Trung Quốc xử phạt các vi phạm về an ninh mạng, bao gồm quy định về nhãn dán và đánh giá an toàn AI

Theo tin từ IT ngày 15 tháng 9, tài khoản WeChat "" (Cyberspace Administration of China) hôm nay (15/9) đã đăng tải thông báo cho biết, thời gian qua, hệ thống quản lý không gian mạng trên toàn quốc đã nghiêm túc quán triệt và thực thi các quy định pháp luật như "Luật An ninh mạng", "Luật An toàn dữ liệu", "Luật Bảo vệ thông tin cá nhân", "Quy định về quản lý an ninh dữ liệu mạng", v.v. Đồng thời, liên tục tăng cường thực thi pháp luật trong các lĩnh vực an ninh mạng, an toàn dữ liệu và bảo vệ thông tin cá nhân; xử lý theo pháp luật hàng loạt vụ việc điển hình liên quan đến sửa đổi trang web, cài đặt chương trình độc hại, rò rỉ dữ liệu, rò rỉ thông tin cá nhân, thu thập và sử dụng trái phép thông tin cá nhân, chuyển thông tin cá nhân ra nước ngoài trái phép, không thực hiện yêu cầu gắn nhãn nội dung do AI tạo ra/tổng hợp, cũng như đưa các công nghệ và ứng dụng mới vào vận hành mà chưa qua đánh giá.

Người phụ trách Văn phòng Quản lý Không gian mạng Quốc gia (CAC) cho biết, an ninh mạng, an toàn dữ liệu và bảo vệ thông tin cá nhân có liên quan mật thiết đến an ninh quốc gia, lợi ích công cộng của xã hội và quyền lợi hợp pháp của nhân dân. Các đơn vị và doanh nghiệp liên quan cần thực hiện nghiêm túc các yêu cầu của pháp luật, thực hiện đầy đủ trách nhiệm chủ thể, xây dựng lá chắn an ninh không gian mạng vững chắc. Cơ quan quản lý không gian mạng sẽ tiếp tục tăng cường công tác thực thi pháp luật, kiên quyết xử lý các vấn đề vi phạm pháp luật nổi cộm, nhằm bảo vệ sự phát triển chất lượng cao của lĩnh vực không gian mạng bằng các hoạt động thực thi pháp luật hiệu quả.

IT đính kèm các vụ việc liên quan trong thông báo lần này.

Vụ án sửa đổi trang web của một công ty điện tử tại Thượng Hải

Cơ quan quản lý không gian mạng phát hiện, từ năm 2020, doanh nghiệp này đã bỏ bê vấn đề mật khẩu yếu của tài khoản quản trị viên trong hệ thống hậu đài của cổng thông tin điện tử trong thời gian dài, không kịp thời giám sát và xử lý các rủi ro an ninh như tấn công brute-force. Hệ thống này đã bị tấn công vào tháng 4 năm 2026, các tệp tin gốc của trang web bị chèn mã độc. Khi tìm kiếm nội dung liên quan đến trang web qua công cụ tìm kiếm, kết quả trả về xuất hiện hàng loạt thông tin xấu độc và vi phạm pháp luật nghiêm trọng. Doanh nghiệp này đã không thực hiện nghĩa vụ bảo vệ an ninh mạng theo quy định, không khởi động phương án ứng phó khẩn cấp và áp dụng biện pháp khắc phục khi xảy ra sự cố an ninh mạng, không kịp thời báo cáo cho cơ quan chức năng, vi phạm "Luật An ninh mạng" và các quy định pháp luật khác. Văn phòng quản lý không gian mạng địa phương đã ra lệnh chấn chỉnh và xử phạt hành chính theo quy định.

Vụ án cài đặt chương trình độc hại của một công ty công nghệ mạng tại Bắc Kinh

Cơ quan quản lý không gian mạng phát hiện, doanh nghiệp này vận hành ứng dụng "" (Trợ lý X) với khoảng 350.000 người dùng. Nhân viên Lưu (Liu) trong thời gian làm việc đã tham gia phát triển ứng dụng này, sau đó do bất mãn về vấn đề gia hạn hợp đồng lao động nên trước khi nghỉ việc đã cài đặt chương trình độc hại vào ứng dụng để trục lợi phí quảng cáo. Sau khi người dùng cài đặt ứng dụng, các chức năng như trang chủ trình duyệt, công cụ tìm kiếm và dấu trang (bookmark) đều bị chuyển hướng sang các liên kết quảng cáo. Doanh nghiệp này đã không thực hiện nghĩa vụ bảo vệ an ninh mạng, lơ là quản lý ứng dụng và nhân viên, không kịp thời phát hiện và khắc phục sự cố, gây nguy hại đến an ninh mạng của người dùng, vi phạm "Luật An ninh mạng" và các quy định pháp luật khác. Văn phòng quản lý không gian mạng địa phương đã ra lệnh chấn chỉnh, xử phạt hành chính và chuyển hồ sơ vụ việc có dấu hiệu vi phạm pháp luật của nhân viên Lưu sang cơ quan công an.

Vụ án đánh cắp dữ liệu của một công ty công nghiệp dữ liệu tại An Huy

Cơ quan quản lý không gian mạng phát hiện, trong quá trình phát triển "Hệ thống quản lý hồ sơ số", doanh nghiệp này đã sử dụng phiên bản mã nguồn mở ES có lỗ hổng truy cập trái phép, đồng thời không xóa dữ liệu thử nghiệm sau khi hoàn tất phát triển, dẫn đến việc hơn 2.400 tệp tin nội bộ như báo cáo kiểm toán, hợp đồng, biên bản cuộc họp bị đánh cắp, bao gồm cả các nội dung nhạy cảm như báo cáo đánh giá bảo vệ cấp độ an ninh mạng, tài liệu phê duyệt dự án và dự toán. Doanh nghiệp này đã không thực hiện nghĩa vụ bảo vệ an ninh mạng và an toàn dữ liệu, không áp dụng các biện pháp kỹ thuật cần thiết, vi phạm "Luật An ninh mạng", "Luật An toàn dữ liệu", "Quy định về quản lý an ninh dữ liệu mạng" và các quy định pháp luật khác. Văn phòng quản lý không gian mạng địa phương đã ra lệnh chấn chỉnh, cảnh cáo, xử phạt hành chính doanh nghiệp và xử phạt người chịu trách nhiệm trực tiếp.

Vụ án rủi ro rò rỉ dữ liệu tại một bệnh viện ở Hà Nam

Cơ quan quản lý không gian mạng phát hiện, hệ thống khám sức khỏe của bệnh viện này tồn tại lỗ hổng mật khẩu yếu, thông qua đó có thể truy cập dữ liệu bệnh án. Sau khi yêu cầu bệnh viện chấn chỉnh toàn diện, cơ quan chức năng kiểm tra lại và phát hiện các thiết bị an ninh như tường lửa, hệ thống phòng chống xâm nhập, công cụ quét lỗ hổng, hệ thống kiểm toán nhật ký, hệ thống kiểm toán cơ sở dữ liệu, máy chủ trung gian (bastion host) đều bị vô hiệu hóa do hết hạn bản quyền. Hệ thống mạng vẫn tồn tại 700 lỗ hổng bảo mật, bao gồm 73 lỗ hổng nguy cơ cao có thể bị khai thác, rủi ro rò rỉ dữ liệu vẫn chưa được loại bỏ. Bệnh viện này đã vi phạm "Luật An ninh mạng", "Luật An toàn dữ liệu", "Quy định về quản lý an ninh dữ liệu mạng". Văn phòng quản lý không gian mạng địa phương đã ra lệnh chấn chỉnh, cảnh cáo, xử phạt hành chính bệnh viện và người chịu trách nhiệm trực tiếp, đồng thời thông báo tình hình cho cơ quan y tế địa phương.

Vụ án rủi ro rò rỉ thông tin cá nhân của một công ty công nghệ phần mềm tại Quảng Đông

Cơ quan quản lý không gian mạng phát hiện, sản phẩm phần cứng "" (Hộp X) do doanh nghiệp này phát triển tồn tại lỗ hổng truy cập trái phép, cho phép truy cập vào cổng điều khiển 4000 qua trình duyệt mà không cần xác thực đăng nhập, từ đó xem được thông tin trạng thái xe. Sau khi người dùng liên kết với tài khoản WeChat, quá trình truyền tải thông tin cá nhân từ thiết bị vào tài khoản hoặc truy vấn trạng thái xe đều không được mã hóa. Doanh nghiệp này đã không thực hiện nghĩa vụ bảo vệ thông tin cá nhân, không áp dụng các biện pháp kỹ thuật cần thiết như xác thực danh tính, mã hóa dữ liệu, vi phạm "Luật An ninh mạng", "Luật Bảo vệ thông tin cá nhân", "Quy định về quản lý an ninh dữ liệu mạng". Văn phòng quản lý không gian mạng địa phương đã ra lệnh chấn chỉnh và cảnh cáo doanh nghiệp.

Vụ án ép buộc thu thập và sử dụng thông tin cá nhân không cần thiết của một công ty công nghệ thông tin tại Chiết Giang

Cơ quan quản lý không gian mạng phát hiện, ứng dụng quản lý thể thao do doanh nghiệp này vận hành yêu cầu người dùng cấp quyền định vị, quyền điện thoại, quyền lưu trữ... một cách bắt buộc khi mở tính năng chạy bộ. Nếu người dùng không đồng ý, ứng dụng sẽ từ chối cung cấp tính năng chạy bộ với lý do người dùng từ chối cấp quyền. Doanh nghiệp này đã không cung cấp các lựa chọn tính năng khác biệt cho người dùng trong các tình huống khác nhau, ép buộc cấp nhiều quyền cùng lúc, đồng thời thu thập thông tin cá nhân không cần thiết vượt quá phạm vi khi đã có các phương thức thay thế khác, vi phạm "Luật Bảo vệ thông tin cá nhân", "Quy định về quản lý an ninh dữ liệu mạng" và các quy định pháp luật khác. Văn phòng quản lý không gian mạng địa phương đã ra lệnh chấn chỉnh và cảnh cáo doanh nghiệp.

Vụ án thu thập trái phép thông tin khuôn mặt của một công ty bất động sản tại Trùng Khánh

Cơ quan quản lý không gian mạng phát hiện, doanh nghiệp này đã lắp đặt hơn 10 thiết bị thu thập hình ảnh tại nơi làm việc, thu thập và lưu trữ hơn 5.000 dữ liệu khuôn mặt của khách hàng để nhận diện danh tính và phục vụ mục đích tiếp thị phối hợp với các đơn vị trung gian. Doanh nghiệp này đã không thông báo trung thực, chính xác và đầy đủ cho khách hàng về mục đích, phương thức và phạm vi sử dụng thông tin khuôn mặt, thu thập và sử dụng khi chưa có sự đồng ý riêng biệt của khách hàng, vi phạm "Luật Bảo vệ thông tin cá nhân", "Quy định về quản lý an ninh dữ liệu mạng" và các quy định pháp luật khác. Văn phòng quản lý không gian mạng địa phương đã ra lệnh chấn chỉnh, cảnh cáo và xử phạt hành chính doanh nghiệp.

Vụ án thu thập vượt quá phạm vi và chuyển thông tin cá nhân ra nước ngoài trái phép của một công ty công nghệ tại Thượng Hải

Cơ quan quản lý không gian mạng phát hiện, từ năm 2022, doanh nghiệp này liên tục thu thập thông tin về cấu hình máy chủ, thời gian sử dụng, hệ thống người dùng thông qua ứng dụng trên Windows, đồng thời truyền tải các thông tin này cùng với tên, số điện thoại, email, ngày sinh, mật khẩu... của người dùng đến các trung tâm dữ liệu ở nước ngoài. Doanh nghiệp này đã thu thập thông tin cá nhân vượt quá phạm vi tối thiểu cần thiết và chuyển dữ liệu ra nước ngoài mà không thực hiện khai báo đánh giá an ninh theo quy định, vi phạm "Luật Bảo vệ thông tin cá nhân", "Quy định về thúc đẩy và quản lý dòng chảy dữ liệu xuyên biên giới" và các quy định pháp luật khác. Văn phòng quản lý không gian mạng địa phương đã ra lệnh chấn chỉnh và xử phạt hành chính doanh nghiệp.

Vụ án tiểu chương trình (Mini Program) của một công ty công nghệ tại Tứ Xuyên không thực hiện yêu cầu gắn nhãn nội dung do AI tạo ra/tổng hợp

Cơ quan quản lý không gian mạng phát hiện, tiểu chương trình WeChat do doanh nghiệp này vận hành cung cấp dịch vụ đối thoại văn bản AI, tạo ảnh... nhưng không gắn nhãn hiển thị cho nội dung do AI tạo ra/tổng hợp, không thêm nhãn ẩn trong siêu dữ liệu (metadata) chứa thông tin thuộc tính, tên nhà cung cấp dịch vụ hoặc mã định danh, không gắn nhãn khi cung cấp tính năng xuất tệp, đồng thời không thực hiện đánh giá an ninh theo quy định, gây rủi ro an ninh nội dung. Hành vi này vi phạm "Quy định quản lý tổng hợp sâu dịch vụ thông tin internet", "Biện pháp quản lý gắn nhãn nội dung do AI tạo ra/tổng hợp", "Quy định về đánh giá an ninh dịch vụ thông tin internet có thuộc tính dư luận hoặc khả năng huy động xã hội". Cơ quan quản lý không gian mạng đã ra lệnh gỡ bỏ tiểu chương trình này.

Vụ án một công ty công nghệ tại Giang Tô cung cấp dịch vụ AI tạo sinh mà không thực hiện đánh giá an ninh theo quy định

Cơ quan quản lý không gian mạng phát hiện, 2 trang web do doanh nghiệp này vận hành sử dụng phương thức "API trung chuyển" để gọi giao diện của nhiều mô hình ngôn ngữ lớn (LLM), cung cấp dịch vụ đối thoại, hỏi đáp... nhưng không thực hiện đánh giá an ninh theo quy định, gây rủi ro an ninh nội dung. Hành vi này vi phạm "Biện pháp tạm thời quản lý dịch vụ trí tuệ nhân tạo tạo sinh", "Quy định về đánh giá an ninh dịch vụ thông tin internet có thuộc tính dư luận hoặc khả năng huy động xã hội" và các quy định pháp luật khác. Văn phòng quản lý không gian mạng địa phương đã ra lệnh chấn chỉnh, xử lý nghiêm người chịu trách nhiệm và cảnh cáo doanh nghiệp.