Khi một hợp đồng hay văn bản mang chữ ký số hợp lệ của bạn mà bạn không ký, việc đầu tiên là yêu cầu nhà cung cấp tạm dừng hoặc thu hồi chứng thư ngay, sau đó giữ nguyên hiện trạng chứng cứ, rồi mới tính chuyện ai chịu trách nhiệm. Về nguyên tắc, chữ ký số tạo bằng khoá bí mật của bạn được coi là của bạn; để thoát trách nhiệm, bạn phải chứng minh được người khác đã dùng khoá mà không có sự đồng ý của bạn, và bạn đã bảo quản khoá đúng mức.
Đây là tình huống khó vì cơ chế chữ ký số được thiết kế để người ký không chối được. Bài này giúp bạn nhìn từ cả ba phía: thuê bao, bên nhận văn bản và nhà cung cấp, để biết lập luận nào có cơ sở. Tình huống thường có tranh chấp, số tiền lớn hoặc dấu hiệu hình sự, nên bạn cần luật sư sớm; bài chỉ là thông tin pháp lý phổ thông.
Vì sao chữ ký số mặc định là của chủ chứng thư
Chữ ký tay có thể bị giả, và việc giám định chữ ký tay xoay quanh câu hỏi nét chữ có phải của người đó không. Chữ ký số khác hẳn: không ai giả được về mặt toán học nếu không có khoá bí mật. Vì vậy câu hỏi chuyển thành "ai đã dùng khoá bí mật". Pháp luật về giao dịch điện tử đặt nghĩa vụ cho thuê bao phải giữ khoá bí mật an toàn và báo ngay khi biết khoá bị lộ, bị mất. Hệ quả là, nếu không có gì khác, chữ ký tạo ra bằng khoá của bạn được suy đoán là do bạn hoặc người bạn cho phép thực hiện.
Suy đoán đó không tuyệt đối. Nó có thể bị bác nếu chứng minh được khoá bị dùng trái phép trong khi thuê bao đã làm đúng nghĩa vụ bảo quản, hoặc nếu chứng thư đã bị thu hồi trước thời điểm ký, hoặc nếu bên nhận biết hay phải biết người ký không có quyền. Mỗi khả năng cần chứng cứ khác nhau, và gánh nặng chứng minh thường nằm ở người muốn chối.
Hiểu điều này giúp bạn tránh phản ứng sai. Chỉ nói với đối tác rằng mình không ký thì không đủ; bạn phải chỉ ra được đường đi của khoá bí mật: token ở đâu, ai biết PIN, tài khoản ký số từ xa được xác thực trên thiết bị nào.
Thứ tự việc cần làm khi phát hiện
Làm theo thứ tự này để chặn thiệt hại thêm và không làm mất chứng cứ.
- Gửi yêu cầu tạm dừng hoặc thu hồi chứng thư tới nhà cung cấp qua kênh chính thức, ghi lại thời điểm gửi và mã yêu cầu; từ thời điểm thu hồi được công bố, chữ ký mới không còn được coi là hợp lệ.
- Không xoá, không cài lại máy, không đổi PIN rồi dùng tiếp token; giữ nguyên thiết bị, nhật ký đăng nhập, thư điện tử thông báo ký để làm chứng cứ.
- Liệt kê mọi văn bản đã ký trong khoảng nghi ngờ: tra nhật ký trên tài khoản ký số từ xa, phần mềm hoá đơn, cổng thuế, hệ thống ngân hàng.
- Thông báo bằng văn bản cho bên nhận văn bản đáng ngờ rằng bạn không ký và đã yêu cầu thu hồi, đề nghị họ tạm dừng thực hiện.
- Xác định người có khả năng tiếp cận token, PIN hoặc thiết bị xác thực; ghi lại sự kiện bàn giao, nghỉ việc, mất máy gần đây.
- Nếu có dấu hiệu chiếm đoạt tài sản, giả mạo hay gây thiệt hại lớn, trình báo cơ quan công an nơi xảy ra sự việc.
- Làm việc với luật sư để chọn hướng giải quyết: thương lượng, khởi kiện dân sự hay theo hướng tố giác tội phạm.
Trong những giờ đầu, nhiều người chỉ lo gọi đối tác giải thích mà quên bước thu hồi. Chừng nào chứng thư còn hiệu lực, người đang nắm khoá có thể tiếp tục ký.
Các tình huống thường gặp và hướng trách nhiệm
Mỗi vụ có tình tiết riêng; bảng dưới chỉ nêu hướng xem xét thường gặp, không thay kết luận của toà án hay cơ quan có thẩm quyền.
| Tình huống | Điểm sẽ bị xem xét | Hướng trách nhiệm thường gặp |
|---|---|---|
| Nhân viên giữ token ký hợp đồng vượt quyền | Có uỷ quyền không, bên nhận có biết giới hạn quyền không | Doanh nghiệp thường vẫn phải chịu với bên nhận ngay tình, sau đó yêu cầu nhân viên bồi hoàn |
| Người thân lấy token và biết PIN vì PIN dán trên máy | Thuê bao có bảo quản khoá đúng mức không | Thuê bao khó thoát trách nhiệm vì tự để lộ PIN |
| Nhân viên cũ đã nghỉ vẫn dùng tài khoản ký số từ xa | Doanh nghiệp có thu hồi, đổi thiết bị xác thực khi nghỉ việc không | Lỗi quản trị của doanh nghiệp nặng; người dùng trái phép có thể chịu trách nhiệm dân sự, hình sự |
| Chữ ký phát sinh sau khi đã báo mất | Thời điểm báo và thời điểm nhà cung cấp cập nhật trạng thái | Nếu nhà cung cấp chậm cập nhật, phần trách nhiệm có thể chuyển sang nhà cung cấp |
| Nhà cung cấp cấp chứng thư cho người giả danh bạn | Khâu xác minh danh tính có đúng quy chế không | Nhà cung cấp có thể phải chịu trách nhiệm về sai sót xác minh |
Bảng cho thấy một điểm chung: ai giữ hồ sơ tốt hơn, người đó có lợi thế. Sổ giao nhận token, biên bản nghỉ việc, nhật ký đổi thiết bị xác thực thường là chứng cứ quyết định.
Nhìn từ phía bên nhận văn bản
Bên nhận ngay tình được bảo vệ. Đối tác nhận hợp đồng có chữ ký số hợp lệ, đã kiểm trạng thái chứng thư lúc ký, không có lý do nghi ngờ, thường được pháp luật bảo vệ. Họ không buộc phải biết nội bộ của bạn ai giữ token.
Nhưng bên nhận cũng phải cẩn trọng hợp lý. Nếu giao dịch bất thường rõ ràng, như giá trị vượt xa thông lệ, người liên hệ lạ, yêu cầu chuyển tiền gấp sang tài khoản mới, toà án có thể xem xét bên nhận đã đủ thận trọng chưa.
Kiểm tra trạng thái là thói quen nên có. Bên nhận nên lưu kết quả kiểm tra chứng thư tại thời điểm nhận, kèm dấu thời gian nếu có. Đây là chứng cứ cho chính họ khi bị chối.
Thương lượng sớm thường có lợi cho cả hai. Khi một bên chứng minh được khoá bị dùng trái phép và bên kia chưa thực hiện gì, thoả thuận huỷ hoặc tạm dừng hợp đồng thường đỡ tốn kém hơn kiện tụng kéo dài.
Chứng cứ cần giữ và cách giữ
Chứng cứ điện tử dễ mất và dễ bị nghi ngờ đã chỉnh sửa. Những thứ cần giữ gồm: tệp văn bản có chữ ký đúng như bên kia gửi, nhật ký giao dịch trên tài khoản ký số từ xa, thư điện tử hay tin nhắn thông báo ký, thông báo xác nhận thu hồi của nhà cung cấp, nhật ký đăng nhập máy tính, sổ giao nhận token và biên bản bàn giao công việc. Phần thu thập và bảo quản chứng cứ điện tử chi tiết là một chủ đề riêng, nhưng nguyên tắc cơ bản là giữ bản gốc, ghi lại nguồn và thời điểm thu thập.
Bạn có thể đề nghị nhà cung cấp cung cấp thông tin về chứng thư, thời điểm yêu cầu thu hồi được tiếp nhận và cập nhật. Với tài khoản ký số từ xa, nhà cung cấp thường có nhật ký thiết bị và địa chỉ truy cập của từng lần xác thực ký, là dữ liệu rất có giá trị. Yêu cầu nên gửi bằng văn bản, sớm, vì dữ liệu nhật ký có thời hạn lưu.
Khi vụ việc đã đến cơ quan điều tra hay toà án, việc trích xuất dữ liệu từ thiết bị nên để cơ quan có thẩm quyền hoặc tổ chức giám định thực hiện, tránh tự sao chép làm thay đổi dữ liệu gốc.
Phòng trước: những thói quen làm giảm rủi ro
Phần lớn vụ chữ ký số bị dùng trái phép đến từ quản trị lỏng lẻo hơn là tấn công tinh vi. PIN dán trên máy, token cắm sẵn qua đêm, một token cho cả phòng kế toán dùng chung, nhân viên nghỉ việc không bàn giao: đó là những kẽ hở quen thuộc. Doanh nghiệp nên có quy chế quản lý chữ ký số, sổ giao nhận, quy định đổi PIN khi đổi người, và thu hồi quyền ngay ngày nhân viên nghỉ.
Với ký số từ xa, rủi ro chuyển sang điện thoại và tài khoản xác thực. Thiết bị xác thực phải là của người được giao ký, có khoá màn hình, không chia sẻ mã xác nhận qua tin nhắn. Khi đổi máy, làm thủ tục chuyển thiết bị xác thực với nhà cung cấp, không để máy cũ còn quyền.
Cá nhân cũng vậy. Đừng đưa token và PIN cho người thân "ký hộ một lần", vì một lần đó đủ biến người thân thành người có khả năng ký mọi văn bản về sau. Nếu thật sự cần người khác giao dịch thay, hãy làm văn bản uỷ quyền theo đúng quy định. Vướng tình huống đã có thiệt hại, bạn có thể hỏi luật sư trên AI Cố Vấn để được định hướng ban đầu trước khi chọn người theo vụ việc.
Chọn hướng giải quyết: thương lượng, kiện dân sự hay tố giác
Không phải vụ nào cũng cần ra toà. Nếu văn bản bị ký trái phép chưa được thực hiện, bên nhận hợp tác và chứng cứ rõ, thoả thuận huỷ bỏ bằng văn bản là cách nhanh nhất. Thoả thuận nên ghi rõ văn bản nào bị huỷ, các bên không còn nghĩa vụ gì từ văn bản đó, và ai chịu chi phí phát sinh.
Khi bên nhận đòi thực hiện hợp đồng, hoặc thiệt hại đã xảy ra, tranh chấp dân sự hay kinh doanh thương mại được giải quyết tại toà án có thẩm quyền; từ 1/7/2025, các vụ việc sơ thẩm phần lớn do toà án nhân dân khu vực thụ lý theo cách tổ chức mới. Nếu hợp đồng có điều khoản trọng tài hợp lệ, tranh chấp có thể phải đưa ra trọng tài. Án phí, thời hiệu và thủ tục cụ thể, bạn đối chiếu văn bản hiện hành hoặc hỏi luật sư.
Khi người dùng chứng thư trái phép có dấu hiệu lừa đảo, chiếm đoạt tài sản hay giả mạo, có thể song song trình báo cơ quan điều tra. Hướng hình sự không thay được yêu cầu bồi thường, nhưng giúp thu thập chứng cứ mà cá nhân khó tự lấy, như dữ liệu từ nhà mạng hay thiết bị của người bị nghi ngờ.
Câu hỏi thường gặp
Chưa từng đưa PIN cho ai mà vẫn có chữ ký lạ thì làm sao?
Hãy thu hồi chứng thư ngay, giữ nguyên thiết bị và đề nghị nhà cung cấp cung cấp nhật ký. Khả năng có thể là máy tính bị cài phần mềm độc hại, thiết bị xác thực bị chiếm, hoặc chứng thư bị cấp cho người giả danh. Cơ quan chuyên môn hoặc tổ chức giám định có thể giúp làm rõ.
Hợp đồng ký trước lúc báo mất token có bị vô hiệu không?
Không tự động vô hiệu. Chữ ký tạo ra khi chứng thư còn hiệu lực về hình thức là hợp lệ; bạn phải chứng minh nó do người khác thực hiện trái phép và bên nhận biết hoặc phải biết điều đó, hoặc có căn cứ khác theo luật dân sự. Toà án sẽ xem xét toàn bộ tình tiết.
Nhân viên ký vượt quyền bằng chứng thư công ty thì công ty có phải thực hiện hợp đồng?
Thường doanh nghiệp vẫn phải chịu trách nhiệm với bên nhận ngay tình, vì đã giao phương tiện ký cho nhân viên. Sau đó doanh nghiệp có thể yêu cầu nhân viên bồi hoàn và xử lý kỷ luật theo nội quy và hợp đồng lao động.
Có nên báo công an ngay không?
Nếu có dấu hiệu chiếm đoạt tài sản, giả mạo hoặc thiệt hại lớn, nên trình báo sớm để cơ quan có thẩm quyền thu thập chứng cứ. Nếu chỉ là tranh chấp trong nội bộ hoặc với đối tác, có thể bắt đầu bằng thương lượng và tư vấn luật sư.
Nhà cung cấp có phải bồi thường khi chứng thư bị người khác dùng không?
Chỉ khi thiệt hại có nguyên nhân từ lỗi của nhà cung cấp, như xác minh sai danh tính, chậm xử lý yêu cầu thu hồi, hay sự cố hệ thống làm lộ khoá. Nếu khoá bị lộ do thuê bao bảo quản kém, nhà cung cấp thường không phải chịu.
Đổi PIN có thay được việc thu hồi chứng thư không?
Không. Đổi PIN chỉ có ích khi token vẫn trong tay bạn và chưa ai sao được khoá. Nếu nghi khoá đã bị dùng hoặc thiết bị đã rời khỏi tay mình, phải yêu cầu tạm dừng hoặc thu hồi chứng thư để trạng thái được công bố.