trong mạng nội bộ, không cần ghi nhận?” Vẫn nên lập biên bản nội bộ ngay, đánh giá nguyên nhân, phạm vi và trách nhiệm báo cáo theo pháp luật.

“Báo công an nghĩa là phải giao hết ổ cứng để làm lại từ đầu?” Không phải quy tắc chung. Việc thu giữ, sao chụp hay giám định phụ thuộc yêu cầu cụ thể của cơ quan có thẩm quyền; đơn vị cần phối hợp và giữ biên bản rõ ràng.

“Có thể trả tiền chuộc để chấm dứt sự cố?” Trả tiền không bảo đảm nhận được khóa giải mã, không bảo đảm đối tượng xóa dữ liệu đã lấy, và không thay thế xử lý kỹ thuật–pháp lý. Cần đánh giá rủi ro trước mọi quyết định.

9. Khuyến nghị dành cho doanh nghiệp và đơn vị dịch vụ dữ liệu

Ransomware nên được xử lý như một sự cố an ninh có thể liên quan đến hành vi phạm tội, chứ không chỉ là sự cố mất file. Khuyến nghị của Ransomware.VN là: ưu tiên an toàn và chứng cứ; báo tin đến cơ quan có thẩm quyền; rà soát nghĩa vụ pháp lý; và khôi phục bằng phương án kỹ thuật có kiểm soát.

Với đơn vị kỹ thuật hỗ trợ bên ngoài, phạm vi công việc nên được ghi rõ trong biên bản: TUNGTEK là đơn vị đánh giá, trích xuất và phục hồi dữ liệu trong phạm vi ủy quyền; chủ hệ thống là bên chủ động liên hệ, trình báo và thực hiện trách nhiệm pháp lý của mình. Trường hợp được yêu cầu, đơn vị kỹ thuật phối hợp cung cấp thông tin kỹ thuật theo phạm vi cho phép và quy định áp dụng.

---

10. Câu hỏi thực tế

Chưa biết họ ransomware hoặc chưa có báo cáo forensic thì có thể trình báo không?

Có thể cung cấp thông tin sơ bộ về dấu hiệu đã quan sát và danh mục tài liệu đang giữ. Ghi rõ điều chưa xác định; không cần tự kết luận thủ phạm hay chờ cứu dữ liệu xong mới liên hệ cơ quan tiếp nhận.

Có bắt buộc phải tìm đúng PA05 mới được báo tin không?

Không. PA05 là đầu mối chuyên môn phù hợp, nhưng có thể bắt đầu tại Công an cấp xã hoặc cơ quan điều tra có thẩm quyền. Đề nghị ghi nhận việc tiếp nhận và hướng dẫn chuyển tin đúng nơi; tiếp nhận và giải quyết là hai khâu có thể do các cơ quan khác nhau thực hiện.

Mọi vụ ransomware đều phải thông báo trong 72 giờ phải không?

Không có một hạn 72 giờ chung cho mọi thủ tục. Khoản 1 Điều 23 Luật 91/2025/QH15 quy định hạn này cho các chủ thể, hành vi và nguy cơ tổn hại được nêu. Điều 29 Nghị định 356/2025/NĐ-CP có nghĩa vụ riêng với dữ liệu vị trí/sinh trắc học. Các nghĩa vụ báo cáo sự cố hoặc báo cáo ngay vẫn cần đối chiếu độc lập.

File bị mã hóa nhưng chưa thấy rò rỉ có cần đánh giá dữ liệu cá nhân không?

Có. Chưa thấy bằng chứng đánh cắp không đồng nghĩa không có vi phạm bảo vệ dữ liệu cá nhân. Cần rà loại dữ liệu, tác động, vai trò của doanh nghiệp và các điều kiện thông báo; lưu lại căn cứ đánh giá và cập nhật khi có chứng cứ mới.

Có thể vừa trình báo vừa trích xuất dữ liệu mã hóa không?

Có thể phân công hai nhóm song song và ưu tiên làm trên bản sao. Nếu có yêu cầu giữ hiện trạng, niêm phong, thu giữ hoặc giám định, cần phối hợp đúng yêu cầu hợp pháp và ghi biên bản; không hứa thời hạn phục hồi khi chưa rõ phạm vi.

Chỉ giữ ảnh ransom note và hash SHA-256 đã đủ chưa?

Chưa thể coi là đủ cho mọi vụ việc. Giữ cả tệp gốc, log định dạng gốc, bối cảnh thiết bị, thời gian và lịch sử bàn giao nếu có thể. Hash hỗ trợ kiểm tra bản sao không bị thay đổi, không tự xác nhận nguồn gốc hợp pháp hay toàn bộ diễn biến.

Cứu được dữ liệu rồi có thể xóa dấu vết và chạy lại máy cũ không?

Không nên xóa dấu vết cần bảo toàn. Giữ chứng cứ theo yêu cầu có thẩm quyền, rà đường xâm nhập, persistence và tài khoản, rồi phục hồi vào môi trường sạch đã kiểm thử. Dữ liệu mở được không tự chứng minh hệ thống an toàn.