Điện thoại Mỹ bị do thám, gửi thông tin về Trung Quốc

Một số nhà thầu an ninh mạng tại Mỹ mới đây đã phát hiện nhiều điện thoại do Trung Quốc sản xuất có cài đặt sẵn các phần mềm theo dõi hành vi người dùng. Phần mềm này sẽ giám sát chủ nhân điện thoại đi đâu, gặp ai và viết những gì trong tin nhắn. Các cơ quan chức năng của Mỹ hiện chưa rõ hoạt động thu thập thông tin người dùng bí mật này phục vụ mục đích nghiên cứu quảng cáo, hay có thể phục vụ các mục đích tình báo nào khác, theo tờ The New York Times.

Nhất cử nhất động đều bị theo dõi

Theo các hãng an ninh mạng, các công ty và cá nhân sử dụng điện thoại dùng một lần hoặc điện thoại trả trước là nhóm đối tượng chịu tác động lớn nhất của loại phần mềm này. Hiện các cơ quan chức năng tại Mỹ vẫn chưa rõ mức độ lan tỏa của phần mềm này rộng đến đâu. Theo iTechpost, hiện phần mềm này chỉ bị phát hiện trên nền tảng Android.

Hãng công nghệ lập trình nên phần mềm này, Công ty Công nghệ Adups Thượng Hải (Adups) cho biết sản phẩm của họ hiện chạy trên hơn 700 triệu điện thoại, ô tô và nhiều loại thiết bị thông minh khác. Một nhà sản xuất điện thoại của Mỹ là BLU Products cho biết có đến 120.000 sản phẩm của họ bị chèn thêm tính năng giám sát này. BLU Products tuyên bố đã gấp rút nâng cấp phần mềm của điện thoại để loại bỏ tính năng “khuyến mãi ngoài ý muốn” trên.

Theo hãng an ninh mạng Kryptowire, đơn vị đã phát hiện lỗ hổng an ninh trên, phần mềm của Adups được lập trình để chuyển toàn bộ nội dung các tin nhắn, danh bạ điện thoại, lịch sử cuộc gọi, thông tin vị trí và nhiều dạng dữ liệu khác nữa của người dùng về một server tại Trung Quốc. Các dòng mã lệnh của Adups được cài đặt sẵn bên trong điện thoại và hoạt động giám sát này diễn ra mà không có sự thông báo cho người dùng, theo ông Tom Karygiannis, Phó Chủ tịch của Kryptowire.

Trường hợp lần này của Adups khiến phía Mỹ lo ngại vì hãng đã chủ động lập trình phần mềm nhằm mục đích theo dõi. Mặt khác, BLU Products là một nhà sản xuất điện thoại của Mỹ, có cơ sở chính tại Florida, chứ không phải là hãng điện thoại của Trung Quốc. Tuy nhiên, có một số bước trong dây chuyền sản xuất điện thoại của BLU được thực hiện tại Trung Quốc.

Theo một tài liệu giải thích mà Adups gửi cho hãng BLU Products, tính năng “khuyến mãi” này vốn là để cung cấp cho một nhà sản xuất điện thoại của Trung Quốc nhằm mục đích giám sát hành vi của người dùng tại Trung Quốc. Luật sư đại diện cho Adups cho biết đây chỉ là “một sai sót” của công ty.

Nhiều điện thoại tại Mỹ bị phát hiện có cài đặt phần mềm theo dõi nhất cử  nhất động của người dùng. Ảnh minh họa: AP

Hơn 120.000 điện thoại của hãng BLU Products (Mỹ) bị cài phần mềm gián điệp.  Ảnh: DECCAN CHRONICLE

Đường đi của phần mềm gián điệp

Theo tờ The New York Times, điểm đáng lo ngại trong phát hiện lần này là việc một công ty tham gia chuỗi cung ứng sản phẩm có khả năng tạo ra lỗ hổng an ninh mà cả nhà sản xuất lẫn khách hàng đều không mảy may biết được. Mặt khác, tuyên bố của Adups đã gián tiếp thừa nhận các công ty điện thoại của Trung Quốc có đủ khả năng để giám sát hành vi của người dùng. Họ có khả năng cài đặt sẵn các phần mềm để sàng lọc và theo dõi người dùng sử dụng Internet và liên lạc trên điện thoại.

Để làm được điều này, các công ty lập trình cung cấp cài đặt cho các hãng điện thoại tại Trung Quốc các firmware (còn gọi là phần “sụn”), cho phép hãng điện thoại kiểm soát cách thức hoạt động của điện thoại. Trong phát hiện của Kryptowire, hãng Adups đã cung cấp cho các khách hàng của mình những mã lệnh cho phép họ nâng cấp các firmware nhằm kiểm soát cách thức hoạt động của điện thoại này từ xa mà người dùng điện thoại thường khó phát hiện.

Trên trang thông tin của mình, Adups cũng cung cấp thiết lập phần mềm cho hai nhà sản xuất điện thoại Trung Quốc lớn hàng đầu thế giới là Huawei và ZTE. Cũng theo trang thông tin này, Adups cung cấp các dịch vụ “dữ liệu lớn” để giúp các công ty nghiên cứu về khách hàng của mình. Các dịch vụ này giúp đối tác của Adups “hiểu khách hàng rõ hơn, hiểu họ thích gì, sử dụng những gì, đi đến những đâu và cần hỗ trợ tốt hơn ở những mặt nào”.

Trả lời phỏng vấn của báo giới, ông Samuel Ohev-Zion, Giám đốc điều hành của BLU Products, cho biết: “Chúng tôi không hề hay biết gì về tính năng này trong điện thoại. Công ty đã nhanh chóng khắc phục vấn đề này”. Ông Ohev-Zion cũng thông báo phía Adups đã gửi công văn đảm bảo rằng toàn bộ thông tin thu thập từ khách hàng của BLU đã bị tiêu hủy.

Theo tờ The New York Times, phần mềm gián điệp của Adups được đặt hàng bởi một nhà sản xuất điện thoại Trung Quốc. Phía Adups từ chối tiết lộ thông tin về khách hàng của mình. Theo văn bản của Adups, khách hàng của họ nêu yêu cầu cụ thể là muốn phần mềm có tính năng lưu trữ lịch sử cuộc gọi, tin nhắn và các dữ liệu khách hàng. Tuy nhiên, phía Adups khẳng định đối tác của họ muốn sử dụng dữ liệu này để “chăm sóc khách hàng”.

Luật sư đại diện của Adups, bà Lily Slim, khẳng định mục đích của việc giám sát là để hỗ trợ khách hàng nhận diện các tin nhắn và cuộc gọi rác. Bà không rõ có bao nhiêu điện thoại và thiết bị điện tử có cài đặt phần mềm này.

Người thường khó phát hiện

Do Adups không đăng tải danh sách các điện thoại bị ảnh hưởng, hiện vẫn chưa rõ người dùng phải làm thế nào để biết liệu điện thoại mình có bị theo dõi hay không. “Những ai có hiểu biết về công nghệ thì còn có thể phát hiện được, nhưng người dùng bình thường thì chắc chắn vô phương” - ông Karygiannis cho biết.

Kruptowire cho biết họ phát hiện ra các lỗ hổng an ninh này một cách khá tình cờ. Một chuyên viên nghiên cứu của hãng này đã mua thử một điện thoại giá rẻ của BLU để đi du lịch nước ngoài. Khi ông cài đặt cho điện thoại, ông phát hiện nhiều hoạt động mạng bất thường trên chiếc điện thoại mới mua và gửi về để phân tích.

Theo ông Karygiannis, trong vòng một tuần sau khi nhân viên này mua điện thoại, các chuyên viên của ông đã phát hiện điện thoại tự chuyển tin nhắn về một server tại Thượng Hải. Server này đã được đứng tên bởi Adups. Hãng an ninh mạng Florida đã nhanh chóng thông báo cho các cơ quan chính phủ Mỹ và chính thức công khai thông tin vào ngày 15-11 vừa qua.

Bà Marsha Carton, phát ngôn viên của Bộ An ninh Nội địa Mỹ, cho biết đã “nhận được thông tin về phát hiện của hãng Kryptowire và đang phối hợp với các đối tác cả nhà nước lẫn tư nhân để tìm ra biện pháp kiểm soát thích hợp”. Kryptowire là một nhà thầu có hợp tác với Bộ An ninh Nội địa Mỹ, tuy nhiên việc phát hiện và phân tích về phần mềm của Adups được diễn ra độc lập và tình cờ chứ không phải do cơ quan chính phủ yêu cầu.