Không kiểm thử hệ thống của người khác khi chưa có văn bản cho phép: ý tốt và việc báo lại sau đó không xoá được hành vi

Thiếu giấy phép thì việc thử hệ thống là xâm nhập, và luật xét hành vi chứ không xét ý định. Khung nhẹ nhất là 50.000.000 đồng đến 300.000.000 đồng hoặc tù 1 năm đến 5 năm. Lấy dữ liệu ra để chứng minh lỗ hổng làm hồ sơ nặng thêm.

Chi phí

Không mất tiền, nhưng bạn phải chờ. Trước khi gõ dòng lệnh đầu tiên, bạn cần một văn bản ghi rõ bốn thứ: tên chủ hệ thống, danh sách mục tiêu được thử, khung thời gian được thử, và người có thẩm quyền ký. Bạn cũng cần đặt giới hạn cho mình: chứng minh lỗ hổng tồn tại rồi dừng, không kéo dữ liệu ra. Bạn phải dẹp cảm giác "thử một chút thôi, có gì tôi báo lại".

Lợi ích

Kiểm thử bảo mật phải có văn bản xác định phạm vi, thời gian và người cho phép. Tìm được lỗ hổng không làm cho việc truy cập ngoài phạm vi trở thành hợp pháp.

Pháp luật Việt Nam

Điều 289 khoản 1 Bộ luật Hình sự không nhắc tới mục đích của người thực hiện, chỉ nhắc tới việc xâm nhập trái phép rồi dẫn tới một trong bốn kết quả: chiếm quyền điều khiển, can thiệp vào chức năng, lấy cắp hoặc thay đổi hoặc hủy hoại hoặc làm giả dữ liệu, sử dụng trái phép các dịch vụ. Khung nhẹ nhất là phạt tiền 50.000.000 đồng đến 300.000.000 đồng, hoặc tù 1 năm đến 5 năm; khoản 2 là 300.000.000 đồng đến 1.000.000.000 đồng hoặc tù 3 năm đến 7 năm; khoản 3 là tù 7 năm đến 12 năm. Chữ "trái phép" trong điều luật được xác định bằng việc chủ hệ thống có cho phép hay không, và thứ chứng minh sự cho phép là văn bản, không phải lời nói trong nhóm chat. Điều 285 đứng bên cạnh: người tặng cho hoặc trao đổi công cụ, phần mềm có tính năng tấn công để dùng vào mục đích trái pháp luật bị phạt 20.000.000 đồng đến 100.000.000 đồng hoặc tù 3 tháng đến 2 năm, nên đưa mã khai thác cho người thuê cũng là một hành vi riêng. Luật An ninh mạng 24/2018 Điều 8 khoản 3 cấm xâm nhập trái phép vào hệ thống thông tin của người khác, không kèm ngoại lệ cho người có ý tốt.

Ghi chú

Vì sao mức B: khung tiền và khung tù có sẵn trong điều luật, nhưng điều luật không định nghĩa "trái phép" theo một mẫu giấy tờ nào, nên mức chắc chắn dừng ở B. Ở Việt Nam chưa có bản án công bố nào về một người kiểm thử xong rồi báo lại, vì vậy đừng chờ một tiền lệ miễn trừ. Ba cái bẫy hay gặp. Một: nhận việc qua một nhóm chat, chỉ có tin nhắn thoả thuận, rồi phát hiện người thuê không phải chủ hệ thống; đến lúc bị hỏi thì không ai đứng ra xác nhận, và người thuê bạn cũng mất liên lạc. Hai: dùng tài khoản được cấp cho một hệ thống để xem sang hệ thống khác của cùng khách, vì nghĩ rằng cùng một công ty thì cùng một quyền; quyền truy cập không tự mở rộng theo phạm vi công ty. Ba: kéo một bảng dữ liệu ra để "có bằng chứng rồi mới báo", mà thao tác kéo dữ liệu chính là kết quả thứ ba trong điều luật, nên từ chỗ chưa có gì để xử, bạn đã có một hành vi phạm tội. Mục này không có nghĩa là cấm học bảo mật, cấm dựng phòng thí nghiệm trên máy mình, hay cấm nhận hợp đồng kiểm thử: cái thiếu trong mọi câu chuyện xấu là tờ giấy ghi phạm vi, mục tiêu và thời hạn, và người ta chỉ đi tìm nó sau khi sự việc đã rồi.

Bản dịch sát bản gốc (Trung Quốc) để đối chiếu

Chi phí

Không tốn tiền. Trước khi tham gia SRC của hãng hoặc kiểm thử cộng đồng (crowdsourced testing), lấy văn bản ghi rõ phạm vi được phép, danh sách mục tiêu và khung giờ được kiểm thử. SRC là trung tâm ứng cứu sự cố an ninh do hãng tự lập, chuyên nhận lỗ hổng do người ngoài báo về. Xác minh được lỗ hổng có thật là dừng tay. Khó ở chỗ phải bỏ cái ý "tiện tay thử thêm phát nữa"

Nói đơn giản

Điều luật kết tội dựa vào việc có được uỷ quyền không và lấy được bao nhiêu, không nhắc gì tới ý định của bạn. Lấy được 500 bộ tài khoản, mật khẩu thông thường, hoặc kiếm 5.000 nhân dân tệ, gây thiệt hại 10.000 tệ, là đủ xử tới 3 năm tù. Để chứng minh lỗ hổng mà tiện tay xuất một bảng người dùng, thường một lần đã quá 500 bộ. Có sẵn tài khoản, mật khẩu, dùng ngoài phạm vi được cho phép cũng tính là xâm nhập.

Lợi ích

Hệ thống của công ty và cá nhân bình thường thuộc loại hệ thống thông tin máy tính ngoài các lĩnh vực công việc nhà nước, xây dựng quốc phòng, khoa học kỹ thuật mũi nhọn. Xâm nhập loại hệ thống này, hoặc dùng thủ đoạn kỹ thuật khác lấy dữ liệu được lưu, xử lý, truyền trong đó. Tình tiết nghiêm trọng thì xử tới 3 năm tù có thời hạn hoặc giam giữ hình sự ngắn hạn (theo luật Trung Quốc), kèm hoặc chỉ phạt tiền. Đặc biệt nghiêm trọng thì 3 đến 7 năm tù và phạt tiền. "Tình tiết nghiêm trọng" có mấy tiêu chí: lấy được từ 10 bộ thông tin xác thực danh tính (kiểu tài khoản, mật khẩu) của dịch vụ tài chính trên mạng như thanh toán, giao dịch chứng khoán, giao dịch hợp đồng tương lai; lấy được từ 500 bộ thông tin xác thực danh tính khác; kiểm soát trái phép từ 20 máy trở lên; thu lợi bất chính từ 5.000 nhân dân tệ, hoặc gây thiệt hại kinh tế từ 10.000 nhân dân tệ. Gấp 5 lần các con số trên trở lên là "tình tiết đặc biệt nghiêm trọng". Vụ việc chính thức: án lệ hướng dẫn số 36 của Viện Kiểm sát Nhân dân Tối cao (Trung Quốc) xác lập một câu: "dùng tài khoản, mật khẩu đăng nhập hệ thống thông tin máy tính vượt phạm vi được uỷ quyền là hành vi xâm nhập hệ thống thông tin máy tính". Nghĩa là trong tay vốn có tài khoản, mật khẩu, nhưng dùng ngoài phạm vi được cho phép, thì riêng hành vi đó đã tính là xâm nhập. Trong vụ này, ba người dùng tài khoản, mật khẩu và token có được khi làm việc để đăng nhập hệ thống nội bộ công ty từ nơi khác. Họ tải dữ liệu ngoài phạm vi công việc, đem bán trên mạng, thu lợi bất chính 37.000 nhân dân tệ. Ba người lần lượt bị xử 4 năm, 3 năm 9 tháng, 4 năm tù, mỗi người phạt 40.000 nhân dân tệ (toàn Trung Quốc)

Mức bằng chứng

A

Ghi chú

Án lệ hướng dẫn số 36 vốn là một vụ bán dữ liệu kiếm lời. Dẫn nó chỉ để lấy câu "đăng nhập vượt phạm vi được uỷ quyền cũng tính là xâm nhập", không có ý nói kiểm thử với ý tốt sẽ bị xử nặng như vậy. Điều 285 Bộ luật Hình sự (Trung Quốc) và bản giải thích năm 2011 đều không ghi "có ý tốt" hay "báo lại sau" là lý do không coi là tội phạm. Tác giả từ đó suy ra: bạn định làm gì, sau đó có báo lại hay không, đều không xoá được tội danh, chỉ có thể ảnh hưởng tới mức xử nặng nhẹ, có truy tố hay không. Hãng cảm ơn trước rồi quay lại trình báo, hai việc này không mâu thuẫn; cảm ơn không có nghĩa là uỷ quyền. Năm 2016, một nhà nghiên cứu bảo mật thường gọi là "hacker mũ trắng" gửi lỗ hổng của trang Thế Kỷ Giai Duyên lên một nền tảng lỗ hổng bên thứ ba. Sau đó Thế Kỷ Giai Duyên báo công an, anh ta bị bắt. Thế Kỷ Giai Duyên nói với phóng viên: báo công an vì có dữ liệu bị người lấy đi, lúc đó không biết người lấy dữ liệu chính là người gửi lỗ hổng. Vụ này chỉ có báo chí đưa tin, không có bản án, cũng không có thông báo chính thức, kết quả xử lý cuối cùng không có thông tin chính thức. Trên trang của Toà án Nhân dân Tối cao, Viện Kiểm sát Nhân dân Tối cao (Trung Quốc) cũng không tìm thấy vụ kiểm thử với ý tốt nào đối chiếu được từng chữ, nên mục này chỉ xếp mức theo điều luật và tiêu chuẩn xử lý. Muốn làm thì đi qua SRC công khai của hãng, hoặc kiểm thử có văn bản uỷ thác, ghi đủ phạm vi, mục tiêu và khung giờ vào văn bản. Chứng minh lỗ hổng bằng ít bằng chứng nhất, không lấy dữ liệu hàng loạt. Mức chưa tới tội phạm cũng bị xử phạt trị an, còn bị cấm hành nghề, số tiền phạt và số năm giống mục 8 (không chạy chương trình của mình trên máy người khác). Phát hiện lỗ hổng rồi xử lý thế nào, xem mục 10 (báo lỗ hổng đúng quy định).

Phần này lấy từ bản luonglb/song-dang-tien.

Nguồn · 1

1. Bộ luật Hình sự, bản hợp nhất 135/VBHN-VPQH (Điều 285 khoản 1, Điều 289 khoản 1, 2, 3) — datafiles.chinhphu.vn/cpp/files/vbpq/2025/9/1… ; Luật An ninh mạng 24/2018/QH14, Công báo số 775+776 ngày 14-7-2018 (Điều 8 khoản 3) — datafiles.chinhphu.vn/cpp/files/vbpq/2022/07/… . Tra ngày 3/11/2026.