Dữ liệu bị đánh cắp : Một thị trường chợ đen béo bở và có cấu trúc chặt chẽ

Các dữ liệu bị rò rỉ hay đánh cắp không còn đơn thuần là « sản phẩm phụ » của các cuộc tấn công mạng. Các nghiên cứu gần đây đã chỉ ra rằng chúng đang trở thành một « nguồn tài nguyên vận hành » được mua bán và tái khai thác trong một hệ sinh thái tội phạm mạng có tổ chức chặt chẽ.

Theo các khảo sát gần đây, ngoài một số vụ tấn công mạng có mục tiêu chính trị và địa chính trị, 86% các vụ xâm phạm dữ liệu có mục tiêu kiếm tiền và 55% số vụ tấn công là do các nhóm tội phạm có tổ chức thực hiện. Những dữ liệu bị đánh cắp này sau đó sẽ được rao bán trên Internet, đặc biệt là trên thị trường chợ đen của Dark Web.

Những người rao bán và mua dữ liệu đánh cắp là ai ? Rayna Stambouliscka, tổng giám đốc công ty tư vấn an ninh mạng RS Stratégie, cộng tác viên Trung tâm Nghiên cứu Quốc gia Pháp (CNRS), trên đài France Culture cho biết : « Đó là những người muốn bán lại các dữ liệu, hoặc họ tự đánh cắp dữ liệu, hoặc họ mua dữ liệu rẻ hơn từ người khác, hoặc họ có một nguồn cung cấp liên tục các dữ liệu mới giá rẻ… Nhìn chung, có hai loại hình chính : Những người thích các dữ liệu của cá nhân và những người thích các dữ liệu của các tổ chức ».

Giống như trên eBay của Mỹ hay Leboncoin tại Pháp, dữ liệu bị rò rỉ được chào bán trên Dark Web, có ghi rõ xuất xứ và các mẫu dữ liệu giống như trong cửa hàng nước hoa, theo giải thích của Gael Musquet, một hacker, với đài France Inter : « Quý vị nhận được các mẫu cho phép xác minh chất lượng dữ liệu, mức độ cuộc tấn công đã được thực hiện ».

Các nghiên cứu gần đây cho thấy thị trường ngầm này có quy mô to lớn. Năm 2024, lần đầu tiên các hoạt động mua bán dữ liệu bị đánh cắp cán mốc 2 tỷ đô la. Và chỉ riêng trong sáu tháng đầu năm 2025, người ta ghi nhận hơn 1,4 tỷ bản ghi dữ liệu bị xâm phạm. Một công trình khảo sát 30 chợ darknet lớn đã phát hiện hơn 96 ngàn tin rao bán dữ liệu đánh cắp từ khoảng 3000 người bán chỉ trong vòng tám tháng. Doanh thu được ghi nhận trong thời gian nghiên cứu vượt 140 triệu đô la, nhưng con số này được cho là khá nhỏ so với quy mô thực tế của thị trường hiện nay.

Dark Web : Tin tặc đóng vai trò « nhà sản xuất »

Nền kinh tế ngầm này ngày càng giống với các nền tảng thương mại điện tử hợp pháp, thậm chí có cả dịch vụ chăm sóc khách hàng và hệ thống đánh giá người bán. Điều này minh chứng cho sự phát triển mạnh mẽ của mô hình mà trang Businesstechweekly gọi là « tội phạm mạng như một dịch vụ » (Cybercrime-as-a-Service).

Các cuộc điều tra do Synacktiv 1  tiến hành còn chỉ ra rằng thị trường này là một chu trình khai thác có thể kéo dài nhiều năm, với sự tham gia của nhiều nhóm tác nhân khác nhau, được phân công lao động tương tự như « các chuỗi gia công trong ngành công nghiệp », theo như cách diễn đạt của Maxence Fossat, chuyên gia an ninh mạng tại Synacktiv, trong một báo cáo công bố ngày 28/05/2026.

Cụ thể, mạng lưới này được phân chia giữa những người thu thập dữ liệu bằng cách sử dụng các phần mềm đánh cắp thông tin (infostealers) hoặc trực tiếp xâm nhập vào hệ thống; Các đơn vị tổng hợp dữ liệu, chuyên tập hợp và hợp nhất các dữ liệu thu được từ nhiều vụ rò rỉ khác nhau; Các nhà cung cấp dịch vụ kiểm thử tự động, chỉ giữ lại những thông tin truy cập thực sự còn hiệu lực và có thể khai thác được. Và sau cùng là các đầu mối môi giới, bán lại chuyên biệt, những người chào bán các quyền truy cập này cho các nhóm tội phạm khác, trong đó nổi bật nhất là các tổ chức vận hành phần mềm tống tiền (ransomware).

Tuy nhiên, không phải mọi dữ liệu thu được từ một vụ rò rỉ đều có giá trị thương mại trong cùng một khoảng thời gian. Bà Yamina Tadjeddine Fourneyron, giáo sư kinh tế tại đại học Lorraine, chuyên gia về tài sản tiền điện tử, trên đài France Culture giải thích : « Khi bạn vào Dark Web, những thị trường chợ đen, để bán lại, bạn sẽ thấy mọi thứ được tổ chức theo bản chất của thông tin được bán. Đó là lĩnh vực chăm sóc sức khỏe, dữ liệu tài chính, hay dữ liệu cá nhân, ít nhiều đầy đủ thông tin hay không ? Và bạn sẽ tìm thấy những người chuyên về từng lĩnh vực, và sau đó là danh tiếng và xếp hạng phản ánh độ tin cậy của người bán lại. »

Theo hacker Gael Musquet, thông tin cá nhân này được mua bán, đấu giá, thậm chí được cho không nếu không ai muốn. Và đối với những tội phạm ít kinh nghiệm hơn, sách hướng dẫn và thiết bị cũng được cung cấp đính kèm: « Họ có dữ liệu thô, nhưng cũng có cả công cụ phân tích, công cụ gửi email và tin nhắn văn bản. Tóm lại, tùy thuộc vào trình độ kỹ năng của người có được những tập tin này, tội phạm mạng sẽ cung cấp các công cụ để khai thác dữ liệu đó dễ dàng hoặc khó khăn hơn. »

Những dữ liệu có giá trị cao nhất

Trang ITSocial còn lưu ý thêm, trong nền kinh tế ngầm của tội phạm mạng, mỗi dữ liệu bị đánh cắp có « vòng đời kinh tế » riêng : Cookie phiên làm việc có giá trị rất cao nhưng ngắn hạn, trong khi các cặp « tên đăng nhập và mật khẩu » có thể tiếp tục được mua bán và khai thác trong thời gian dài hơn.

Các dữ liệu kỹ thuật lại tuân theo một logic khai thác dài hạn. Những dữ liệu như tài liệu nội bộ, cấu hình hạ tầng công nghệ thông tin, sơ đồ kiến trúc hệ thống, hay mã nguồn phần mềm có thể được lưu giữ trong nhiều năm trước khi được sử dụng để phát hiện các lỗ hổng bảo mật, hoặc chuẩn bị cho các cuộc tấn công có chủ đích.

Loại hình khai thác này chủ yếu liên quan đến các tác nhân có năng lực cao, đặc biệt là những nhóm hoạt động vì lợi ích quốc gia hoặc phục vụ mục tiêu tình báo kinh tế. Đối với các tin tặc, giá trị của dữ liệu không nằm ở khả năng bán lại ngay lập tức, mà ở tiềm năng cung cấp thông tin chiến lược trong dài hạn.