Chứng cứ điện tử cần lưu giữ khi mất tiền do cài ứng dụng lạ

Khung pháp lý điều chỉnh việc lưu giữ chứng cứ điện tử

Trong các vụ việc bị mất tiền sau khi cài ứng dụng lạ, chứng cứ trọng tâm thường là dữ liệu điện tử phản ánh quá trình cài đặt, cấp quyền, đăng nhập, giao dịch và thay đổi trạng thái thiết bị. Theo khoản 3 Điều 99 Bộ luật Tố tụng hình sự 2015, dữ liệu điện tử là thông tin được tạo ra, lưu trữ, truyền đi hoặc nhận được bằng phương tiện điện tử và có thể được sử dụng làm chứng cứ nếu bảo đảm tính toàn vẹn, xác thực và khả năng truy cập. Theo điểm c khoản 1 Điều 87 Bộ luật Tố tụng hình sự 2015, dữ liệu điện tử là một nguồn chứng cứ độc lập trong tố tụng hình sự.

Về thu thập và bảo quản, Điều 107 Bộ luật Tố tụng hình sự 2015 quy định việc thu giữ, niêm phong, sao chép, bảo quản vật chứa dữ liệu điện tử và việc trích xuất, phục hồi dữ liệu phải bảo đảm nguyên vẹn thông tin. Trường hợp giao nộp, tiếp nhận tài liệu, dữ liệu điện tử trong tố tụng, cơ quan tiến hành tố tụng có quyền kiểm tra tính đầy đủ và tính hợp lệ của dữ liệu theo quy định hiện hành của Bộ luật Tố tụng hình sự và các văn bản hướng dẫn liên quan. Khi tranh chấp có yếu tố dân sự hoặc yêu cầu bồi thường, Điều 94 Bộ luật Tố tụng dân sự 2015 cũng xác nhận dữ liệu điện tử là nguồn chứng cứ trong tố tụng dân sự.

Những nhóm chứng cứ điện tử cần giữ ngay

Nhóm thứ nhất là dữ liệu về ứng dụng đã cài. Cần giữ tên ứng dụng, nhà phát triển, biểu tượng, phiên bản, thời điểm tải xuống, nguồn tải và toàn bộ quyền mà ứng dụng đã yêu cầu. Nếu ứng dụng được cài từ tệp cài đặt bên ngoài kho ứng dụng chính thức, phải lưu cả tệp APK, trang web tải xuống, lịch sử trình duyệt và thông báo cảnh báo của hệ điều hành.

Nhóm thứ hai là chứng cứ về thiết bị và trạng thái hệ thống. Nên chụp màn hình các mục cấp quyền truy cập, mục ứng dụng quản trị thiết bị, quyền truy cập trợ năng, quyền đọc tin nhắn, quyền hiển thị trên các ứng dụng khác, cài đặt bảo mật và danh sách ứng dụng gần đây. Nếu máy xuất hiện dấu hiệu bất thường như tự bật màn hình, tự chuyển hướng, tự cấp quyền hoặc tự gửi mã OTP, cần quay video màn hình ngay tại thời điểm phát hiện.

Nhóm thứ ba là chứng cứ giao dịch ngân hàng và ví điện tử. Cần lưu sao kê điện tử, thông báo biến động số dư, mã giao dịch, thời điểm, số tiền, tài khoản nhận, nội dung chuyển khoản, kênh thực hiện giao dịch và dấu hiệu xác thực đã dùng. Nên tải về bản sao điện tử từ ứng dụng ngân hàng, email, SMS và lịch sử giao dịch, sau đó xuất ra định dạng gốc hoặc định dạng có thể kiểm tra lại được.

Nhóm thứ tư là chứng cứ liên lạc và tương tác. Nếu có cuộc gọi, tin nhắn, email, Zalo, Messenger, Telegram, Viber hoặc các kênh khác liên quan đến việc dụ cài ứng dụng, gửi mã OTP, hướng dẫn đăng nhập hay yêu cầu chuyển tiền, phải lưu toàn bộ nội dung, thời gian, số tài khoản, số điện thoại, ID tài khoản và ảnh đại diện. Với cuộc gọi thoại, cần ghi nhận nhật ký cuộc gọi và file ghi âm nếu pháp luật và thiết bị cho phép ghi âm hợp lệ.

Cách bảo toàn tính toàn vẹn của dữ liệu điện tử

Giá trị của chứng cứ điện tử phụ thuộc rất lớn vào tính nguyên vẹn. Sau khi phát hiện bị mất tiền, không xóa ứng dụng, không khôi phục cài đặt gốc, không cài thêm phần mềm lạ và không đăng nhập lại nhiều lần vào tài khoản ngân hàng trên thiết bị nghi nhiễm. Mọi thao tác thay đổi trạng thái thiết bị đều làm tăng nguy cơ mất dấu vết kỹ thuật và ảnh hưởng đến khả năng giám định.

Nên chụp ảnh, quay video màn hình theo trình tự thời gian, thể hiện rõ ngày giờ hệ thống, tên ứng dụng, giao dịch bất thường và thông báo bảo mật. Các ảnh chụp cần giữ nguyên metadata nếu có thể; không cắt ghép, không chỉnh sửa, không làm mờ dấu thời gian. Tệp gốc nên được sao lưu ngay sang ít nhất hai thiết bị lưu trữ an toàn, đặt tên rõ ràng theo thời gian và nội dung.

Trường hợp cần nộp cho cơ quan công an, ngân hàng hoặc tòa án, nên chuẩn bị cả bản sao điện tử và bản in. Bản in chỉ có giá trị hỗ trợ, còn bản điện tử gốc mới phản ánh trực tiếp nội dung đã phát sinh trên thiết bị. Nếu có thể, hãy lập danh mục tệp kèm thời điểm tạo, nguồn trích xuất và người lưu giữ để bảo đảm chuỗi bảo quản chứng cứ.

Những dữ liệu kỹ thuật nên trích xuất và lưu riêng

Trong các vụ việc liên quan ứng dụng độc hại, dữ liệu kỹ thuật có ý nghĩa đặc biệt quan trọng. Cần lưu nhật ký hệ thống, thông báo bảo mật, lịch sử cài đặt ứng dụng, danh sách quyền đã cấp, địa chỉ IP nếu hệ thống hiển thị, và các email cảnh báo đăng nhập từ ngân hàng hoặc nền tảng số. Nếu thiết bị có tính năng sao lưu đám mây, phải lưu dấu vết đồng bộ, thời điểm sao lưu và tên thiết bị liên kết.

Trường hợp có dấu hiệu bị chiếm quyền SMS hoặc cuộc gọi, cần giữ lịch sử tin nhắn đến đi, danh sách cuộc gọi và thông tin nhà mạng về thời điểm phát sinh biến động. Khi tài khoản ngân hàng bị liên kết thiết bị lạ hoặc token lạ, phải chụp toàn bộ màn hình quản lý thiết bị đăng nhập, lịch sử thiết bị tin cậy và thông báo thay đổi bảo mật. Đây là nhóm dữ liệu giúp chứng minh mối liên hệ giữa ứng dụng lạ và giao dịch mất tiền.

Chứng cứ cần làm việc ngay với ngân hàng và cơ quan chức năng

Ngay sau khi phát hiện sự việc, cần liên hệ ngân hàng để phong tỏa hoặc tra soát giao dịch, đồng thời đề nghị cung cấp lịch sử giao dịch, mã tham chiếu, kênh chuyển tiền và thông tin nhận tiền theo quy trình nội bộ. Việc yêu cầu tra soát phải được thực hiện bằng văn bản hoặc trên kênh chính thức để tạo dấu vết thời gian rõ ràng. Nếu ngân hàng có xác nhận tiếp nhận khiếu nại, cần lưu lại toàn bộ nội dung và mã hồ sơ.

Song song, nên nộp đơn tố giác hoặc trình báo đến cơ quan công an có thẩm quyền, kèm toàn bộ tài liệu điện tử đã sao lưu. Theo điểm a khoản 1 Điều 144 và Điều 145 Bộ luật Tố tụng hình sự 2015, tố giác tội phạm và tin báo về tội phạm là căn cứ để cơ quan có thẩm quyền tiếp nhận, kiểm tra và xác minh. Trong thực tiễn, hồ sơ càng có trình tự thời gian rõ ràng thì càng thuận lợi cho việc xác định dấu vết điện tử và giám định kỹ thuật số.

Những sai lầm làm mất giá trị chứng cứ

Sai lầm phổ biến nhất là xóa ứng dụng ngay trước khi chụp màn hình hoặc sao lưu dữ liệu. Việc làm này có thể làm mất dấu vết cài đặt, quyền truy cập và dữ liệu cache cần thiết cho giám định. Sai lầm thứ hai là tự ý khôi phục cài đặt gốc, đổi thiết bị, đăng nhập chồng chéo nhiều lần hoặc cài phần mềm dọn rác, vì các thao tác đó làm biến dạng hiện trạng dữ liệu.

Sai lầm thứ ba là chỉ giữ ảnh chụp màn hình rời rạc mà không có sao kê, thông báo hệ thống, email xác nhận hay nhật ký cuộc gọi. Một ảnh đơn lẻ hiếm khi đủ để chứng minh toàn bộ chuỗi hành vi. Hồ sơ mạnh phải kết hợp dữ liệu từ thiết bị, ngân hàng, nhà mạng và kênh liên lạc, từ đó tạo thành bức tranh thống nhất về sự kiện mất tiền.

Khuyến nghị thực hành sau khi phát hiện bị lừa cài ứng dụng

Cần khóa tài khoản, đổi mật khẩu từ thiết bị an toàn, thu hồi phiên đăng nhập và kiểm tra toàn bộ thiết bị tin cậy. Sau đó, lưu lại từng bước xử lý để chứng minh thiện chí hợp tác và thời điểm phát hiện sự cố. Nếu có nghi vấn ứng dụng đã truy cập danh bạ, camera, SMS hoặc quyền trợ năng, nên ghi nhận ngay trong biên bản làm việc với ngân hàng hoặc cơ quan công an.

Hồ sơ tốt nhất trong loại việc này là hồ sơ lập rất sớm, giữ nguyên dữ liệu gốc và có dòng thời gian rõ ràng. Khi chứng cứ điện tử được bảo toàn đúng cách, khả năng xác định nguồn phát sinh giao dịch, đối tượng nhận tiền và cơ chế chiếm đoạt sẽ cao hơn đáng kể. Đây cũng là cơ sở để yêu cầu xử lý hình sự, dân sự hoặc hoàn trả giao dịch theo quy trình phù hợp.

Tài liệu tham khảo

• Bộ luật Tố tụng hình sự 2015, các Điều 87, 99, 107, 144, 145.
• Bộ luật Tố tụng dân sự 2015, Điều 94 về nguồn chứng cứ.
• Luật An ninh mạng 2018.
• Luật Giao dịch điện tử 2023.
• Thông tư, quy chế nội bộ của ngân hàng về tra soát, khiếu nại và bảo mật giao dịch điện tử.