Báo lỗ hổng cho chủ hệ thống trước, và trước khi vá thì không đăng chi tiết, không phát hành công cụ khai thác, không đẩy dữ liệu ra nước ngoài

Đăng một công cụ khai thác còn dùng được cho người khác tải về có thể bị tính là tặng cho công cụ tấn công: 20.000.000 đồng đến 100.000.000 đồng hoặc tù 3 tháng đến 2 năm. Báo cho chủ hệ thống trước, đừng đăng chi tiết trước khi họ vá.

Chi phí

Không mất tiền, mất thời gian chờ. Bạn cần viết một báo cáo đủ để chủ hệ thống tái hiện được lỗi mà không cần bạn thao tác lại, gửi thẳng cho họ, rồi giữ im lặng cho tới khi họ vá. Bạn phải chịu mất phần thưởng về danh tiếng: đăng bài trước, khoe PoC trước, nhận credit trước. PoC là đoạn mã chứng minh lỗ hổng khai thác được.

Lợi ích

Báo lỗ hổng cho chủ hệ thống qua kênh phù hợp, hạn chế tiết lộ chi tiết có thể bị lạm dụng trước khi khắc phục. Lưu lịch sử thông báo và phạm vi kiểm thử.

Pháp luật Việt Nam

Việt Nam chưa có văn bản riêng nào quy định trình tự công bố lỗ hổng, nên trách nhiệm phải ghép từ ba chỗ. Thứ nhất là Điều 285 khoản 1 Bộ luật Hình sự: người sản xuất, mua bán, trao đổi hoặc tặng cho công cụ, thiết bị, phần mềm có tính năng tấn công mạng máy tính, mạng viễn thông, phương tiện điện tử để sử dụng vào mục đích trái pháp luật thì bị phạt tiền 20.000.000 đồng đến 100.000.000 đồng, cải tạo không giam giữ đến 2 năm hoặc tù 3 tháng đến 2 năm. Chữ "tặng cho" là chỗ đáng để ý: phát hành công khai một công cụ chạy được nằm trong câu chữ đó, còn mục đích trái pháp luật của người nhận thì cơ quan điều tra xác định theo cách công cụ được dùng. Thứ hai là Điều 289 khoản 1, áp cho người còn giữ đường vào hệ thống để "kiểm tra lại sau khi vá": không còn được phép thì mỗi lần đăng nhập là một lần xâm nhập, khung 50.000.000 đồng đến 300.000.000 đồng hoặc tù 1 năm đến 5 năm. Thứ ba là chỗ dữ liệu đi qua: Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 xếp việc gửi dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài, hoặc dùng nền tảng đặt ngoài lãnh thổ để xử lý dữ liệu thu thập tại Việt Nam, vào nhóm chuyển dữ liệu xuyên biên giới, và buộc lập hồ sơ đánh giá tác động gửi cơ quan chuyên trách trong 60 ngày kể từ ngày chuyển đầu tiên. Gửi kèm ảnh chụp có số điện thoại, email hay bảng người dùng cho một nền tảng săn lỗi ở nước ngoài rơi đúng vào nhóm đó, còn gửi mô tả kỹ thuật thì không.

Ghi chú

Vì sao mức C: không có điều khoản nào mang tên "công bố lỗ hổng", cũng không có cơ quan nào nhận báo cáo lỗ hổng theo một thủ tục có thời hạn bằng văn bản, nên mọi kết luận ở đây là ghép từ Điều 285 và Điều 289 chứ không đọc thẳng ra được. Ba cái bẫy hay gặp. Một: đăng PoC lên GitHub trước khi vá và gọi đó là công bố có trách nhiệm; ở Việt Nam không có quy định nào miễn trừ cho việc đăng sớm, và thứ bạn đăng là công cụ chạy được chứ không phải bài phân tích. Hai: gửi kèm dữ liệu thật để chứng minh mức độ nghiêm trọng, gồm ảnh chụp có số điện thoại và bảng người dùng, cho một nền tảng thưởng lỗi đặt ở nước ngoài; mô tả kỹ thuật và dữ liệu cá nhân chịu hai chế độ khác nhau, và chế độ thứ hai có điều kiện chuyển ra nước ngoài. Ba: giữ lại một tài khoản hoặc một đường vào để "xác nhận bản vá đã ăn", rồi ba tháng sau vẫn còn dùng được tài khoản đó; quyền truy cập hết cùng lúc với hợp đồng, không cùng lúc với lần vá cuối. Mục này không có nghĩa là cấm công bố lỗ hổng, cấm nhận tiền thưởng, hay cấm viết bài phân tích sau khi nhà cung cấp đã vá: chỗ cần giữ là thời điểm và hình thức công bố, và cả hai đều do bạn chọn.

Bản dịch sát bản gốc (Trung Quốc) để đối chiếu

Chi phí

Không tốn tiền. Báo lỗ hổng cho bên cung cấp sản phẩm, hoặc báo lên nền tảng chính thức. Trước khi hãng vá xong, không đăng chi tiết, cũng không đăng code chứng minh lỗi (PoC)

Nói đơn giản

Cá nhân cũng thuộc phạm vi của "Quy định quản lý lỗ hổng an ninh sản phẩm mạng" (Trung Quốc). Trước khi hãng đưa ra cách vá, bạn không được công bố lỗ hổng, cũng không được công bố chi tiết lỗ hổng của hệ thống đang chạy. Không được đăng chương trình, công cụ chuyên để khai thác lỗ hổng; khi công bố phải nói kèm cách khắc phục. Lỗ hổng chưa công khai không được đưa cho tổ chức, cá nhân nước ngoài ngoài chính hãng.

Lợi ích

Quy định này quản ba nhóm: bên cung cấp sản phẩm mạng, bên vận hành mạng trong nước, và tổ chức hoặc cá nhân làm việc phát hiện, thu thập, công bố lỗ hổng. Không tổ chức, cá nhân nào được lợi dụng lỗ hổng để làm việc gây hại an ninh mạng, không được thu thập, bán, công bố trái phép thông tin lỗ hổng. Công bố thông tin lỗ hổng ra xã hội phải giữ năm điều. Một, không được công bố trước khi bên cung cấp sản phẩm đưa ra biện pháp vá. Hai, không được công bố chi tiết lỗ hổng của mạng, hệ thống thông tin và thiết bị mà bên vận hành mạng đang dùng. Ba, không được cố ý thổi phồng tác hại và rủi ro, không được lợi dụng thông tin lỗ hổng để thổi phồng ác ý hoặc lừa đảo. Bốn, không được công bố hoặc cung cấp chương trình, công cụ chuyên dùng để khai thác lỗ hổng làm việc gây hại an ninh mạng. Năm, khi công bố phải đồng thời công bố biện pháp vá hoặc phòng tránh. Ngoài ra, thông tin lỗ hổng chưa công khai không được cung cấp cho tổ chức, cá nhân nước ngoài ngoài bên cung cấp sản phẩm. Quy định khuyến khích báo lỗ hổng lên bốn nền tảng chính thức. Một là nền tảng chia sẻ thông tin mối đe doạ và lỗ hổng an ninh mạng của Bộ Công nghiệp và Công nghệ Thông tin (Trung Quốc). Hai là nền tảng lỗ hổng của Trung tâm Thông báo An ninh Mạng và Thông tin Quốc gia (Trung Quốc). Ba là nền tảng lỗ hổng của Trung tâm Điều phối Ứng cứu Kỹ thuật Mạng Máy tính Quốc gia (Trung Quốc). Bốn là kho lỗ hổng của Trung tâm Đánh giá An ninh Thông tin Trung Quốc. Thu thập, công bố thông tin lỗ hổng trái quy định thì Bộ Công nghiệp và Công nghệ Thông tin, Bộ Công an (Trung Quốc) xử lý theo chức trách của mình. Rơi vào trường hợp Luật An ninh mạng (Trung Quốc) quy định thì xử phạt theo luật đó. Công bố ra xã hội thông tin an ninh mạng như lỗ hổng hệ thống phải tuân theo quy định của nhà nước. Vi phạm thì cơ quan quản lý buộc sửa, cảnh cáo, có thể phạt 10.000 đến 100.000 nhân dân tệ. Không chịu sửa hoặc tình tiết nghiêm trọng thì phạt 100.000 đến 1 triệu nhân dân tệ. Còn có thể buộc tạm ngừng nghiệp vụ liên quan, ngừng kinh doanh để chấn chỉnh, đóng trang web hoặc ứng dụng. Cũng có thể thu hồi giấy phép nghiệp vụ hoặc giấy phép kinh doanh. Người quản lý trực tiếp phụ trách và những người trực tiếp chịu trách nhiệm khác bị phạt 10.000 đến 100.000 nhân dân tệ (toàn Trung Quốc)

Mức bằng chứng

A

Ghi chú

Quy định ghi rõ cá nhân thuộc đối tượng bị quản, "tôi chỉ là dân nghiệp dư" không phải ngoại lệ. Gửi lỗ hổng của hệ thống trong nước Trung Quốc lên nền tảng săn lỗi (bug bounty) ở nước ngoài, là rơi đúng vào điều "lỗ hổng chưa công khai không được đưa ra nước ngoài". Có tư cách đi kiểm thử hay không, xem mục 9 (không có giấy uỷ quyền thì không kiểm thử hệ thống của người khác), phải xét riêng với việc có lỗ hổng rồi xử lý thế nào. Lỗ hổng phát hiện hợp pháp vẫn có thể bị phạt vì cách công bố sai quy định; lỗ hổng tìm ra khi chưa được uỷ quyền thì sai ở cả hai đầu, kiểm thử lẫn công bố. Quy định không phân biệt riêng trường hợp "đã báo hãng mà hãng không vá". Tác giả khuyên giữ lại hồ sơ quá trình trao đổi và báo cáo, đồng thời báo lên bốn nền tảng chính thức kể trên.

Phần này lấy từ bản luonglb/song-dang-tien.

Nguồn · 1

1. Bộ luật Hình sự, bản hợp nhất 135/VBHN-VPQH (Điều 285 khoản 1, Điều 289 khoản 1) — datafiles.chinhphu.vn/cpp/files/vbpq/2025/9/1… ; Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, Công báo số 971 và 972 ngày 24-7-2025 (Điều 20 khoản 1 và khoản 2, hiệu lực 1-1-2026) — congbaocdn.chinhphu.vn/CongBaoCP/VanBan/2025/… . Tra ngày 3/11/2026.