Đừng khoe mã QR từ PC-Covid và Y tế HCM nữa, thông tin của bạn lộ hết!

Chỉ thông qua hình ảnh QR cá nhân trên ứng dụng PC-Covid hay Y tế HCM, một người bất kỳ có thể quét và đọc được nhiều thông tin.

Lộ thông tin do khoe mã QR cá nhân

Những ngày qua, ứng dụng PC-Covid đã ghi nhận hàng chục triệu lượt tải và cập nhật (do là phiên bản nâng cấp, đổi tên từ ứng dụng Bluezone), trong khi ứng dụng Y tế HCM cũng nhanh chóng có hàng trăm ngàn lượt tải.

* PC-Covid được phát triển với mục tiêu trở thành ứng dụng phòng, chống dịch COVID-19 Quốc gia.

* Y tế HCM là ứng dụng phục vụ riêng cho người dân khi đến/ở tại TP.HCM.

Mỗi ứng dụng này đều sẽ cung cấp cho người dùng một mã QR để quét tại các chốt kiểm dịch hay khi đến các địa điểm công cộng, tòa nhà, cơ quan,... có yêu cầu. Hiện, đang có không ít người dùng chụp ảnh màn hình các ứng dụng này kèm mã QR cá nhân và chia sẻ lên mạng xã hội ở chế độ công khai. Đây là một điều hết sức nguy hiểm!

Một bài đăng công khai chia sẻ mã QR cá nhân trên ứng dụng Y tế HCM.

Rất nhiều thông tin có thể bị lộ từ mã QR cá nhân.

Trên thực tế, chỉ thông qua hình ảnh QR cá nhân trên ứng dụng PC-Covid hay Y tế HCM, một người bất kỳ đều có thể quét và đọc được những thông tin cơ bản của cá nhân sở hữu mã QR đó: Số CMND/CCCD/Hộ chiếu, Họ và tên đầy đủ (không dấu), Giới tính, Năm-tháng-ngày sinh, Số điện thoại di động,...

Người viết nhận thấy, cả ứng dụng PC-Covid và Y tế HCM đều thiết kế cấu trúc mã QR theo đúng hướng dẫn của Bộ Thông tin và Truyền thông (TT&TT) về các yêu cầu kỹ thuật đối với phân hệ hiển thị mã QR cá nhân thuộc các nền tảng, ứng dụng phòng, chống dịch COVID-19 (phiên bản 1.1, hiệu lực từ ngày 11/9/2021).

Trong văn bản hướng dẫn, Bộ TT&TT nêu rõ định dạng trong mỗi mã QR cá nhân là một chuỗi có cấu trúc như sau:

SoGiayTo|HoTen|NgaySinh|LoaiDinhDanh|QID|EXT

Ví dụ: 001093029317|NGUYEN LE KHA HAN|1987-01-18|0|162979388586171100|<1

Chi tiết các trường thông tin được diễn giải như bên dưới:

STT	Tên trường thông tin	Giải thích	Ghi chú
1	SoGiayTo	Số giấy tờ cá nhân của người dân (số CCCD, CMND, số hộ chiếu). Trên các nền tảng, ứng dụng phòng, chống dịch COVID-19, hỗ trợ hiển thị số giấy tờ cá nhân ở hai chế độ: - Chế độ hiển thị mặc định: Số giấy tờ cá nhân ẩn bớt 6 ký tự đầu tiên bằng cách thay thế bằng ký tự dấu sao (*). - Chế độ hiển thị đầy đủ: hiển thị đầy đủ số giấy tờ cá nhân. Các nền tảng, ứng dụng phòng, chống dịch Covid-19 cần có chức năng để người dùng có thể lựa chọn chuyển đổi nhanh các chế độ hiển thị nói trên.	Bắt buộc hiển thị với QR cá nhân có được bởi người dùng tự khai. Không bắt buộc hiển thị với QR cá nhân có được bởi người dùng được khai hộ.
2	HoTen	Họ và tên người dân, viết hoa, không dấu, mỗi từ cách nhau bởi 01 ký tự khoảng trắng (space).	Bắt buộc.
3	NgaySinh	Chuỗi ngày tháng năm sinh theo định dạng: YYYY-MM-DD. Trên các nền tảng, ứng dụng phòng, chống dịch COVID-19, hỗ trợ hiển thị chuỗi ngày tháng năm sinh ở hai chế độ: - Chế độ hiển thị mặc định: Chuỗi ngày tháng năm sinh ẩn bớt các ký tự ngày và tháng bằng cách thay thế bằng ký tự dấu sao (*). - Chế độ hiển thị đầy đủ: Hiển thị đầy đủ chuỗi ngày tháng năm sinh. Các nền tảng, ứng dụng phòng, chống dịch Covid-19 cần có chức năng để người dùng có thể lựa chọn chuyển đổi nhanh các chế độ hiển thị nói trên.	Bắt buộc.
4	LoaiDinhDanh	Loại định danh gồm các giá trị quy ước: - 0: Người dùng tự khai; - 1: Người dùng khai hộ.	Bắt buộc.
5	QID	Mã người dùng do nền tảng QRQG cấp, kiểu dữ liệu là chuỗi ký tự.	Bắt buộc.
6	EXT	Các giá trị mở rộng khác như: 1) QID của người khai hộ (trong trường hợp là mã QR cá nhân có được bởi người dùng khai hộ). 2) Giới tính (theo QCVN 109:2017/BTTTT); 3) Mã số thẻ BHYT; 4) Số điện thoại (gồm 10 ký tự số); 5) Chữ ký điện tử… và các thông tin khác theo nhu cầu thực tiễn.	Tuỳ chọn và các giá trị theo thứ tự được phân định nhau bởi dấu “<”.

Làm cách nào để bảo mật thông tin?

Để tránh bị lộ những thông tin ẩn bên trong mã QR cá nhân, tốt hơn hết, người dùng không nên chia sẻ ảnh chụp màn hình mã QR của mình trên mạng xã hội. Trường hợp muốn chia sẻ với ứng dụng PC-Covid, hãy thực hiện một trong hai, hoặc cả hai biện pháp sau:

- Làm mờ, che bớt một phần mã QR: Mã QR sẽ không còn hiệu lực để quét nếu bị mất đi một đoạn thông tin nào đó.

Che một phần mã QR sẽ giúp bảo mật thông tin cá nhân người dùng khi chia sẻ lên mạng xã hội.

- Thiết lập ẩn thông tin trên QR theo tính năng có sẵn của ứng dụng PC-Covid: Vào "Cài đặt" > bật tùy chọn "Ẩn thông tin trên QR", nhờ đó một phần dữ liệu khi quét mã QR (số điện thoại, ngày sinh,…) sẽ được ẩn và thay thế bằng ký tự sao (*).

Thông tin mã QR trên ứng dụng PC-Covid đã được ẩn bớt bởi các dấu *, sau khi bật tùy chọn ẩn.