Chữ ký số có giá trị như chữ ký và sự xác nhận của chính doanh nghiệp, nên ai nắm USB Token, mã PIN hay điện thoại ký số là nắm quyền quyết định. Bài viết đưa ra 12 nguyên tắc bảo mật chữ ký số, cảnh báo lừa đảo có nguồn chính thức, quy trình khi nghi lộ hoặc mất và checklist in ra được.
Giao mỗi USB Token hoặc tài khoản ký số từ xa cho một người chịu trách nhiệm, không chia sẻ mã PIN, OTP, không cho mượn và không cài phần mềm điều khiển từ xa theo yêu cầu người lạ. Khi nghi lộ hoặc mất, dừng ký và báo ngay nhà cung cấp để tạm dừng chứng thư: Nghị định 23/2025/NĐ-CP yêu cầu thuê bao thông báo trong vòng 24 giờ khi phát hiện khóa bí mật bị lộ, bị đánh cắp hoặc bị sử dụng trái phép.
Vì sao bảo mật chữ ký số là việc của người quản lý
Theo Điều 23 Luật Giao dịch điện tử 2023, chữ ký số của cơ quan, tổ chức đáp ứng yêu cầu xác nhận của tổ chức đó, nên ai dùng được khóa bí mật của doanh nghiệp là có thể nộp tờ khai, phát hành hóa đơn, ký hợp đồng nhân danh doanh nghiệp. Pháp luật đặt trách nhiệm rõ cho người dùng:
- Dữ liệu tạo chữ ký số chỉ thuộc sự kiểm soát của chủ thể ký tại thời điểm ký (điểm c khoản 3 Điều 22 Luật Giao dịch điện tử 2023).
- Thuê bao phải kiểm soát khóa bí mật an toàn khi chứng thư có hiệu lực và bị tạm dừng, và báo nhà cung cấp trong 24 giờ khi phát hiện khóa bị lộ, bị đánh cắp hoặc bị sử dụng trái phép (khoản 5, 6 Điều 45 Nghị định 23/2025/NĐ-CP).
- Chữ ký số của cơ quan, tổ chức chỉ được dùng cho giao dịch, hoạt động theo đúng thẩm quyền (Điều 14 Nghị định 23/2025/NĐ-CP).
Phần này tóm tắt quy định để tham khảo, không phải tư vấn pháp lý; hãy đối chiếu văn bản gốc khi xây dựng quy chế nội bộ.
12 nguyên tắc để không mất quyền kiểm soát
Mỗi Token, tài khoản ký số có một người chịu trách nhiệm
Lập sổ theo dõi chứng thư của ai, serial, ngày hết hạn, người giữ, nơi cất; ký thay phải có văn bản giao việc.
PIN chỉ người giữ biết
Đổi PIN khi nhận Token mới hoặc nhận bàn giao, theo hướng dẫn đổi mã PIN USB Token. Không ghi PIN lên Token, không gửi qua tin nhắn hay email.
Không cho mượn, không ký ngoài thẩm quyền
Cho mượn Token cũng là giao quyền ký. Nếu kế toán dịch vụ giữ Token, hãy lập biên bản giao nhận và thỏa thuận trách nhiệm.
Bàn giao khi nghỉ việc hoặc đổi vị trí
Thu hồi Token, đổi PIN, rà soát tài khoản thuế, hóa đơn, BHXH người đó quản lý. Với ký số từ xa, cập nhật người và thiết bị xác thực qua nhà cung cấp.
Cảnh giác cuộc gọi, email “cập nhật, gia hạn chữ ký số”
Người lạ báo chữ ký số sắp bị khóa, đòi PIN, OTP, cài phần mềm hay chuyển tiền gấp: dừng lại, tự tìm số liên hệ trên website chính thức rồi gọi lại.
Không cài phần mềm điều khiển từ xa theo yêu cầu người lạ
Chỉ cho điều khiển máy khi chính bạn chủ động liên hệ kênh hỗ trợ đã biết, theo dõi suốt phiên và tự nhập PIN; xong tắt phần mềm, rút Token.
Máy tính dùng chung phải có ranh giới
Dùng tài khoản Windows riêng có mật khẩu, khóa màn hình khi rời chỗ, rút Token ngay sau khi ký.
Chỉ dùng phần mềm từ nguồn chính thức
Không chạy công cụ “mở khóa”, “sửa Token” trôi nổi. Khởi tạo lại Token hay xóa chứng thư không hoàn tác được, chỉ làm theo hướng dẫn của nhà cung cấp.
Kiểm tra trước khi bấm ký
Xem đúng tài liệu, đúng chứng thư (tên, mã số thuế, serial) và chứng thư còn hiệu lực. Máy cắm nhiều Token thì theo bài dùng nhiều USB Token trên một máy tính.
Sao lưu thông tin cần thiết, không sao lưu PIN
Lưu danh sách serial, ngày hết hạn, hợp đồng, đầu mối nhà cung cấp ở nơi an toàn; không lưu PIN, OTP, mã kích hoạt trong tệp dùng chung, nhóm chat.
Bảo vệ điện thoại khi dùng ký số từ xa
Khóa màn hình, không dùng chung máy, chỉ xác nhận lệnh ký do chính bạn tạo; gặp lệnh ký lạ thì từ chối và báo nhà cung cấp. Chi tiết trong bài chữ ký số từ xa là gì.
Biết trước cách tạm dừng, thu hồi
Ghi sẵn kênh liên hệ nhà cung cấp và người có quyền đề nghị. Thuê bao có quyền yêu cầu tạm dừng, thu hồi chứng thư (khoản 2 Điều 45); phân biệt hai việc này trong bài chứng thư chữ ký số: tạm dừng, thu hồi, gia hạn.
Nhận diện các kịch bản lừa đảo liên quan đến chữ ký số
Đây không chỉ là giả định: Trung tâm Chứng thực điện tử quốc gia (NEAC) đăng lại cảnh báo của VNCERT/CC (20/05/2024) về email giả mạo đơn vị cung cấp chữ ký số, báo “hết hạn”, “token bị khóa” để dụ gia hạn rồi chiếm đoạt tài sản; Cục Thuế cảnh báo đối tượng giả danh cán bộ thuế gửi đường dẫn cài phần mềm giả mạo ứng dụng ngành thuế để lấy cắp thông tin cá nhân, tài khoản ngân hàng. Điểm chung: tạo cảm giác gấp và đòi thứ chỉ bạn được giữ.
| Dấu hiệu | Vì sao đáng ngờ | Cách xử lý |
|---|---|---|
| Email báo token “bản cũ – hết hạn”, “bị khóa”, gửi từ gmail hoặc tên miền nước ngoài | Mẫu thư NEAC, VNCERT/CC đã cảnh báo | Không bấm đường dẫn; tự liên hệ nhà cung cấp kiểm tra thời hạn, hợp đồng |
| Cuộc gọi báo chữ ký số “sắp bị khóa, phải cập nhật ngay hôm nay” | Áp lực thời gian khiến bạn không kịp kiểm tra | Cúp máy, tự xem ngày hết hạn, gọi lại số trên website chính thức |
| Đề nghị đọc mã PIN, OTP hoặc mã kích hoạt “để kiểm tra” | Ai có chúng có thể ký thay bạn | Không cung cấp; PIN chỉ nhập trên thiết bị của người giữ |
| Đường dẫn, tệp cài “công cụ gia hạn” gửi qua tin nhắn, email lạ | Có thể là phần mềm độc hại, điều khiển từ xa | Chỉ tải từ trang chính thức; hỏi lại đội hỗ trợ quen |
| Yêu cầu chuyển tiền gia hạn vào tài khoản cá nhân | Không khớp kênh thanh toán theo hợp đồng | Đối chiếu hợp đồng, xác minh qua kênh chính thức |
Không ai cần biết mã PIN của bạn để “kiểm tra” hay “gia hạn” chữ ký số. Cục Thuế lưu ý cán bộ hỗ trợ của cơ quan thuế không truy cập trực tiếp vào máy tính hay điện thoại của người nộp thuế. Trang hỗ trợ của Viettel-CA – dịch vụ chứng thực chữ ký số của Viettel (viettel-ca.vn) có hướng dẫn riêng cho trường hợp lộ mật khẩu USB Token.
Quy trình khi nghi lộ PIN hoặc mất Token, điện thoại
Dừng ký và ghi lại sự việc
Rút Token hoặc thoát ứng dụng ký; ghi thời điểm phát hiện, dấu hiệu bất thường, ai đã tiếp cận thiết bị.
Báo nhà cung cấp trong 24 giờ, đề nghị tạm dừng
Liên hệ nhà cung cấp để đề nghị tạm dừng chứng thư: thuê bao phải thông báo trong 24 giờ (Điều 45) và có thể yêu cầu tạm dừng bằng văn bản (Điều 41). Nếu chỉ nghi lộ PIN mà Token vẫn trong tay, đổi PIN ngay và hỏi nhà cung cấp có cần tạm dừng không.
Khóa tài khoản liên quan, rà soát giao dịch
Đổi mật khẩu tài khoản thuế, hóa đơn điện tử, BHXH, email; rà soát tờ khai, hóa đơn, hợp đồng đã ký gần đây, báo bên liên quan nếu có giao dịch lạ.
Phục hồi hoặc thu hồi, cấp lại
Tìm lại thiết bị và xác định an toàn: làm thủ tục phục hồi. Mất hẳn hoặc khóa đã lộ: đề nghị thu hồi; với USB Token, Viettel-CA hướng dẫn nhanh chóng làm thủ tục hủy chứng thư cũ, mua lại Token và cấp lại chứng thư mới. Thủ tục xem tại cấp lại USB Token Viettel do hỏng hoặc thất lạc.
Cập nhật chứng thư mới trên các cổng
Đăng ký hoặc cập nhật chứng thư mới trên cổng thuế, BHXH, hải quan, phần mềm hóa đơn; ký thử trước hồ sơ quan trọng.
Nhập sai PIN nhiều lần làm Token bị khóa để bảo vệ khóa bí mật; đừng dùng công cụ lạ để mở, hãy xem bài USB Token Viettel-CA bị khóa mã PIN.
Checklist bảo mật chữ ký số (in ra được)
In ra, dán tại chỗ người giữ chữ ký số; rà soát mỗi quý hoặc khi đổi nhân sự.
- Mỗi Token, tài khoản ký số từ xa có một người chịu trách nhiệm, ghi trong sổ theo dõi.
- PIN đã đổi khỏi giá trị ban đầu, không ghi ở nơi dùng chung.
- Không cho mượn Token; ký thay có văn bản giao quyền; rút Token sau khi ký, cất nơi có khóa.
- Máy tính ký số có tài khoản riêng, khóa màn hình, phần mềm từ nguồn chính thức, không cài phần mềm điều khiển từ xa theo yêu cầu người lạ.
- Điện thoại ký số từ xa có khóa màn hình, không dùng chung.
- Đã biết kênh liên hệ nhà cung cấp và người có quyền đề nghị tạm dừng, thu hồi.
- Có quy trình bàn giao khi nghỉ việc, lịch nhắc gia hạn và danh sách cổng cần cập nhật khi có chứng thư mới.
Câu hỏi thường gặp
Mất USB Token thì việc đầu tiên cần làm là gì?
Báo ngay nhà cung cấp để đề nghị tạm dừng chứng thư; Nghị định 23/2025/NĐ-CP yêu cầu thuê bao thông báo trong vòng 24 giờ khi phát hiện khóa bí mật bị lộ, bị đánh cắp hoặc bị sử dụng trái phép. Sau đó đổi mật khẩu các tài khoản liên quan và rà soát giao dịch gần đây.
Nhân viên hỗ trợ điều khiển máy từ xa có cần tôi đọc mã PIN không?
Không. Bạn tự nhập PIN trực tiếp trên máy của mình và chỉ cho điều khiển máy khi chính bạn chủ động liên hệ kênh hỗ trợ đã biết, theo dõi suốt phiên.
Cuộc gọi, email báo chữ ký số sắp bị khóa có đáng tin không?
Đừng xử lý ngay. NEAC từng cảnh báo email giả mạo nhà cung cấp báo token hết hạn, bị khóa để lừa gia hạn. Hãy tự xem ngày hết hạn trên chứng thư, liên hệ nhà cung cấp qua kênh chính thức; không đọc PIN, OTP và không cài phần mềm theo yêu cầu.
Tạm dừng chứng thư có ảnh hưởng tài liệu đã ký trước đó không?
Trạng thái chứng thư được kiểm tra tại thời điểm thực hiện ký số (Điều 16 Nghị định 23/2025/NĐ-CP), nên tạm dừng chủ yếu ngăn các lần ký mới. Nếu nghi có chữ ký giả mạo trước khi tạm dừng, hãy ghi lại mốc thời gian và trao đổi với nhà cung cấp.
Nghi lộ hoặc mất chữ ký số?
Báo sự cố để được hướng dẫn tạm dừng, cấp lại và cập nhật chứng thư. Không gửi mã PIN, OTP hay mã kích hoạt khi trao đổi.
Nguồn đối chiếu: NEAC – Cảnh báo lừa đảo; Cục Thuế – Giả mạo ứng dụng; Nghị định 23/2025/NĐ-CP; Viettel-CA – Lộ mật khẩu Token; Viettel-CA – Mất, hỏng Token. Thông tin có thể thay đổi; ưu tiên hướng dẫn hiện hành của cơ quan/nhà cung cấp tại thời điểm thao tác. Cập nhật: 28/09/2026.
