Đây là practice cực kỳ phổ biến ở VN nhưng nguy hiểm theo cả 3 chiều: pháp lý, bảo mật, vận hành.
Rủi ro pháp lý
Hầu hết theme premium dùng giấy phép GPL — về kỹ thuật, mã nguồn GPL được phép redistribute. Nhưng bạn không có quyền update từ developer, và một số theme có "split license" (PHP là GPL, CSS/JS/ảnh là proprietary). Dùng nulled có thể vi phạm phần thiết kế/asset.
Rủi ro bảo mật (lớn nhất)
Sucuri báo cáo 85% theme/plugin nulled chứa backdoor. Hacker dùng để: (1) thu thập credentials admin, (2) inject malware vào homepage để SEO spam, (3) cài cryptominer, (4) làm botnet DDoS. Phát hiện thường khi đã muộn — Google blacklist site → mất 100% traffic SEO.
Rủi ro vận hành
Không update = vulnerabilities biết được không vá. Plugin/theme conflict không có support fix. Update WordPress core có thể làm vỡ site mà bạn không có team fix.
Tiết kiệm bao nhiêu?
Theme premium 60$ + plugin 50$ = ~110$ ~ 2.7tr/năm cho 1 site. Backdoor làm vỡ 1 lần = mất content, mất SEO, đôi khi data khách → tổn thất 50-500tr+.