Gmail khó bị xâm nhập. Google cho biết hệ thống chặn hơn 99,9% thư rác, các nỗ lực lừa đảo và phần mềm độc hại trước khi chúng đến được bạn, còn mã khóa hoặc khóa bảo mật khiến tài khoản của bạn rất khó bị đánh cắp. Điều đó giúp Gmail an toàn trước nhiều mối đe dọa phổ biến, nhưng không nhất thiết riêng tư.
Bảo mật và quyền riêng tư trả lời những câu hỏi khác nhau:
- Bảo mật hỏi liệu kẻ gian có thể xâm nhập vào hộp thư đến của bạn hay không.
- Quyền riêng tư hỏi còn ai khác có thể đọc thư, kể cả công ty vận hành dịch vụ đó.
Gmail không được mã hóa đầu cuối theo mặc định, nghĩa là thư không được mã hóa theo cách mà chỉ bạn và người nhận mới có thể giải mã. Google nắm giữ khóa cho các thư được lưu trữ của bạn, xử lý nội dung thư để chạy bộ lọc thư rác và các tính năng như Smart Compose, đồng thời liên kết tài khoản của bạn với cùng hồ sơ Google mà hoạt động kinh doanh quảng cáo của họ dựa vào. Vì vậy, câu trả lời ngắn gọn là: Gmail tương đối an toàn, nhưng không phải là dịch vụ email riêng tư.
- Gmail có được mã hóa không?
- Gmail có an toàn không?
- Gmail có riêng tư không?
- Cách giúp Gmail an toàn và riêng tư hơn
- Giải pháp thay thế an toàn hơn cho Gmail
Gmail có được mã hóa không?
Có, nhưng không mã hóa đầu cuối. Gmail tiêu chuẩn sử dụng TLS khi truyền và mã hóa khi lưu trữ. Khách hàng doanh nghiệp sử dụng một số gói Google Workspace trả phí có thể thêm các tùy chọn mạnh hơn.
| Loại mã hóa | Phạm vi bảo vệ | Có trên | Google có thể đọc thư không? |
|---|---|---|---|
| TLS | Email được truyền giữa các máy chủ thư khi máy chủ kia hỗ trợ điều này | Tất cả tài khoản | Có |
| Mã hóa khi lưu trữ | Email đã lưu trữ, bảo vệ trước ổ đĩa bị đánh cắp và một số cuộc tấn công vào hạ tầng | Tất cả tài khoản | Có |
| S/MIME được lưu trữ | Email giữa những người dùng đều có chứng chỉ S/MIME | Các gói Enterprise Plus, Frontline Plus và Education | Có: chứng chỉ và khóa riêng tư được tải lên Gmail |
| Mã hóa phía máy khách (CSE) | Email đã mã hóa trong trình duyệt bằng khóa do tổ chức kiểm soát | Enterprise Plus, Frontline Plus, Education Standard và Plus | Không, nhưng tổ chức có thể. |
Với Gmail cá nhân, mã hóa đầu cuối thực sự cần một phần mở rộng PGP của bên thứ ba như Mailvelope, và người nhận của bạn cũng cần PGP (phần mềm tuân theo OpenPGP, một tiêu chuẩn mở cho mã hóa đầu cuối).
Chế độ bảo mật của Gmail có mã hóa email không?
Không. Chế độ bảo mật cho phép bạn đặt ngày hết hạn, thu hồi quyền truy cập, yêu cầu mật mã SMS và ngăn người nhận chuyển tiếp, sao chép, in hoặc tải xuống thư. Người nhận vẫn có thể chụp ảnh màn hình hoặc chụp ảnh email của bạn. Chế độ bảo mật chỉ giới hạn những gì người nhận có thể làm, nhưng không giữ thư riêng tư khỏi Google.
Gmail có bảo mật không?
Có — trước mật khẩu bị đánh cắp, lừa đảo, thư rác và phần mềm độc hại, Gmail là một trong những dịch vụ email mạnh hơn hiện có, đặc biệt khi bạn thay mật khẩu bằng mã khóa hoặc khóa bảo mật. Dưới đây là lý do:
Mã hóa khi truyền và khi lưu trữ
Gmail mã hóa thư bằng TLS (Transport Layer Security) trong khi thư truyền giữa các máy chủ thư, vì vậy email của bạn được bảo vệ khi truyền miễn là nhà cung cấp email ở đầu bên kia cũng hỗ trợ TLS. Nếu bạn thấy biểu tượng ổ khóa mở màu đỏ bên cạnh một thư, điều đó có nghĩa là email không được mã hóa.
Khi email của bạn đến máy chủ của Google, email đó được mã hóa khi lưu trữ. Sách trắng về mã hóa(cửa sổ mới) của Google Workspace liệt kê các thư Gmail và tập tin đính kèm được mã hóa bằng AES với khóa 128 bit hoặc mạnh hơn, do Google tạo và quản lý.
Cả hai biện pháp bảo vệ đều ngăn chặn người ngoài, chẳng hạn như kẻ nghe lén một liên kết mạng hoặc đánh cắp ổ đĩa từ trung tâm dữ liệu. Tuy nhiên, vì Google nắm giữ khóa, công ty vẫn có quyền truy cập kỹ thuật vào email của bạn. Đó là điểm khác biệt so với mã hóa đầu cuối, trong đó chỉ người gửi và người nhận mới có thể giải mã thư.
Xác thực hai yếu tố và mã khóa
Google hỗ trợ xác thực hai yếu tố (2FA). Bạn có thể xác nhận đăng nhập bằng lời nhắc của Google trên điện thoại, ứng dụng xác thực, mã khóa, khóa bảo mật vật lý hoặc mã được gửi qua tin nhắn văn bản hoặc cuộc gọi. Mã xác minh gửi qua tin nhắn văn bản hoặc cuộc gọi dễ bị tấn công dựa trên số điện thoại, và người phát ngôn của Gmail đã nói với Forbes vào tháng 2 năm 2025(cửa sổ mới) rằng Google muốn “chuyển khỏi việc gửi tin nhắn SMS để xác thực”. Mã khóa, tùy chọn đăng nhập mặc định của Google, mạnh hơn vì chúng có thể chống lại các cuộc tấn công trực tuyến như lừa đảo.
Đối với người có nguy cơ cao, Google cung cấp Chương trình Bảo vệ nâng cao. Chương trình này yêu cầu mã khóa hoặc khóa bảo mật để đăng nhập, chỉ cho phép các ứng dụng của Google và ứng dụng bên thứ ba đã được xác minh truy cập dữ liệu tài khoản của bạn, và kiểm tra chặt chẽ hơn đối với các tệp tải xuống. Chương trình không thay đổi cách Gmail mã hóa email, vì vậy Google vẫn có thể đọc thư của bạn.
Bảo vệ khỏi thư rác, lừa đảo và phần mềm độc hại
Gmail tự động lọc thư đến. Công ty cho biết hệ thống chặn gần 10 triệu email thư rác mỗi phút, và một mô hình AI mới hơn được giới thiệu vào cuối năm 2024 chặn nhiều thư rác hơn 20% so với trước đây. Gmail còn:
- Từ chối các loại tập tin đính kèm có rủi ro, chẳng hạn như tệp thực thi, và cảnh báo bạn trước khi tải xuống tập tin đính kèm nguy hiểm.
- Hiển thị biểu ngữ cảnh báo trên thư đáng ngờ, nội dung không an toàn và liên kết lừa đảo.
- Yêu cầu bất kỳ ai gửi thư đến Gmail phải xác thực miền của họ bằng SPF hoặc DKIM, gửi qua TLS, và giữ tỷ lệ thư rác dưới 0,3%. Người gửi hơn 5.000 thư mỗi ngày cũng phải sử dụng cả SPF và DKIM, cùng với DMARC và tính năng hủy đăng ký chỉ với một cú nhấp. Email không đáp ứng những yêu cầu này sẽ bị từ chối hoặc gửi vào hộp thư rác.
- Hiển thị logo đã xác minh (Brand Indicator for Message Identification, hay BIMI), trông giống dấu tích xanh, bên cạnh các thương hiệu đã xác minh miền và logo của họ. Điều này khiến việc mạo danh khó hơn.
Bộ lọc giúp giảm rủi ro nhưng không xóa bỏ hoàn toàn. Microsoft đã phát hiện khoảng 8,3 tỷ mối đe dọa lừa đảo qua email(cửa sổ mới) trong quý đầu năm 2026, và kẻ tấn công đã lạm dụng chính hệ thống của Google: Vào tháng 4 năm 2025, kẻ lừa đảo đã gửi cảnh báo giả mạo(cửa sổ mới) từ no-reply@google.com vượt qua các kiểm tra xác thực của Gmail.
Bộ lọc thư rác của Gmail cũng có một số ngoại lệ, và Google quyết định ai được hưởng chúng. Từ tháng 9 năm 2026, Chương trình Người gửi được xác minh của Gmail cho phép các ủy ban chính trị đã đăng ký tại Mỹ vượt qua bộ lọc nếu họ gửi từ các miền đã xác minh và giữ tỷ lệ khiếu nại dưới 0,3%. Các email chính trị mà trước đây Gmail sẽ chặn như thư rác giờ lọt vào hộp thư đến của bạn, và bạn phải tự lọc chúng ra.
Tính năng bảo mật tài khoản
Công cụ tài khoản Google phát hiện sớm nhiều nỗ lực chiếm quyền tài khoản:
Kiểm tra bảo mật đưa ra các đề xuất được cá nhân hóa, chẳng hạn như xóa các thiết bị cũ hoặc thêm phương thức khôi phục.
Cảnh báo bảo mật sẽ thông báo cho bạn qua điện thoại hoặc email nếu có người đăng nhập vào thiết bị mới hoặc nếu tài khoản gửi một lượng email bất thường. Kẻ lừa đảo bắt chước các cảnh báo này: Năm 2024, các lời nhắc khôi phục giả mạo kết hợp với cuộc gọi thoại AI(cửa sổ mới) đã được sử dụng để chiếm quyền tài khoản. Hãy kiểm tra cảnh báo bằng cách mở trực tiếp Tài khoản Google thay vì nhấp vào liên kết trong thư.
Quản lý thiết bị cho phép xem mọi thiết bị đã đăng nhập và đăng xuất từ xa. Hãy sử dụng tính năng này sau khi có bất kỳ lo ngại nào về phần mềm độc hại: Năm 2024, các nhà nghiên cứu(cửa sổ mới) phát hiện phần mềm đánh cắp thông tin vẫn duy trì quyền truy cập vào tài khoản Google ngay cả sau khi đặt lại mật khẩu, bằng cách tái sử dụng mã thông báo phiên bị đánh cắp. Google cho biết việc đăng xuất khỏi trình duyệt bị ảnh hưởng, hoặc thu hồi quyền truy cập từ trang thiết bị, sẽ chấm dứt quyền truy cập đó.
Điện thoại và email khôi phục giúp đăng nhập lại nếu bạn bị khóa tài khoản.
Duyệt web an toàn nâng cao bổ sung khả năng bảo vệ khỏi lừa đảo và phần mềm độc hại tốt hơn trên Chrome và Gmail.
Sự cố và tấn công bảo mật Gmail
Dưới đây là một số sự cố bảo mật Gmail đã biết. Lưu ý rằng các sự cố này bắt đầu từ phía người dùng, thông qua lừa đảo, phần mềm độc hại hoặc mật khẩu bị rò rỉ, chứ không phải do vi phạm hệ thống của Google.
- Tháng 1 năm 2026, một nhà nghiên cứu phát hiện một cơ sở dữ liệu bị lộ chứa 149 triệu thông tin đăng nhập bị đánh cắp(cửa sổ mới), trong đó khoảng 48 triệu là của Gmail. Google cho biết thông tin đăng nhập được thu thập bởi phần mềm độc hại trên thiết bị của người dùng, chứ không phải lấy từ Google.
- Tháng 8 năm 2025, nhóm tin tặc được biết đến với tên ShinyHunters đã đánh cắp dữ liệu từ một cơ sở dữ liệu Salesforce của Google: chi tiết liên hệ và ghi chú về các doanh nghiệp vừa và nhỏ. Không có dữ liệu Gmail nào liên quan.
- Tháng 7 năm 2025, các nhà nghiên cứu(cửa sổ mới) chỉ ra rằng văn bản ẩn trong một email có thể đánh lừa tính năng “Tóm tắt email này” của Gemini để hiển thị cảnh báo bảo mật giả mạo.
- Tháng 4 năm 2025, kẻ lừa đảo đã gửi cảnh báo giả mạo(cửa sổ mới) từ no-reply@google.com vượt qua các kiểm tra xác thực của Gmail, dẫn đến một trang hỗ trợ giả mạo trên Google Sites.
- Tháng 10 năm 2024, kẻ lừa đảo đã sử dụng cuộc gọi thoại do AI tạo ra giả danh bộ phận hỗ trợ của Google(cửa sổ mới) cùng với các lời nhắc khôi phục tài khoản giả mạo để chiếm quyền tài khoản Gmail.
- Từ tháng 10 đến tháng 12 năm 2018, hai lỗi của Google+ đã làm lộ dữ liệu hồ sơ của tối đa 500.000 người dùng, sau đó là 52,5 triệu người dùng. Google đã đóng cửa Google+ và siết chặt quyền truy cập của bên thứ ba vào Gmail.
Gmail có riêng tư không?
Không hẳn. Gmail bảo vệ khá tốt trước những bên ngoài, nhưng bản thân Google có thể truy cập thư, thu thập dữ liệu về cách sử dụng thư và liên kết dữ liệu đó với tài khoản Google. Các nhà cung cấp email ưu tiên quyền riêng tư, sử dụng mã hóa đầu cuối và mã hóa zero-access, được thiết kế để không thể làm điều đó.
Gmail không được mã hóa đầu cuối theo mặc định
Để lập chỉ mục hộp thư đến nhằm phục vụ tìm kiếm và đề xuất trả lời, máy chủ của Google xử lý email ở dạng có thể đọc được. Điều này chỉ khả thi vì Google, chứ không phải người dùng, nắm giữ khóa mã hóa.
Chỉ Google Workspace trả phí, với mã hóa phía máy khách, mới cung cấp mã hóa đầu cuối. Với mã hóa đầu cuối, thư được mã hóa trên thiết bị của người gửi và chỉ được giải mã trên thiết bị của người nhận. Nhà cung cấp lưu trữ dữ liệu đã bị xáo trộn mà họ không có khóa nào để giải mã.
Google thu thập những dữ liệu nào từ người dùng Gmail?
Chính sách quyền riêng tư của Google áp dụng cho Gmail cũng như với Tìm kiếm, Bản đồ và YouTube, vì vậy hoạt động của bạn trên tất cả các dịch vụ này góp phần vào những gì Google biết về bạn. Chính sách nêu tên các danh mục sau:
| Danh mục | Ví dụ từ chính sách quyền riêng tư của Google |
|---|---|
| Những gì bạn tạo hoặc cung cấp | Tên, mật khẩu, số điện thoại, thông tin thanh toán và nội dung, bao gồm email |
| Ứng dụng, trình duyệt và thiết bị | Mã định danh duy nhất, loại trình duyệt và thiết bị, hệ điều hành, báo cáo sự cố |
| Địa chỉ IP và vị trí | Địa chỉ IP(cửa sổ mới), GPS, các thiết bị gần đó và vị trí được suy ra từ hoạt động của bạn |
| Hoạt động trong dịch vụ của Google | Lượt tìm kiếm, video đã xem, hoạt động mua hàng và thông tin liên lạc, tùy theo cài đặt của bạn |
Tính đến tháng 10 năm 2026, nhãn quyền riêng tư trên App Store dành cho ứng dụng Gmail trên iOS liệt kê dữ liệu ứng dụng thu thập là “Dữ liệu được liên kết với bạn”, bao gồm thông tin mua hàng, vị trí gần đúng, danh bạ, email và nội dung người dùng khác, lịch sử tìm kiếm, ID người dùng và thiết bị, cùng dữ liệu quảng cáo.
Thay đổi cài đặt quyền riêng tư của Google để tạm dừng Hoạt động trên web và ứng dụng, tắt quảng cáo được cá nhân hóa trong Trung tâm quảng cáo của tôi, ngừng theo dõi vị trí, v.v.
Google có sử dụng dữ liệu Gmail của bạn để chạy quảng cáo không?
Google cho biết không sử dụng nội dung email để nhắm mục tiêu quảng cáo. Hãng đã ngừng làm việc này từ năm 2017, khi tuyên bố “Nội dung Gmail dành cho người tiêu dùng sẽ không được sử dụng hoặc quét cho bất kỳ mục đích cá nhân hóa quảng cáo nào.” Chính sách quyền riêng tư hiện nay của hãng ghi: “Chúng tôi không hiển thị quảng cáo được cá nhân hóa dựa trên nội dung của bạn từ Drive, Gmail hoặc Ảnh.”
Hộp thư đến của bạn vẫn là một phần trong mảng kinh doanh quảng cáo của Google theo những cách khác. Chẳng hạn, Gmail hiển thị quảng cáo dựa trên “hoạt động trực tuyến của bạn khi đã đăng nhập vào Google”, như lượt tìm kiếm và lịch sử xem YouTube. Năm 2025, cơ quan bảo vệ dữ liệu của Pháp đã phạt Google 325\u00a0triệu\u00a0EUR(cửa sổ mới), một phần vì chèn quảng cáo giữa các email trong các tab Khuyến mãi và Mạng xã hội mà không có sự đồng ý. Google đã kháng cáo, và tính đến tháng 10 năm 2026 chưa có phán quyết nào được công bố.
Gmail có sử dụng email của bạn để huấn luyện AI không?
Google nói không. Tháng 11 năm 2025, một người phát ngôn đã nói với Tom’s Guide(cửa sổ mới): “Chúng tôi không sử dụng nội dung Gmail của bạn để huấn luyện mô hình AI Gemini của chúng tôi.”
Tuy nhiên, nếu cho phép Gemini đọc Gmail, nội dung email mà Gemini đưa vào một cuộc trò chuyện sẽ tuân theo quy định của Gemini, theo đó Google có thể sử dụng câu lệnh và phản hồi của bạn để huấn luyện AI trong khi hoạt động Gemini được lưu lại. Các cuộc trò chuyện mà người kiểm duyệt là con người xem xét được lưu giữ tối đa ba năm.
Cài đặt tính năng thông minh của Gmail cung cấp Smart Compose, theo dõi gói hàng và thẻ tóm tắt. Google cho biết nếu bạn bật các tính năng này, “chúng tôi cũng có thể xử lý Nội dung & Hoạt động Workspace của bạn để cải thiện các tính năng này.” Tắt Gemini trong Gmail cũng sẽ vô hiệu hóa các tính năng hữu ích khác dựa trên AI, chẳng hạn như danh mục hộp thư đến và Smart Reply.
Các vụ kiện và vi phạm về quyền riêng tư liên quan đến Gmail
Google liên tục bị phạt và bị kiện vì cách xử lý dữ liệu của người dùng Gmail. Dưới đây là một số ví dụ:
- Tháng 11 năm 2025, vụ kiện Thele v. Google(cửa sổ mới) cáo buộc Google đã bật Gemini cho Gmail, Chat và Meet mà không có sự đồng ý. Tháng 7 năm 2026, thẩm phán bác bỏ đơn kiện nhưng cho phép sửa đổi, và đơn kiện sửa đổi hiện đang chờ xử lý.
- Tháng 9 năm 2025, CNIL đã phạt Google 325\u00a0triệu\u00a0EUR(cửa sổ mới) vì hiển thị quảng cáo giữa các email trong các tab Khuyến mãi và Mạng xã hội của Gmail mà không có sự đồng ý, cũng như vì cookie được đặt khi tạo tài khoản. CNIL cho biết 53 triệu người đã nhìn thấy quảng cáo. Google đã kháng cáo.
- Tháng 7 năm 2018, The Wall Street Journal đưa tin(cửa sổ mới) rằng nhân viên tại các ứng dụng email của bên thứ ba đã đọc thư Gmail của người dùng. Google phản hồi rằng “không ai tại Google đọc Gmail của bạn” ngoại trừ khi có sự đồng ý hoặc vì lý do bảo mật, và người dùng cấp quyền truy cập cho các ứng dụng đó. Sau đó, vào tháng 10, hãng đã giới hạn quyền truy cập API Gmail đối với các ứng dụng “trực tiếp nâng cao chức năng email.”
- Năm 2013 và 2014, người dùng đã kiện Gmail vì quét nội dung email để nhắm mục tiêu quảng cáo(cửa sổ mới). Vụ kiện tập thể thất bại và phần lớn nguyên đơn đã dàn xếp riêng lẻ. Google đã ngừng quét quảng cáo vào năm 2017.
Cách làm cho Gmail an toàn và riêng tư hơn
Các bước này giúp tài khoản khó bị chiếm quyền hơn nhiều và giảm lượng dữ liệu Google thu thập. Không bước nào trong số này ngăn Google truy cập thư của bạn.
- Sử dụng mã khóa hoặc khóa bảo mật. Thiết lập một mã khóa trong Tài khoản Google, mục Bảo mật. Mã khóa chống được lừa đảo theo cách mà mật khẩu và mã SMS không làm được.
- Bật xác thực hai yếu tố và ưu tiên lời nhắc của Google hoặc ứng dụng trình xác thực thay vì tin nhắn văn bản.
- Sử dụng mật khẩu duy nhất do trình quản lý mật khẩu tạo ra, để việc rò rỉ từ một trang web khác không thể mở khóa Gmail.
- Xem lại thiết bị và đăng xuất khỏi những thiết bị không nhận ra.
- Xóa các ứng dụng bên thứ ba không còn sử dụng khỏi danh sách ứng dụng được kết nối với tài khoản, đặc biệt là những ứng dụng có quyền đọc email.
- Chạy Security Checkup và thêm số điện thoại và email khôi phục mà bạn kiểm soát.
- Tắt các tính năng thông minh trong cài đặt Gmail nếu không muốn Google xử lý email để phục vụ Smart Compose, thẻ tóm tắt và các tính năng liên sản phẩm, đồng thời xem lại các kiểm soát hoạt động trong phần Dữ liệu và cài đặt quyền riêng tư của Tài khoản Google.
- Tìm hiểu cách nhận diện lừa đảo. Hãy cảnh giác với các cảnh báo bảo mật khẩn cấp, ngay cả những cảnh báo có vẻ đến từ Google.
- Không gửi thông tin cực kỳ nhạy cảm. Hãy sử dụng email riêng tư và bảo mật để làm việc này.
Giải pháp thay thế Gmail riêng tư và bảo mật hơn
Nếu muốn có giải pháp thay thế Gmail bảo mật và riêng tư hơn, hãy tìm dịch vụ có tích hợp sẵn mã hóa đầu cuối và mã hóa zero-access. Proton Mail cung cấp cả hai, cùng với các tính năng hằng ngày mà bạn mong đợi từ Gmail, trên cả gói miễn phí và gói trả phí.
Email gửi tới người dùng Proton khác hoặc tới người nhận sử dụng PGP được mã hóa đầu cuối, bao gồm nội dung thư và tập tin đính kèm. Với các trường hợp khác, có thể thêm bảo vệ bằng mật khẩu. Nhờ đó, chỉ người gửi và người nhận mới có thể đọc các email đó. Trong trường hợp hiếm hoi xảy ra vi phạm đối với máy chủ của Proton, nội dung email vẫn được bảo vệ. Điều tương tự cũng đúng nếu Proton nhận được lệnh của tòa án.
Proton được tài trợ bởi phí đăng ký, chứ không phải bởi dữ liệu về người dùng. Không bao giờ hiển thị quảng cáo, theo dõi, bán dữ liệu hay sử dụng dữ liệu để huấn luyện AI. Giống như mọi ứng dụng của Proton, Proton Mail được bảo vệ bởi luật Thụy Sĩ về quyền riêng tư, một trong những luật mạnh nhất trên thế giới.
Có thể chuyển từ Google sang bằng Easy Switch. Công cụ này nhập thư Gmail, danh bạ và lịch, chuyển tiếp email mới tới Proton Mail, và cho phép tiếp tục gửi thư từ địa chỉ Gmail trong khi làm quen với hộp thư đến mới. Khi đã sẵn sàng rời hẳn khỏi Google, bạn có thể chuyển hoàn toàn và xóa tài khoản Gmail, một bước quan trọng hướng tới việc thoát khỏi Google trong cuộc sống hằng ngày.
