Doanh nghiệp Anh bị phạt 300.000 bảng vì phát tán 5,5 triệu tin nhắn đòi nợ giả, nhắm vào người đang khó khăn tài chính

Cơ quan quản lý bảo vệ dữ liệu của Anh, Information Commissioner’s Office (ICO) – cơ quan giám sát việc tuân thủ luật quyền riêng tư và dữ liệu cá nhân – vừa phạt KRA Consultancy Ltd 300.000 bảng Anh sau khi xác định công ty này đã gửi 5.575.715 tin nhắn tiếp thị không mong muốn trong giai đoạn từ tháng 4/2022 đến tháng 5/2025. Theo kết luận của ICO, KRA nhắm trực tiếp vào những người đang gặp khó khăn tài chính, đặc biệt là các cá nhân từng bị từ chối khoản vay, rồi chào mời các “giải pháp” xử lý nợ.

Điểm nghiêm trọng nhất trong vụ việc là việc KRA sử dụng các tin nhắn giả mạo cảnh báo thi hành án. Công ty gửi tin với sender ID “DEMAND” – tức tên định danh người gửi hiển thị thay cho số điện thoại – để tạo cảm giác chính thống. Nội dung các tin nhắn tuyên bố rằng một “enforcement agent”, tức nhân viên cưỡng chế thi hành, sẽ đến nhà người nhận trong vòng 48 giờ để tịch thu tài sản theo lệnh tòa. ICO cho rằng đây là thủ đoạn cố tình gieo sợ hãi, khiến người đang nợ nần tin rằng tài sản gia đình sắp bị mang đi, từ đó buộc họ tương tác với dịch vụ của KRA.

Theo hồ sơ xử phạt, KRA không kiểm tra độ chính xác của cái gọi là “loan decline data” – tập dữ liệu về những người bị từ chối vay vốn – cũng không xác minh liệu những người này có đồng ý nhận tin nhắn tiếp thị hay không. Trong bối cảnh công nghệ quảng cáo và tiếp thị số, “consent” hay sự đồng ý rõ ràng của người dùng là nền tảng pháp lý quan trọng, đặc biệt tại Anh và châu Âu. Việc sử dụng dữ liệu cá nhân lỗi thời, thiếu xác thực để nhắm mục tiêu vào nhóm dễ tổn thương bị xem là vi phạm nghiêm trọng quyền riêng tư.

Chiến dịch của KRA đã tạo ra hơn 60.000 khiếu nại gửi tới ICO và dịch vụ 7726 của Mobile UK, hệ thống báo cáo spam qua tin nhắn tại Anh. Cơ quan điều tra còn cho biết giám đốc công ty, Khuram Rezvan Ahmad, bị cáo buộc đã liên hệ với một nhà cung cấp viễn thông tại Trung Quốc để hỏi liệu các tin nhắn hàng loạt có thể “hoàn toàn không thể truy vết” hay không. Trong lĩnh vực viễn thông, khả năng truy vết là yếu tố then chốt giúp nhà mạng và cơ quan chức năng xác định nguồn phát tán spam, lừa đảo hoặc nội dung độc hại.

ICO cho biết các tin nhắn WhatsApp nội bộ thu được trong quá trình điều tra cho thấy lãnh đạo KRA dùng từ “coaching” như một cách nói giảm nói tránh cho các tin nhắn đe dọa. Theo cơ quan này, chiến thuật của công ty là để đội ngũ bán hàng tiếp cận người nhận trước, sau đó dùng các tin nhắn gây áp lực vào hôm sau để tăng khả năng chốt dịch vụ. Mô hình này phản ánh một dạng “high-pressure marketing” – tiếp thị gây sức ép cao – vốn bị chỉ trích vì tận dụng tâm lý lo lắng và sự thiếu hiểu biết của khách hàng.

Trong quá trình điều tra, ICO đã thực hiện lệnh khám xét tại văn phòng KRA và nhà riêng của Ahmad. Tuy nhiên, theo cơ quan giám sát, hoạt động tiếp thị trái phép vẫn tiếp diễn sau đó, phát sinh thêm 161 khiếu nại mới. ICO cũng nhấn mạnh rằng KRA không đăng ký với Financial Conduct Authority (FCA) – cơ quan quản lý dịch vụ tài chính của Anh – dù công ty đang định hướng người dùng tới các giải pháp xử lý nợ. Với các doanh nghiệp hoạt động gần ranh giới giữa tư vấn tài chính, tiếp thị và xử lý dữ liệu cá nhân, việc thiếu đăng ký với cơ quan quản lý là dấu hiệu cảnh báo lớn.

Ngoài khoản phạt 300.000 bảng, ICO còn ban hành Enforcement Notice, tức lệnh buộc chấp hành, yêu cầu KRA phải dừng gửi tin nhắn tiếp thị khi chưa có sự đồng ý trong vòng 30 ngày. Giới quan sát cho rằng đây là tín hiệu cho thấy nhà chức trách Anh đang mạnh tay hơn với các doanh nghiệp lạm dụng dữ liệu cá nhân để khai thác nhóm người dùng yếu thế. Vụ việc cũng là lời cảnh báo rõ ràng cho ngành tiếp thị số và viễn thông: công nghệ nhắn tin hàng loạt có thể là công cụ kinh doanh hiệu quả, nhưng nếu bị sử dụng để thao túng nỗi sợ và né tránh truy vết, hậu quả pháp lý sẽ rất đắt giá.