Lộ ảnh CCCD có sao không, có bị mở tài khoản sàn mạo danh?

Lộ ảnh CCCD (thẻ căn cước công dân; thẻ cấp theo Luật Căn cước 2023 gọi là thẻ căn cước) không tự làm bạn mất tiền hay bị phạt, nhưng mở đường cho kẻ gian mạo danh. Theo cơ quan công an, ảnh giấy tờ tùy thân thường là “mảnh ghép” đầu tiên trong các kịch bản lừa đảo (LSVN, 12/10/2026).

Mức nguy hiểm phụ thuộc vào thứ bị lộ kèm theo. Chỉ có ảnh thẻ, kẻ gian khó qua bước bắt buộc khi mở tài khoản ngân hàng trực tuyến: đối chiếu khuôn mặt người mở tài khoản với dữ liệu trong chip thẻ hoặc tài khoản VNeID (ứng dụng định danh điện tử của Bộ Công an). Có thêm ảnh, video khuôn mặt của bạn thì khác hẳn.

Lộ số, lộ ảnh thẻ hay lộ khuôn mặt: mức nào nguy hiểm hơn?

Càng gần khuôn mặt thật của bạn càng nguy hiểm. Ảnh thẻ đi kèm video quay mặt là bộ kẻ gian cần nhất.

Thứ bị lộ	Kẻ gian có thể dùng để	Cái còn chặn lại	Mức rủi ro
Số định danh, họ tên, ngày sinh (không có ảnh)	Gọi điện xưng công an, nhà mạng, đọc đúng thông tin để bạn tin; gom thông tin xin cấp lại SIM	Không có ảnh, không có khuôn mặt	Thấp đến vừa
Ảnh thẻ một hoặc hai mặt	Như trên, cộng thêm điền hồ sơ, làm giả giấy tờ, nộp cho nơi chỉ xem ảnh chụp	Ngân hàng phải khớp khuôn mặt người thật với chip hoặc VNeID	Vừa
Ảnh selfie cầm thẻ	Ghép được mặt người và thẻ trong một ảnh, thứ quy trình chỉ xem ảnh chụp khó phân biệt với chính chủ	Bước quay mặt trực tiếp có chống giả mạo, nếu nơi đó áp dụng	Cao
Video quay mặt, quay trái phải theo lời người lạ hoặc qua app lạ	Vượt bước xác thực khuôn mặt, mở tài khoản ngân hàng trực tuyến đứng tên bạn	Gần như không còn	Rất cao
Thẻ thật (mất, cho mượn, cầm cố)	Có cả chip, thứ ảnh chụp không có	Khuôn mặt người dùng vẫn phải khớp với chip	Cao; mất thẻ thì làm thủ tục cấp lại

Cột mức rủi ro là đánh giá của VietnamBit theo các bước kiểm mà văn bản bắt buộc, không phải số liệu thống kê. Riêng ảnh thẻ căn cước, dù lộ ở mức nào, cũng là dữ liệu cá nhân nhạy cảm (Nghị định 356/2025/NĐ-CP Điều 4 khoản 1 điểm i).

Luật Căn cước 2023 cấm thuê, cho thuê, cầm cố thẻ căn cước và cấm sử dụng trái phép thẻ của người khác (Điều 7 khoản 7). Cho mượn thẻ thật vì nể người quen là rủi ro bạn tự tạo, không phải bị lộ.

Kẻ gian dùng ảnh CCCD để làm gì?

Đã có cảnh báo của công an cho ba việc: mở tài khoản ngân hàng đứng tên bạn, giả danh để lấy lòng tin, gom thông tin xin cấp lại SIM.

• Mở tài khoản ngân hàng đứng tên bạn. Theo CafeF (05/8/2026) dẫn Công an tỉnh Nghệ An, đường dây dụ nhân viên tư vấn tín dụng cung cấp “hình ảnh căn cước công dân và dữ liệu xác thực khuôn mặt” của khách vay, rồi mở tài khoản ngân hàng trực tuyến mà chủ “hoàn toàn không hay biết”. Nhiều người chỉ biết khi bị mời làm việc về giao dịch đáng ngờ trên tài khoản mang tên mình.
• Giả danh công an. Có ảnh thẻ, người gọi đến đọc được đúng tên, số căn cước của bạn để bạn tin. Công an tỉnh Quảng Ngãi (04/8/2025) nhắc cơ quan công an “không bao giờ gọi điện yêu cầu người dân chuyển tiền để phục vụ điều tra”. Các kịch bản đã gặp ở bài giả danh công an, cơ quan thuế lừa người có tiền ảo.
• Xin cấp lại SIM. Kẻ gian gom họ tên, số căn cước, số điện thoại để làm thủ tục đổi sang SIM, eSIM của chúng, và chiếm luôn mã OTP (mã xác thực dùng một lần) gửi qua tin nhắn. Cảnh báo và cách phòng ở bài SIM swap là gì.

Tài khoản ngân hàng đứng tên người khác là thứ các đường dây mua bán USDT (stablecoin neo giá đô la Mỹ, xem USDT) cần để nhận tiền của nạn nhân. Người đứng tên có thể bị phong tỏa tài khoản và bị mời làm việc khi có vụ việc, phân tích ở trang cho thuê tài khoản ngân hàng nhận USDT.

Danh tính của bạn cũng có thể bị dùng để mở tài khoản sàn tài sản mã hóa. Khi đó bạn thành người đứng tên dòng tiền trong tài khoản. Bảng kê thuế mà sàn được cấp phép nộp kèm tờ khai ghi họ tên, mã số thuế hoặc số định danh cá nhân của người giao dịch, nên số thuế đã khấu trừ cũng ghi dưới tên bạn (mẫu 01-1/BK-TSMH của Thông tư 41/2026/TT-BTC).

Đã thấy tài khoản sàn lạ mang tên mình thì làm theo trang bị người khác dùng căn cước mở tài khoản sàn: lưu bằng chứng, trình báo, yêu cầu sàn khóa tài khoản.

Nhiều bài trên mạng nhắc kẻ gian vay tiền qua app bằng ảnh căn cước của nạn nhân. Trong lượt kiểm ngày 07/11/2026, chúng tôi chưa thấy cảnh báo của cơ quan công an kèm vụ việc cụ thể cho kịch bản này, nên không xếp vào danh sách trên.

Vì sao sàn được cấp phép khó bị mạo danh bằng ảnh chụp hơn?

Vì có hai lớp kiểm: sàn xác minh danh tính, ngân hàng khớp khuôn mặt với chip. Khó hơn, chứ không phải không thể.

Lớp thứ nhất: sàn được cấp phép phải “Xác minh danh tính nhà đầu tư mở tài khoản” và lưu tối thiểu 10 năm thông tin mở tài khoản, tài khoản ngân hàng liên kết của nhà đầu tư (Nghị quyết 05/2025/NQ-CP Điều 15 khoản 2 điểm a, l).

Sàn bỏ bước xác minh danh tính có thể bị phạt 50–70 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 8 khoản 3).

Lớp thứ hai nằm ở ngân hàng. Khi mở tài khoản thanh toán trực tuyến, ngân hàng phải đối chiếu khớp thông tin sinh trắc học (đặc điểm cơ thể dùng để nhận ra một người, như khuôn mặt) của chủ tài khoản với dữ liệu trong chip thẻ căn cước, hoặc qua tài khoản định danh điện tử (Thông tư 17/2024/TT-NHNN Điều 16 khoản 1 điểm b).

Ảnh chụp thẻ không chứa dữ liệu chip và không thay được khuôn mặt người thật trước camera. Theo cách đọc của VietnamBit, kẻ chỉ có ảnh thẻ của bạn phải vượt cả hai lớp. Nhưng vụ CafeF nêu ở trên cho thấy khi có thêm dữ liệu khuôn mặt, lớp ngân hàng cũng bị vượt. Khuôn mặt mới là thứ cần giữ nhất.

Nghị định 330/2026/NĐ-CP còn xử phạt hành vi “định danh bằng phương thức điện tử không chính xác thông tin chủ tài khoản số” phục vụ giao dịch tiền tệ, tài chính, chứng khoán “hoặc tài sản khác”. Tổ chức vi phạm có thể bị phạt 40–60 triệu đồng: khung in sẵn 20–30 triệu đồng là mức cho cá nhân, tổ chức gấp đôi (Điều 34 khoản 1 điểm đ, Điều 7 khoản 1).

Sàn được cấp phép xác minh cụ thể bằng gì (chip, VNeID hay quay mặt) thì chúng tôi chưa thấy hồ sơ nào công bố khi dò đến 26/10/2026, như đã ghi ở bài KYC là gì (xác minh danh tính khách hàng). Tính đến 07/11/2026, chưa sàn nào được cấp phép.

Các nghĩa vụ trên của Nghị quyết 05 chỉ đặt cho sàn được Bộ Tài chính cấp phép. Chúng tôi không có số liệu kiểm chứng về cách từng sàn nước ngoài xác minh, nên không nêu tên. Theo cách đọc của chúng tôi, nơi nào chỉ đòi ảnh selfie cầm thẻ mà không quay mặt trực tiếp thì bộ ảnh bị lộ của bạn có thể đủ để dùng ở đó.

Vừa phát hiện lộ ảnh CCCD, làm gì ngay?

Giữ bằng chứng, khóa các cửa tiền của bạn, hỏi ngân hàng và nhà mạng, rồi trình báo nếu ảnh bị lừa lấy hoặc đã bị dùng.

1. Ghi lại đã lộ gì, cho ai. Ảnh một mặt, hai mặt hay có cả khuôn mặt; gửi cho ai, ngày nào, qua kênh nào. Cơ quan công an khuyến cáo lưu lại số điện thoại, nội dung tin nhắn và “không xóa dấu vết” (LSVN, 12/10/2026).
2. Đề nghị bên đã nhận xóa ảnh, nếu đó là cửa hàng, công ty hay ứng dụng có địa chỉ rõ ràng. Bạn có quyền yêu cầu xóa dữ liệu cá nhân của mình (Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 Điều 4 khoản 1 điểm d). Với kẻ lừa đảo thì bỏ qua bước này.
3. Đổi mật khẩu, bật xác thực hai lớp cho email, ngân hàng, ví điện tử, tài khoản sàn. Nên dùng ứng dụng tạo mã thay cho mã gửi qua tin nhắn, cách cài ở bài xác thực hai lớp 2FA.
4. Hỏi ngân hàng, ví điện tử, nhà mạng xem có tài khoản, thuê bao mới nào mang tên mình. Công an tỉnh Lạng Sơn khuyến cáo người bị dùng căn cước mở tài khoản ngân hàng hoặc thuê bao trả sau “cần nhanh chóng liên hệ ngân hàng, nhà mạng” (Hiệp hội Ngân hàng đăng lại, 01/02/2023).
5. Theo dõi email, tin nhắn báo mở tài khoản ở ngân hàng, ví, sàn mà bạn không mở. Có thì làm theo trang bị dùng căn cước mở tài khoản sàn đã dẫn ở trên.
6. Trình báo công an nếu ảnh bị lừa lấy hoặc đã có tài khoản lạ: đến Công an cấp xã nơi cư trú, hoặc tố giác qua VNeID. Cách làm và mẫu đơn ở bài tố giác lừa đảo tiền ảo.

Hai việc không làm, kể cả khi người gọi đọc đúng số căn cước của bạn:

• Không chuyển “phí gỡ tên”, “phí xác minh” cho người xưng công an hay nhân viên ngân hàng, sàn.
• Không quay mặt, không cài ứng dụng theo đường dẫn người lạ gửi. Công an tỉnh Nghệ An ghi nhận kẻ gian gửi “đường dẫn hoặc ứng dụng không rõ nguồn gốc” để thu dữ liệu sinh trắc học (CafeF, 05/8/2026).

Gửi ảnh CCCD qua Zalo có an toàn không?

Không hẳn. Ảnh nằm lại trong cuộc trò chuyện, nên ai chiếm được tài khoản Zalo hay điện thoại của bạn hoặc người nhận là có ảnh.

Công an tỉnh Lai Châu lưu ý rủi ro “không chỉ nằm ở người nhận”: ảnh đã gửi vẫn được lưu trong cuộc trò chuyện. Khi buộc phải gửi, chỉ gửi khi thực sự cần, đúng người có thẩm quyền, và che bớt số định danh, mã QR, số thẻ (LSVN, 12/10/2026).

Ai đòi ảnh căn cước	Nên làm	Vì sao
Ngân hàng, ví, sàn trong ứng dụng chính thức bạn tự mở	Gửi trong luồng xác minh của ứng dụng, không qua tin nhắn riêng	Khi xin bạn đồng ý xử lý ảnh thẻ, nơi đó phải báo đây là dữ liệu nhạy cảm (Nghị định 356 Điều 6 khoản 4)
Người xưng công an, cán bộ xã, cán bộ địa chính qua điện thoại	Không gửi; cần cập nhật thông tin thì đến Công an xã, phường	Công an xã Đak Pơ, Gia Lai đã cảnh báo kẻ giả cán bộ địa chính đòi ảnh căn cước “để làm thủ tục”
Tin nhắn báo mạng xã hội cần ảnh căn cước để mở khóa tài khoản	Không gửi; tự mở ứng dụng để kiểm tra	Mạng xã hội không được yêu cầu ảnh, video chứa giấy tờ tùy thân làm yếu tố xác thực tài khoản (Luật 91 Điều 29 khoản 2)
Người tuyển dụng “việc nhẹ, lương cao”, lời mời làm cộng tác viên	Không gửi ảnh thẻ, không quay mặt	Đúng kịch bản thu gom tài khoản, dữ liệu khuôn mặt mà Công an tỉnh Nghệ An đã cảnh báo (CafeF, 05/8/2026)
Chủ nhà trọ, cửa hàng, công ty cần cho thủ tục	Hỏi mục đích, che phần không cần, ghi chữ “chỉ dùng để…” lên ảnh	Che thông tin là khuyến cáo của Công an tỉnh Lai Châu; ghi chữ lên ảnh là gợi ý của VietnamBit

Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao Công an tỉnh Tây Ninh xếp lời đề nghị cung cấp hình ảnh căn cước vào nhóm dấu hiệu lừa đảo, cùng với đòi mã OTP, mật khẩu (LSVN dẫn lại). Ghi chữ lên ảnh không chặn được kẻ quyết tâm làm giả, nhưng khiến ảnh khó dùng lại nguyên vẹn ở nơi khác.

Lỡ gửi ảnh CCCD cho người lạ có bị phạt không?

Câu chữ nghị định đòi yếu tố cố ý. Gửi ảnh vì bị lừa khác với cố ý cho người khác dùng danh tính của mình.

Nghị định 330 phạt hành vi “cố ý làm lộ” dữ liệu cá nhân của bản thân gây ảnh hưởng trật tự, an toàn xã hội hoặc gây thiệt hại, và hành vi cố ý cho người khác dùng dữ liệu của mình để làm việc trái luật. Khung 10–20 triệu đồng là mức cho tổ chức; cá nhân có thể bị phạt 5–10 triệu đồng (Điều 42 khoản 1 điểm a, b; Điều 7 khoản 1).

Ai bị phạt hay không là việc của cơ quan có thẩm quyền theo từng vụ. Bán ảnh, cho thuê tài khoản hay nhận tiền để quay mặt hộ là chuyện khác, ở trang mua bán tài khoản sàn đã KYC có bị phạt không.

Người lấy, bán ảnh CCCD của bạn có thể bị xử lý thế nào?

Tùy hành vi, có thể bị phạt từ vài triệu đến vài chục triệu đồng; dùng để lừa đảo thì có thể bị xem xét trách nhiệm hình sự.

Hành vi	Cá nhân có thể bị phạt	Căn cứ
Dùng giấy tờ tùy thân của người khác, ảnh giấy tờ cắt ghép hoặc deepfake (ảnh, video giả bằng trí tuệ nhân tạo) để xác thực tài khoản số	30–50 triệu đồng	Nghị định 330/2026 Điều 34 khoản 2
Thu thập, sử dụng trái phép dữ liệu cá nhân của người khác gây thiệt hại	20–30 triệu đồng	Nghị định 330/2026 Điều 42 khoản 2 điểm a
Mua bán ảnh căn cước của dưới 200 người, không có khoản thu	35–50 triệu đồng	Nghị định 330/2026 Điều 53 khoản 3 điểm a
Chiếm đoạt, sử dụng trái phép thẻ căn cước của người khác	2–4 triệu đồng	Nghị định 282/2025 Điều 11 khoản 2 điểm a

Dòng đầu là mức cho cá nhân, tổ chức gấp đôi. Dòng mua bán: khung in sẵn 70–100 triệu đồng là mức cho tổ chức, cá nhân bằng một nửa, VietnamBit tính 70 / 2 = 35 và 100 / 2 = 50 triệu đồng (Điều 7 khoản 1).

Có khoản thu thì mức phạt mua bán tính từ 02 đến 10 lần khoản thu (Điều 53 khoản 1). Mua bán dữ liệu cá nhân là hành vi bị Luật 91 cấm, trừ khi luật có quy định khác (Điều 7 khoản 6). Ảnh thẻ là dữ liệu nhạy cảm, nên số người cần để lên khung cao hơn thấp hơn hẳn dữ liệu cơ bản: 200 người so với 1.000 người (khoản 3 điểm b).

Khung hình sự với người dùng giấy tờ giả, và câu hỏi người bị mạo danh có thành đồng phạm không, ở trang bị dùng căn cước mở tài khoản sàn đã dẫn ở trên.