Chốt hạ luôn: Theo Thời báo Phố Wall, hàng loạt app vừa bị Google Play "cấm cửa" vì chứa đoạn code nguy hiểm đang âm thầm "hút máu" dữ liệu người dùng đấy!
Thủ phạm chính là một công ty tên Measurement Systems S. de R.L. Mà đoán xem? Dựa vào hồ sơ đăng ký, công ty này có "quan hệ mật thiết" với một nhà thầu quốc phòng tại Virginia (Mỹ) chuyên về tình báo mạng, phòng thủ mạng và đánh chặn tình báo nữa kìa. Nghe xong mà giật mình á nha!
Chiêu trò của bọn họ là gì? Measurement Systems trả tiền cho các dev khắp thế giới để nhúng đoạn mã SDK vào app của họ. Nhờ đó mà công ty này "cà khịa" thu thập dữ liệu người dùng một cách bí mật. Theo ông Egelman (chuyên gia nghiên cứu), việc chèn SDK này vào app giúp dev có thêm thu nhập và dữ liệu chi tiết về user của mình luôn.
Nghe qua thì "ngon" nhỉ? Tài liệu từ Thời báo Phố Wall cho thấy mỗi dev có thể kiếm từ 100 đến 10.000 USD/tháng hoặc hơn, tùy vào số lượng người dùng hoạt động. Nhưng cái giá phải trả là gì? Là quyền riêng tư của hàng triệu người dùng đó bạn ơi!
Đoạn code này chạy trên hàng triệu thiết bị Android và có mặt trong vài app cầu nguyện với hơn 10 triệu lượt tải. Ngoài ra còn xuất hiện trong các phần mềm phát hiện máy bắn tốc độ trên cao tốc, đọc mã QR hay xem thời tiết nữa. Tổng cộng, các app này đã được tải trên tối thiểu 60 triệu thiết bị rồi nha!
Hai nhà nghiên cứu Serge Egelman và Joel Reardon đã chia sẻ phát hiện này với Google, nhà chức trách liên bang và Thời báo Phố Wall.
Hai chuyên gia này còn nhận xét đây là SDK xâm phạm quyền riêng tư nhiều nhất họ từng ghi nhận trong 6 năm làm công việc phân tích ứng dụng di động. Thẳng thắn mà nói luôn: có thể xem là mã độc mà không cần do dự!
Người phát ngôn Google cho biết các app chứa phần mềm của Measurement Systems đã bị xóa khỏi kho ứng dụng tính đến ngày 25/3. Chúng sẽ được "phục hồi danh dự" nếu gỡ bỏ đoạn code theo dõi. Tuy nhiên, việc gỡ bỏ khỏi Google Play không ảnh hưởng gì đến khả năng thu thập từ hàng triệu điện thoại đã cài đặt chúng rồi. May mắn thay, SDK đã ngừng thu thập dữ liệu người dùng sau khi hai chuyên gia bắt đầu công bố phát hiện. Phù...
Báo cáo chỉ ra đoạn code này có khả năng xác định sự tồn tại của các thiết bị khác (cũng dùng app chứa đoạn code) đang kết nối cùng mạng Wi-Fi, về cơ bản là cung cấp một cách để lập bản đồ mạng lưới đấy. Measurement Systems còn báo cho các dev rằng họ muốn dữ liệu chủ yếu từ Trung Đông, Trung và Đông Âu, châu Á. Một số dev còn được yêu cầu ký thỏa thuận không tiết lộ nữa kìa. Càng nghe càng "sus" phải không nào?
SDK này khai thác lượng dữ liệu "khủng" gồm: vị trí chính xác, định danh cá nhân (email, số điện thoại), dữ liệu về máy tính và điện thoại di động lân cận. Nó cũng có thể thu thập thông tin lưu trong clipboard điện thoại như mật khẩu mỗi khi bạn copy paste. Thậm chí, nó còn quét được một vài phần trong hệ thống tập tin thiết bị như các tập tin lưu trong thư mục tải xuống của WhatsApp luôn. Đọc xong mà rợn người!
Tóm lại, anh em cẩn thận khi tải app nhé. Check kỹ quyền truy cập trước khi bấm "Đồng ý" lung tung đấy! ️
Nguồn: soha.vn