Một tựa game online ngày nay không chỉ là nơi người chơi giải trí. Đằng sau mỗi tài khoản có thể là thông tin cá nhân, lịch sử chơi, danh sách bạn bè, vật phẩm trong game và cả những khoản tiền được nạp vào tài khoản. Vì vậy, câu chuyện một trò chơi phải đáp ứng những yêu cầu gì để bảo vệ người chơi không chỉ liên quan đến chất lượng dịch vụ, mà còn gắn với an toàn thông tin và an ninh mạng.
Những tranh luận xoay quanh các tựa game phổ biến như PUBG cũng cho thấy một vấn đề đáng chú ý khi hàng triệu người cùng sử dụng một hệ thống trực tuyến, doanh nghiệp vận hành trò chơi phải làm gì để hạn chế nguy cơ tài khoản bị chiếm đoạt, dữ liệu bị lộ hoặc hệ thống bị tấn công?
Những tranh luận xoay quanh các tựa game phổ biến như PUBG cũng cho thấy một vấn đề đáng chú ý khi hàng triệu người cùng sử dụng một hệ thống trực tuyến, doanh nghiệp vận hành trò chơi phải làm gì để hạn chế nguy cơ tài khoản bị chiếm đoạt, dữ liệu bị lộ hoặc hệ thống bị tấn công?
Không phải cứ có game là được phát hành
Tại Việt Nam, hoạt động cung cấp trò chơi điện tử trên mạng được quản lý theo từng loại hình. Nghị định 147/2024/NĐ-CP quy định các loại trò chơi G1, G2, G3 và G4, với những yêu cầu khác nhau về thủ tục cấp phép hoặc thông báo phát hành. Doanh nghiệp không thể đơn giản đưa một trò chơi lên mạng và cung cấp cho người dùng Việt Nam mà không thực hiện các nghĩa vụ pháp lý tương ứng.
Ảnh minh họa
Điều này đặc biệt đáng chú ý với các game có lượng người chơi lớn. Một sự cố trên hệ thống không chỉ khiến người chơi không thể đăng nhập mà còn có thể ảnh hưởng đến tài khoản, tài sản ảo và thông tin của số lượng lớn người dùng.
Tài khoản game cũng chứa dữ liệu cá nhân
Để chơi game, người dùng thường phải tạo tài khoản và cung cấp một số thông tin nhất định. Theo Nghị định 147/2024/NĐ-CP, khi đăng ký tài khoản trò chơi điện tử trên mạng, người chơi phải cung cấp họ tên, ngày tháng năm sinh và số điện thoại di động tại Việt Nam. Với người dưới 16 tuổi, tài khoản phải được đăng ký bằng thông tin của cha, mẹ hoặc người giám hộ.
Doanh nghiệp cung cấp dịch vụ trò chơi điện tử phải lưu giữ thông tin người chơi trong thời gian sử dụng dịch vụ và 6 tháng sau khi người chơi ngừng sử dụng. Người chơi cũng có quyền quyết định cho phép hoặc không cho phép doanh nghiệp sử dụng thông tin của mình cho mục đích quảng bá, truyền thông hoặc cung cấp cho tổ chức, cá nhân khác, trong phạm vi pháp luật quy định.
Vì vậy, bảo vệ tài khoản game không chỉ đơn giản là giữ cho máy chủ hoạt động ổn định. Doanh nghiệp còn phải quan tâm đến việc kiểm soát quyền truy cập, bảo vệ cơ sở dữ liệu và hạn chế nguy cơ thông tin người chơi bị khai thác trái phép.
Doanh nghiệp cung cấp dịch vụ trò chơi điện tử phải lưu giữ thông tin người chơi trong thời gian sử dụng dịch vụ và 6 tháng sau khi người chơi ngừng sử dụng. Người chơi cũng có quyền quyết định cho phép hoặc không cho phép doanh nghiệp sử dụng thông tin của mình cho mục đích quảng bá, truyền thông hoặc cung cấp cho tổ chức, cá nhân khác, trong phạm vi pháp luật quy định.
Vì vậy, bảo vệ tài khoản game không chỉ đơn giản là giữ cho máy chủ hoạt động ổn định. Doanh nghiệp còn phải quan tâm đến việc kiểm soát quyền truy cập, bảo vệ cơ sở dữ liệu và hạn chế nguy cơ thông tin người chơi bị khai thác trái phép.
Nếu hệ thống bị tấn công thì sao?
Game online là một dịch vụ phụ thuộc rất lớn vào hệ thống máy chủ. Hacker có thể tìm cách chiếm quyền tài khoản, đánh cắp thông tin đăng nhập, phá hoại máy chủ hoặc lợi dụng lỗ hổng trong phần mềm để can thiệp vào trò chơi.
Do đó, yêu cầu về an toàn không chỉ nằm ở phía người chơi như đặt mật khẩu mạnh hay bật xác thực nhiều lớp. Doanh nghiệp vận hành game cũng phải chủ động bảo vệ hệ thống, phát hiện và xử lý các nguy cơ tấn công, đồng thời duy trì khả năng hoạt động của dịch vụ khi xảy ra sự cố.
Các quy định mới về bảo vệ an ninh mạng đối với hệ thống thông tin được Chính phủ ban hành tại Nghị định 331/2026/NĐ-CP, có hiệu lực từ ngày 19/8/2026, đặt vấn đề bảo vệ hệ thống thông tin trong một khuôn khổ rộng hơn. Song song đó, Nghị định 330/2026/NĐ-CP quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Nói cách khác, với một dịch vụ game lớn, an ninh mạng không còn là vấn đề riêng của bộ phận kỹ thuật mà trở thành một phần của trách nhiệm vận hành dịch vụ.
Do đó, yêu cầu về an toàn không chỉ nằm ở phía người chơi như đặt mật khẩu mạnh hay bật xác thực nhiều lớp. Doanh nghiệp vận hành game cũng phải chủ động bảo vệ hệ thống, phát hiện và xử lý các nguy cơ tấn công, đồng thời duy trì khả năng hoạt động của dịch vụ khi xảy ra sự cố.
Các quy định mới về bảo vệ an ninh mạng đối với hệ thống thông tin được Chính phủ ban hành tại Nghị định 331/2026/NĐ-CP, có hiệu lực từ ngày 19/8/2026, đặt vấn đề bảo vệ hệ thống thông tin trong một khuôn khổ rộng hơn. Song song đó, Nghị định 330/2026/NĐ-CP quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Nói cách khác, với một dịch vụ game lớn, an ninh mạng không còn là vấn đề riêng của bộ phận kỹ thuật mà trở thành một phần của trách nhiệm vận hành dịch vụ.
Tiền và vật phẩm trong game cũng cần được quản lý
Một vấn đề khác người chơi thường quan tâm là tiền nạp và vật phẩm trong game.
Nghị định 147/2024/NĐ-CP quy định doanh nghiệp chỉ được khởi tạo vật phẩm ảo, đơn vị ảo và điểm thưởng phù hợp với nội dung đã được báo cáo trong hồ sơ phát hành trò chơi. Doanh nghiệp phải quản lý những tài sản này theo đúng quy tắc trò chơi đã công bố. Người chơi có thể sử dụng điểm thưởng hoặc đơn vị ảo để mua vật phẩm do doanh nghiệp cung cấp trong chính trò chơi đó, nhưng vật phẩm, đơn vị ảo và điểm thưởng không được quy đổi ngược thành tiền hoặc các loại tài sản có giá trị giao dịch bên ngoài trò chơi. Việc mua bán những loại tài sản này trực tiếp giữa người chơi với nhau cũng không được phép.
Những quy định này nhằm tạo ra một ranh giới rõ ràng giữa hoạt động trong game và các giao dịch tài chính bên ngoài.
Nghị định 147/2024/NĐ-CP quy định doanh nghiệp chỉ được khởi tạo vật phẩm ảo, đơn vị ảo và điểm thưởng phù hợp với nội dung đã được báo cáo trong hồ sơ phát hành trò chơi. Doanh nghiệp phải quản lý những tài sản này theo đúng quy tắc trò chơi đã công bố. Người chơi có thể sử dụng điểm thưởng hoặc đơn vị ảo để mua vật phẩm do doanh nghiệp cung cấp trong chính trò chơi đó, nhưng vật phẩm, đơn vị ảo và điểm thưởng không được quy đổi ngược thành tiền hoặc các loại tài sản có giá trị giao dịch bên ngoài trò chơi. Việc mua bán những loại tài sản này trực tiếp giữa người chơi với nhau cũng không được phép.
Những quy định này nhằm tạo ra một ranh giới rõ ràng giữa hoạt động trong game và các giao dịch tài chính bên ngoài.
Người chơi được bảo vệ đến đâu?
Từ góc độ người dùng, một nền tảng game an toàn không chỉ là nền tảng ít lỗi hay có máy chủ mạnh. Người chơi cần được biết mình đang sử dụng dịch vụ của doanh nghiệp nào, thông tin nào được thu thập, thông tin đó được sử dụng vào mục đích gì và phải làm gì khi tài khoản gặp sự cố. Đối với doanh nghiệp, trách nhiệm cũng không dừng ở việc đưa trò chơi ra thị trường. Đó là cả một chuỗi công việc từ tuân thủ điều kiện cung cấp dịch vụ, bảo vệ hệ thống, bảo vệ thông tin người chơi, quản lý tài khoản và tài sản ảo, đến xử lý các sự cố phát sinh trong quá trình vận hành.
Đây cũng là lý do những sự cố liên quan đến một game phổ biến như PUBG có thể được nhìn rộng hơn một cuộc tranh luận trong cộng đồng game. Đằng sau một tài khoản bị mất, một máy chủ bị tấn công hay một dữ liệu bị lộ là câu chuyện về an toàn thông tin, quyền lợi người dùng và trách nhiệm của doanh nghiệp cung cấp dịch vụ.
Với người chơi, nguyên tắc đơn giản vẫn là không chia sẻ mật khẩu, mã xác thực hoặc thông tin tài khoản cho người khác; không cài phần mềm, bản mod hay công cụ “hack game” không rõ nguồn gốc và nên sử dụng các tính năng bảo mật mà nhà phát hành cung cấp.
Còn với doanh nghiệp, một trò chơi càng có nhiều người tham gia thì yêu cầu bảo vệ hệ thống và người chơi càng trở nên quan trọng. Một game có thể bắt đầu từ mục đích giải trí, nhưng khi đã trở thành một dịch vụ trực tuyến quy mô lớn, an toàn và an ninh mạng phải là một phần của chính dịch vụ đó.
Đây cũng là lý do những sự cố liên quan đến một game phổ biến như PUBG có thể được nhìn rộng hơn một cuộc tranh luận trong cộng đồng game. Đằng sau một tài khoản bị mất, một máy chủ bị tấn công hay một dữ liệu bị lộ là câu chuyện về an toàn thông tin, quyền lợi người dùng và trách nhiệm của doanh nghiệp cung cấp dịch vụ.
Với người chơi, nguyên tắc đơn giản vẫn là không chia sẻ mật khẩu, mã xác thực hoặc thông tin tài khoản cho người khác; không cài phần mềm, bản mod hay công cụ “hack game” không rõ nguồn gốc và nên sử dụng các tính năng bảo mật mà nhà phát hành cung cấp.
Còn với doanh nghiệp, một trò chơi càng có nhiều người tham gia thì yêu cầu bảo vệ hệ thống và người chơi càng trở nên quan trọng. Một game có thể bắt đầu từ mục đích giải trí, nhưng khi đã trở thành một dịch vụ trực tuyến quy mô lớn, an toàn và an ninh mạng phải là một phần của chính dịch vụ đó.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
