Nhật Bản cân nhắc chặn website sau vụ rò rỉ dữ liệu GMO, làm dấy lên lo ngại về quyền riêng tư trong liên lạc

Vụ rò rỉ dữ liệu đưa biện pháp ngoại lệ vào tâm điểm

Nhật Bản dự định xem xét việc chặn website trong gói biện pháp an ninh mạng khẩn cấp, sau khi tin tặc công bố thông tin cá nhân đánh cắp trong một vụ tấn công mạng liên quan đến GMO Internet. Ngày 27 tháng 10, Bộ Nội vụ và Truyền thông đề nghị các nhà cung cấp dịch vụ viễn thông trong nước ngăn người dùng truy cập trang web đăng tải thông tin, viện dẫn nguy cơ thực tế về những thiệt hại tiếp theo.

Đề nghị được gửi tới các nhà mạng lớn thông qua một hiệp hội ngành. Biện pháp được đề xuất sẽ yêu cầu nhà cung cấp kiểm tra người dùng đang kết nối đến đâu và từ chối kết nối tới website bị nhắm mục tiêu. Cách tiếp cận này đặt hai khía cạnh quyền riêng tư vào cùng một cuộc tranh luận: bảo vệ những người bị đánh cắp thông tin và bảo vệ người dùng internet khỏi việc liên lạc của họ bị giám sát.

Website sau đó không thể truy cập được vì tên miền bị đình chỉ. Người ta cho rằng một nhà cung cấp tại Mỹ đã thực hiện việc này. Các công ty viễn thông Nhật Bản dường như đã không tiến hành chặn truy cập.

Hiện chính phủ dự định xem xét các vấn đề pháp lý liên quan đến việc chặn truy cập và những cách khác để ngăn thông tin bị đánh cắp bị sử dụng sai mục đích. Chưa có thời hạn hoàn tất việc xem xét hoặc thông qua gói biện pháp khẩn cấp.

Điều gì xảy ra sau khi thông tin bị công bố?

Vụ việc liên quan đến các dịch vụ giao dịch ký quỹ ngoại hối, thường gọi là FX, thuộc Tập đoàn GMO Internet. Các dịch vụ này cho phép khách hàng giao dịch tiền tệ bằng khoản tiền gửi làm tài sản bảo đảm. Mối quan ngại trực tiếp trong cuộc tranh luận về việc chặn truy cập là thông tin cá nhân bị công bố sau khi bị truy cập trái phép.

Diễn biến cho thấy đề nghị của chính phủ được đưa ra sau khi thông tin bị công bố và trước khi website không còn truy cập được:

• Trước ngày 27 tháng 10: Các dịch vụ giao dịch ký quỹ ngoại hối thuộc Tập đoàn GMO Internet bị truy cập trái phép.
• Ngày 27 tháng 10: Tin tặc đăng thông tin cá nhân thu thập được trong vụ việc, và Bộ Truyền thông đề nghị các nhà cung cấp trong nước chặn truy cập website.
• Sau khi thông tin được công bố: Tên miền của website bị đình chỉ, khiến trang không thể truy cập. Người ta cho rằng một nhà cung cấp tại Mỹ đã can thiệp.
• Sau vụ việc: Chính phủ dự định đưa việc xem xét chặn truy cập vào gói biện pháp an ninh mạng khẩn cấp.

Việc phân biệt giữa một đề nghị và một biện pháp hạn chế đã được thực thi là điều quan trọng để hiểu rõ diễn biến. Các nhà cung cấp được yêu cầu chuẩn bị biện pháp ngăn truy cập, trong khi hành động ảnh hưởng đến tên miền của website dường như đã khiến biện pháp đó không còn cần thiết ngay lúc ấy.

Vì sao chính phủ muốn ngăn truy cập?

Thông tin cá nhân vẫn có thể gây tổn hại cho chủ sở hữu sau khi vụ xâm nhập ban đầu đã chấm dứt. Một khi được công bố, thông tin có thể bị sao chép và chuyền tay cho người khác. Tùy vào nội dung, tội phạm có thể lợi dụng thông tin để khiến tin nhắn lừa đảo trở nên thuyết phục hơn hoặc nhắm vào cá nhân để tiếp tục gây hại.

Mối quan ngại mà Bộ Truyền thông nêu ra là nguy cơ thực tế xảy ra thiệt hại thứ cấp. Nói đơn giản, đó là tổn hại do thông tin bị đánh cắp tiếp tục bị sử dụng hoặc phát tán sau khi vụ trộm xảy ra. Ngăn mọi người truy cập trang đăng tải thông tin có thể hạn chế cơ hội lấy dữ liệu trong lúc các biện pháp khác được triển khai.

Chánh Văn phòng Nội các Kihara đề cập đến tổn hại quyền riêng tư do việc công khai thông tin cá nhân trên mạng. Ông nói:

Không thể chấp nhận việc thông tin cá nhân bị công bố trên mạng và quyền riêng tư bị xâm phạm.

Tuyên bố của ông giải thích lý do chính phủ muốn can thiệp. Những người bị lộ thông tin không thể tự thu hồi mọi bản sao, và mỗi lượt tải xuống tiếp theo có thể khiến việc ngăn chặn trở nên khó khăn hơn. Vì vậy, nhà chức trách chịu áp lực phải hành động đủ nhanh để hạn chế thông tin tiếp tục lưu truyền.

Việc chặn truy cập ảnh hưởng đến những người dùng internet khác ra sao?

Chặn website đặt biện pháp hạn chế ở nhà cung cấp dịch vụ viễn thông, thay vì xóa thông tin khỏi chính website đó. Nhà cung cấp xác định kết nối đang hướng đến địa chỉ bị nhắm mục tiêu rồi ngăn kết nối được thực hiện. Người dùng không cần đồng ý với biện pháp hạn chế này.

Để xác định những kết nối cần chặn, nhà cung cấp phải kiểm tra đích đến trong liên lạc của người dùng. Đó là lý do đề xuất này liên quan đến cả những người không bị ảnh hưởng bởi vụ việc tại GMO. Quy trình đòi hỏi kiểm tra các kết nối của người dùng mạng để tìm những kết nối hướng tới website được chọn.

Hiến pháp Nhật Bản và các luật khác bảo vệ bí mật liên lạc. Sự bảo vệ này bao gồm tính bảo mật của liên lạc, trong đó có thông tin về đích đến. Bản thân đích đến cũng có thể tiết lộ điều riêng tư, ngay cả khi nội dung tin nhắn không bị kiểm tra.

Vì vậy, lựa chọn chính sách đòi hỏi phải bảo vệ những nhóm người khác nhau bằng các biện pháp có thể đi ngược chiều nhau. Nhà chức trách muốn hạn chế truy cập thông tin bị đánh cắp, trong khi các nhà cung cấp dịch vụ viễn thông phải cân nhắc nghĩa vụ bảo vệ bí mật liên lạc của người dùng. Việc xem xét pháp lý được đề xuất sẽ phải giải quyết cả hai trách nhiệm này.

Vì sao các đề xuất trước đây được xem xét thận trọng?

Trong những trường hợp đặc biệt, Nhật Bản đã chấp nhận chặn các website lưu trữ tài liệu xâm hại tình dục trẻ em, được mô tả trong cuộc tranh luận là các website khiêu dâm trẻ em. Cơ sở biện minh là những tổn hại nghiêm trọng và kéo dài đối với trẻ em khi tài liệu như vậy tiếp tục lưu truyền, đồng thời cần hạn chế can thiệp vào bí mật liên lạc.

Các đề xuất dùng biện pháp chặn truy cập đối với website vi phạm bản quyền và sòng bạc trực tuyến cũng từng được xem xét, nhưng việc triển khai đã bị gác lại. Những tiền lệ này giúp lý giải vì sao việc áp dụng cùng biện pháp để ứng phó với vụ đánh cắp thông tin cá nhân lại nhạy cảm.

Vụ việc tại GMO sẽ đưa biện pháp chặn truy cập vào một bối cảnh khác: nỗ lực khẩn cấp nhằm hạn chế thiệt hại sau một vụ tấn công mạng. Chính phủ đang xem xét liệu biện pháp trước đây chỉ được chấp nhận trong những hoàn cảnh đặc biệt có thể được áp dụng thế nào khi ứng phó với các vụ rò rỉ thông tin nghiêm trọng.

Những chỉ trích về đề nghị này tập trung vào việc liệu nguy cơ có đủ cấp bách hay không và liệu đã tận dụng hết những cách khác để ngăn thông tin bị công bố hay chưa. Lời kêu gọi ban hành quy định pháp lý rõ ràng phản ánh một mối quan ngại thực tế: các nhà cung cấp cần biết khi nào họ được phép hạn chế truy cập, những điều kiện nào được áp dụng và quyết định có thể được xem xét lại ra sao.

Đề nghị cũng vấp phải vấn đề minh bạch

Chính phủ đưa ra đề nghị mà không thảo luận trước trong nội bộ chính phủ hoặc tại Quốc hội Nhật Bản. Bộ Truyền thông cũng chưa công khai thừa nhận đã đưa ra đề nghị này, dù có thông tin về việc cơ quan này tiếp cận các nhà cung cấp vào ngày 27 tháng 10.

Việc không thừa nhận khiến công chúng chưa có lời giải thích đầy đủ về quyết định. Cơ sở pháp lý của đề nghị, lý do khiến việc này cấp bách và những điều kiện đi kèm là các yếu tố cốt lõi để đánh giá liệu hành động đó có chính đáng hay không.

Mối quan ngại càng lớn vì biện pháp hạn chế được đề xuất sẽ do các công ty viễn thông tư nhân thực hiện. Các công ty này sẽ phải làm theo đề nghị của chính phủ, đồng thời cân nhắc các biện pháp bảo vệ người dùng theo pháp luật.

Một số người cho rằng đề nghị là biện pháp ứng phó phù hợp trước mối đe dọa trực tiếp đến quyền riêng tư. Những người chỉ trích gọi đây là quyết định vội vàng và yêu cầu giải thích công khai trước khi chặn truy cập trở thành một phần thường xuyên hơn trong chính sách an ninh mạng. Tranh cãi xoay quanh cả nhu cầu bảo vệ nạn nhân lẫn quy trình cho phép áp dụng biện pháp hạn chế.

Việc đình chỉ tên miền làm thay đổi điều gì?

Việc đình chỉ tên miền của những kẻ tấn công bị nghi ngờ khiến website không thể truy cập qua địa chỉ thông thường. Tên miền là tên dùng để truy cập một website. Đình chỉ tên miền làm gián đoạn con đường đó, trong khi việc các nhà cung cấp dịch vụ viễn thông Nhật Bản chặn truy cập sẽ hạn chế những kết nối đi qua mạng của họ.

Trong trường hợp này, hành động ảnh hưởng đến tên miền dường như đã giải quyết vấn đề truy cập trước mắt trước khi biện pháp chặn trong nước được thực thi. Sau đó, website được mô tả là đã bị xóa, dù thông tin cụ thể về cách chấm dứt truy cập cho thấy tên miền bị đình chỉ và một nhà cung cấp tại Mỹ được cho là đã can thiệp.

Vụ việc khiến mối quan hệ giữa biện pháp chặn truy cập và các biện pháp đối phó khác trở thành trọng tâm trong quá trình xem xét của chính phủ. Nhà chức trách sẽ cần cân nhắc mỗi lựa chọn có thể phát huy tác dụng nhanh đến đâu, tổ chức nào có thể hành động và khi nào cần áp đặt hạn chế thông qua các nhà cung cấp trong nước.

Việc chặn truy cập vẫn đang ở giai đoạn xem xét trong khuôn khổ gói biện pháp khẩn cấp. Nhiệm vụ trọng tâm là chuyển phản ứng khẩn cấp thành những quy định dễ hiểu: khi nào việc can thiệp là chính đáng, ai có quyền cho phép và quyền riêng tư trong liên lạc được bảo vệ ra sao khi nhà chức trách tìm cách hạn chế một vụ rò rỉ gây tổn hại.

Điểm chính

• Nhật Bản dự định xem xét việc chặn website trong gói biện pháp an ninh mạng khẩn cấp sau vụ việc liên quan đến GMO Internet.
• Ngày 27 tháng 10, Bộ Truyền thông đề nghị chặn truy cập, cùng ngày tin tặc công bố thông tin cá nhân bị đánh cắp.
• Đề nghị được gửi tới các nhà cung cấp dịch vụ viễn thông lớn trong nước thông qua một hiệp hội ngành.
• Tên miền của website bị nhắm mục tiêu sau đó bị đình chỉ và các nhà mạng trong nước dường như đã không triển khai biện pháp chặn.
• Việc chặn truy cập đòi hỏi nhà cung cấp kiểm tra đích đến trong liên lạc, làm dấy lên quan ngại về các biện pháp bảo vệ bí mật liên lạc tại Nhật Bản.
• Bộ chưa công khai thừa nhận đề nghị và chưa đưa ra thời hạn cho việc xem xét pháp lý.