Cảnh báo các ứng dụng Android có thể âm thầm theo dõi vị trí người dùng

Theo Tổ chức bảo vệ quyền kỹ thuật số Electronic Frontier Foundation (EFF), một số bộ công cụ phát triển phần mềm (Software Development Kit - SDK) quảng cáo được tích hợp trong ứng dụng có thể mặc định thu thập dữ liệu vị trí của người dùng và chuyển cho bên thứ ba.

Để kiếm thêm doanh thu, nhiều nhà phát triển đã tích hợp SDK quảng cáo vào ứng dụng. Khi người dùng cấp quyền truy cập vị trí, một số SDK quảng cáo được tích hợp bên trong ứng dụng cũng mặc định có quyền này.

Nếu nhà phát triển không chủ động tắt tính năng này, SDK sẽ tự động gửi dữ liệu về vị trí người dùng đến các hệ sinh thái quảng cáo, công ty môi giới dữ liệu. Sau đó, những đơn vị này sẽ tổng hợp lại rồi bán cho khách hàng. Đáng nói, quá trình này diễn ra âm thầm, kể cả nhà phát triển cũng không nhận ra.

Trong quá trình nghiên cứu, EFF phát hiện hai ứng dụng Android với tổng cộng khoảng 60 triệu lượt tải đã âm thầm chia sẻ dữ liệu vị trí của người dùng thông qua các SDK quảng cáo. Nhóm nghiên cứu cũng chỉ ra các SDK có cơ chế mặc định thu thập và chia sẻ vị trí khi ứng dụng được cấp quyền, gồm InMobi, BidMachine, HyBid của Verve và Petal Ads của Huawei.

Một số ứng dụng Android có thể âm thầm chia sẻ dữ liệu vị trí người dùng. (Ảnh: AI)

Ông Bill Budington, chuyên gia công nghệ cấp cao của EFF, cho biết những SDK được nhóm nghiên cứu phân tích chỉ chiếm một phần nhỏ. Dù vậy, các SDK này đang tiếp cận hơn 2 tỷ người dùng thông qua hàng chục nghìn ứng dụng, cho thấy quy mô thu thập dữ liệu vị trí có thể lớn hơn nhiều so với những gì người dùng và cả nhà phát triển hình dung.

Theo EFF, một trong những nguyên nhân khiến tình trạng này diễn ra phổ biến là Android hiện không có cơ chế cấp quyền riêng cho từng SDK. Khi người dùng cấp quyền truy cập vị trí cho ứng dụng, các SDK tích hợp bên trong cũng tự động được hưởng quyền tương tự.

EFF cũng lưu ý rủi ro không chỉ dừng ở quảng cáo. Nếu các công ty môi giới dữ liệu bị tấn công hoặc rò rỉ thông tin, lịch sử di chuyển của người dùng cũng có thể bị phát tán.

Theo trang BGR, việc dữ liệu vị trí bị thu thập có thể kéo theo nhiều rủi ro hơn là chỉ phục vụ quảng cáo. Khi kết hợp với lịch sử di chuyển, kẻ xấu có thể dựng lại thói quen sinh hoạt của một người, từ nơi ở, nơi làm việc đến các địa điểm thường xuyên lui tới. Nếu những thông tin này bị rò rỉ hoặc rơi vào tay đối tượng xấu, chúng có thể bị lợi dụng để theo dõi, bám đuôi hoặc phục vụ các hình thức lừa đảo nhắm mục tiêu.

Năm 2025, vụ tấn công nhằm vào công ty môi giới dữ liệu Gravy Analytics đã làm lộ dữ liệu vị trí của hàng triệu người và hé lộ hàng nghìn ứng dụng có thể là nguồn cung cấp dữ liệu. Khi được liên hệ, nhiều nhà phát triển không hề biết ứng dụng của mình đang chia sẻ dữ liệu cho công ty này.

“Việc người dùng cấp quyền truy cập vị trí cho ứng dụng không đồng nghĩa với việc họ đồng ý để các SDK quảng cáo của bên thứ ba thu thập và chia sẻ dữ liệu đó. Các SDK quảng cáo không nên mặc định chia sẻ những dữ liệu nhạy cảm như vị trí cá nhân”, EFF nhấn mạnh.

Trước tình trạng này, EFF khuyến nghị các nhà phát triển ứng dụng cần rà soát cấu hình SDK, tắt mặc định tính năng thu thập vị trí nếu không cần thiết và chỉ chia sẻ dữ liệu khi người dùng được thông báo rõ ràng.

Đồng thời, tổ chức này cũng kêu gọi cơ quan quản lý siết hoạt động của các công ty môi giới dữ liệu, yêu cầu các nền tảng quảng cáo áp dụng nguyên tắc “quyền riêng tư theo mặc định” (privacy by default) thay vì tự động thu thập dữ liệu vị trí.