Chữ ký số của bạn đang nằm trong tay ai?
Ngày 19/9/2026, VnExpress đưa tin TAND Đồng Tháp đã tuyên phạt 20 năm tù đối với một cựu kế toán vì dùng chữ ký số của thủ trưởng để duyệt hàng trăm chứng từ khống, chiếm đoạt 3,7 tỷ đồng trong 3 năm (VnExpress, 19/9/2026). Điều đáng nói không nằm ở phần mềm: chữ ký số ấy được giao cho người khác cầm, cắm vào máy và dùng thay chủ.
Bài này không bàn về vụ án. Bàn về phần việc của bạn — hai việc rất cụ thể: khi nhận một file PDF có chữ ký số, làm sao biết chữ ký đó còn hợp lệ và file chưa bị sửa từ lúc ký; khi ký, làm sao để chữ ký của mình không trở thành cái dấu để ở đầu bàn cho người khác tiện tay chấm. Ba việc cần làm đều có sẵn trên trình duyệt: Ký PDF để chèn chữ ký đúng chỗ, Khóa PDF để chặn sửa, Xem thông tin PDF để soi vết file.
Ba lỗ hổng khiến chữ ký số bị lợi dụng — đều không phải lỗi kỹ thuật
Một là token để ở ngăn kéo chung. Usb token (hoặc SIM PKI) là vật đại diện cho bạn trước pháp luật. Cứ để nó nằm trong ngăn kéo của bộ phận kế toán thì ai ngồi vào vị trí đó cũng ký được tên bạn.
Hai là ký theo lô, không mở file. Người duyệt nhận một đống chứng từ, mở lướt rồi ký hàng loạt. Đến lúc phát hiện thì đã vài trăm chứng từ đi qua.
Ba là không ai đối chiếu sau ký. Không có bản kê "hôm nay tôi đã ký những gì", nên không có gì để soi lại cuối tháng. Phát hiện muộn là chuyện tất yếu.
Cả ba sửa được bằng thói quen, không cần mua thêm phần mềm nào. Nhưng trước khi nói cách sửa, phải làm rõ một nhầm lẫn rất phổ biến ở Việt Nam.
Chữ ký số và ảnh chữ ký: hai thứ hay bị gọi chung một tên
Rất nhiều người gọi cả hai là "chữ ký", rồi ký nhầm chỗ. Bảng dưới là phần khác biệt quan trọng nhất:
| Chữ ký số | Ảnh chữ ký | |
|---|---|---|
| Bản chất | Chứng thư số gắn với cá nhân hoặc tổ chức, do tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp (VIETTEL-CA, VNPT-CA...) | Hình ảnh chữ ký viết tay hoặc ảnh chụp, chèn lên trang |
| Kiểm tra được | Có — người nhận xác thực được, và thấy rõ file có bị sửa sau khi ký không | Không — chỉ là một bức ảnh nằm trên trang |
| Dùng khi nào | Chứng từ nộp cơ quan, kho bạc, thuế, hải quan, hợp đồng cần chống chối bỏ | Hợp đồng nội bộ, bản nháp, tài liệu trình bày cho đúng mẫu |
Công cụ Ký PDF của CHUYENPDF.VN tạo ảnh chữ ký: bạn vẽ trực tiếp bằng chuột hoặc ngón tay, hoặc tải ảnh chữ ký có sẵn, chọn phạm vi "Tất cả", "Trang đầu", "Trang cuối", "Trang lẻ" hay "Trang chẵn", chọn vị trí ở bốn góc, rồi bấm "Tải file đã ký" khi trang báo "Đã chèn chữ ký thành công!". Nhanh, đẹp, xử lý ngay trên trình duyệt — nhưng nó không phải chữ ký số và không thay thế được usb token. Nói thẳng ngay từ đầu để bạn không ký nhầm chỗ cần giá trị pháp lý.
Cách kiểm tra chữ ký số trên file PDF: 4 bước cho người nhận
Bước 1: Mở bằng trình đọc có hiển thị chữ ký
Trình xem PDF mặc định của Chrome hay Edge mở được file, nhưng không kiểm tra chữ ký số. Muốn kiểm tra, hãy mở bằng Adobe Acrobat Reader trên máy tính — bản miễn phí là đủ.
💡 Mẹo: Nhận file qua Zalo trên điện thoại thì chuyển file sang máy tính rồi hãy kiểm tra (Zalo PC, gửi email cho chính mình, hoặc Google Drive). Trên màn hình nhỏ, các dòng cảnh báo nhỏ xíu rất dễ bị lướt qua.
Bước 2: Mở bảng chữ ký và đọc đúng 3 dòng
Trong Acrobat Reader, bấm vào chữ ký trên tài liệu rồi mở "Thuộc tính chữ ký". Có ba dòng quyết định:
- Trạng thái chữ ký. Ghi "Chữ ký hợp lệ" mới là được. Nếu hiện "Chữ ký không hợp lệ" hoặc không xác minh được danh tính, nghĩa là có vấn đề: chứng thư số hết hạn, thiếu chứng chỉ gốc để đối chiếu, hoặc file đã bị can thiệp.
- Tài liệu có bị sửa sau khi ký không. Dòng này phải nói rõ tài liệu không được sửa đổi kể từ khi ký. Nếu báo tài liệu đã được sửa đổi hoặc bị hỏng kể từ khi ký, có nghĩa là có người thêm bớt nội dung sau đó — đừng tin file nữa.
- Ai ký và ký khi nào. Tên người ký, tổ chức cấp chứng thư số, mốc thời gian ký. Đối chiếu mốc này với ngày bạn nhận được email hay tin nhắn chứa file.
Ba dòng này là thứ duy nhất phân biệt được "file đã ký rồi gửi" với "file đã ký, bị sửa, rồi mới gửi".
Bước 3: Soi metadata để thấy vết sửa
Ký xong không có nghĩa là xong. File PDF vẫn giữ lại metadata, và nó là chỗ để lại vết rõ nhất. Bạn có thể đọc ngay trên trình duyệt bằng Xem thông tin PDF: chọn file là hiện kết quả "Đọc thông tin thành công!", gồm "Ngày tạo", "Ngày sửa lần cuối", "Phần mềm tạo file", "Phần mềm xử lý", "Tác giả", "Số trang", và phần "Thông tin ẩn trong file của bạn:".
Cần để ý gì:
- Nếu "Ngày sửa lần cuối" muộn hơn thời điểm ký ghi trong chữ ký số, file đã được mở ra và lưu lại sau khi ký — hãy hỏi lại người gửi.
- Nếu "Phần mềm xử lý" là một công cụ lạ mà người gửi không nhắc đến, cũng đáng để hỏi một câu.
- "Số trang" phải khớp với số trang bạn đang thấy. Thiếu trang là kiểu "sửa" rất hay gặp ở hồ sơ nhiều tờ.
Nếu bạn là người gửi và muốn dọn sạch các thông tin này trước khi gửi đi, dùng Xóa metadata PDF.
Bước 4: Đối chiếu nội dung với bản gốc
Nghe thủ công, nhưng đây là bước cứu được nhiều tiền nhất. Mở bản PDF bạn nhận cạnh bản gốc bạn có (file Word, bản PDF đợt trước, hoặc số liệu trong email) và soi ba thứ: số tiền, số trang, tên người nhận. Phần lớn chứng từ khống không phải do kẻ lạ hack vào, mà là một file giống hệt bản thật, chỉ khác vài con số — và không ai mở ra đọc.
Người ký: 4 bước để chữ ký của mình không bị dùng thay
Bước 1: Token và mật khẩu là của bạn
Nguyên tắc đơn giản: cái gì thay bạn ký thì phải ở trong túi bạn. Nhờ người khác "cắm hộ rồi ký hộ một lần" rất dễ thành thói quen, rồi thành quy trình không ai kiểm tra. Nếu vì công việc bắt buộc phải phân quyền, hãy tách bạch: người lập chứng từ và người duyệt không được là một người, và mỗi lần ký đều có người đối chiếu lại.
Bước 2: Ghép đúng bản trước khi ký
Ký sai bản là chuyện rất thường: hồ sơ gửi đi gồm bảy tám file rời, người ký mở đúng file đầu tiên rồi ký. Trước khi ký, gom toàn bộ tài liệu thành một file bằng Ghép PDF, đúng thứ tự, rồi mới ký file đó — trang báo "Ghép PDF thành công!" và bạn bấm "Tải file đã ghép". Một file, một lần ký, không còn chỗ để ai đó chèn thêm một tờ.
Bước 3: Khóa file ngay sau khi ký
Chữ ký số bảo vệ nội dung đã ký, nhưng người nhận vẫn có thể in, copy chữ hay chỉnh sửa nếu bạn không cài quyền. Với file chỉ dành cho một người đọc, hãy khóa thêm một lớp bằng Khóa PDF: kéo file vào vùng tải lên, nhập mật khẩu ở ô "Nhập mật khẩu...", xác nhận ở ô "Nhập lại mật khẩu...". Bên dưới là mục "Quyền hạn file PDF" với ba lựa chọn "Cho phép in file PDF", "Cho phép sao chép văn bản", "Cho phép chỉnh sửa nội dung" — bỏ chọn những quyền không cần. Trang báo "Mã hóa thành công!" và bạn bấm "Tải file đã mã hóa".
File được mã hóa AES-256, xử lý ngay trên trình duyệt và chúng tôi không lưu mật khẩu của bạn — vì vậy hãy cất mật khẩu vào nơi bạn chắc chắn nhớ, quên là không lấy lại được. Mật khẩu nên dài ít nhất 8 ký tự, trộn chữ hoa, chữ thường, số và ký tự đặc biệt.
💡 Mẹo: Gửi mật khẩu qua kênh khác với kênh gửi file — file qua email, mật khẩu nhắn Zalo. Gửi cả hai cùng một chỗ thì lớp khóa này coi như không có.
Bước 4: Lưu lại vết, chỉ cần một dòng
Mỗi lần ký, ghi lại: tên file, ngày ký, người nhận, mục đích. Một file Excel hay một nhật ký ghi chú cũng được. Khi cần đối chiếu cuối tháng hoặc cuối quý, bạn có cái để soi thay vì phải nhớ lại xem "hình như mình có ký cái này". Không phải thủ tục hành chính — đó là cách duy nhất để bạn phát hiện sớm một chứng từ mang tên mình mà mình không nhớ đã duyệt.
Câu hỏi thường gặp
File PDF có chữ ký số rồi có bị sửa được không?
Về mặt kỹ thuật thì vẫn mở ra sửa và lưu lại được, chỉ là lúc đó chữ ký sẽ mất hiệu lực. Vì vậy đừng chỉ nhìn thấy có dấu chữ ký là yên tâm, mà phải đọc dòng "tài liệu có bị sửa đổi sau khi ký" trong bảng chữ ký.
Vì sao chữ ký số báo không hợp lệ dù tôi vừa ký xong?
Ba nguyên nhân hay gặp: chứng thư số đã hết hạn; máy tính thiếu chứng chỉ gốc của tổ chức cấp chứng thư số để đối chiếu; hoặc file đang được mở bằng trình xem không hỗ trợ xác thực. Hãy mở lại bằng Adobe Acrobat Reader trên máy tính và kiểm tra ngày hết hạn của chứng thư số.
Chèn ảnh chữ ký bằng công cụ online có giá trị pháp lý không?
Không. Công cụ Ký PDF chỉ chèn hình ảnh chữ ký lên trang, không tạo chữ ký số. Chữ ký có giá trị pháp lý theo Luật Giao dịch điện tử cần chứng thư số do tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp. Ảnh chữ ký phù hợp với hợp đồng nội bộ, bản nháp hoặc tài liệu trình bày cho đúng mẫu.
Có nên khóa mật khẩu file PDF đã ký số không?
Nên, nếu file chỉ dành cho một người hoặc một nhóm người đọc. Khóa bằng mật khẩu không thay thế được chữ ký số, nhưng chặn được việc in bừa, copy nội dung hay chỉnh sửa. Nhớ gửi mật khẩu qua kênh khác với kênh gửi file.
Tôi nhận file PDF qua Zalo trên điện thoại, có kiểm tra được chữ ký số không?
Kiểm tra được, nhưng nên làm trên máy tính. Trình xem PDF trong Chrome hay Edge không kiểm tra chữ ký số. Hãy chuyển file sang máy tính rồi mở bằng Adobe Acrobat Reader; nếu file nặng hơn 25MB thì Zalo sẽ không gửi được, khi đó nhờ người gửi gửi qua email hoặc đường link.
Kết luận
Chữ ký số trong phần lớn sự việc không bị hack — nó bị giao cho người khác dùng. Hai việc bạn làm được ngay hôm nay: soi kỹ file trước khi tin (Xem thông tin PDF), và khóa file trước khi gửi (Khóa PDF). Cần chèn chữ ký vào hợp đồng nội bộ hay bản nháp, dùng Ký PDF — xử lý ngay trên trình duyệt, file không rời khỏi máy của bạn.