Cấp quyền vị trí, người dùng Android có thể bị theo dõi qua quảng cáo

Tài liệu kỹ thuật của InMobi thể hiện SDK tự động chuyển tín hiệu vị trí khi có sẵn.Ảnh chụp tài liệu kỹ thuật do EFF công bố.

Khi tải ứng dụng bản đồ, thời tiết, quét mã QR hay đo tốc độ, người dùng thường đồng ý cấp quyền vị trí để sử dụng tính năng. Tuy nhiên, quyền này có thể không chỉ dành cho nhà phát triển ứng dụng.

Theo báo cáo của Electronic Frontier Foundation (EFF) - tổ chức bảo vệ quyền kỹ thuật số có trụ sở tại Mỹ - một số bộ công cụ phát triển phần mềm (SDK) quảng cáo được tích hợp trong ứng dụng Android có thể tự động thu thập dữ liệu vị trí nếu ứng dụng chủ đã được cấp quyền truy cập.

4 SDK bị nêu tên

Trong báo cáo công bố cuối tháng 7/2026, EFF rà soát tài liệu kỹ thuật công khai của hàng chục SDK quảng cáo và nêu 4 nền tảng có thiết lập thu thập vị trí theo mặc định khi ứng dụng đã được cấp quyền: InMobi, BidMachine, HyBid của Verve và Petal Ads của Huawei.

EFF dẫn tài liệu HyBid cho thấy tính năng theo dõi vị trí được bật mặc định nếu ứng dụng đã có quyền truy cập vị trí. Ảnh chụp tài liệu kỹ thuật do EFF công bố.

SDK thường được nhà phát triển đưa vào ứng dụng để hiển thị quảng cáo, đo lường hiệu quả hoặc tạo doanh thu. EFF cho biết Android hiện không có cơ chế cấp quyền vị trí riêng biệt cho từng SDK. Khi người dùng chấp nhận quyền truy cập vị trí cho một ứng dụng, SDK bên thứ ba bên trong ứng dụng cũng có thể sử dụng quyền đó.

Theo EFF, các SDK này có thể sử dụng dữ liệu vị trí để phục vụ quảng cáo nhắm mục tiêu. Thông tin sau đó có thể được chuyển tới mạng quảng cáo, nền tảng công nghệ quảng cáo hoặc doanh nghiệp môi giới dữ liệu thông qua cơ chế đấu giá quảng cáo thời gian thực, còn gọi là RTB.

EFF phát hiện hai ứng dụng có tích hợp BidMachine là QR Scanner và GPS Speedometer gửi tọa độ vị trí chính xác đến tên miền của SDK này. Hai ứng dụng có hơn 50 triệu và 10 triệu lượt tải trên Google Play.

Tài liệu BidMachine nêu SDK có thể tự động theo dõi vị trí thiết bị để phục vụ quảng cáo. Ảnh chụp tài liệu kỹ thuật do EFF công bố.

Tổ chức này cho biết phần “An toàn dữ liệu” của hai ứng dụng không nêu vị trí là loại dữ liệu có thể được chia sẻ với bên thứ ba. Người dùng cũng không được hiển thị thông báo hoặc yêu cầu đồng ý riêng trước khi hoạt động chia sẻ xảy ra.

Dữ liệu vị trí có thể cho biết điều gì?

Dữ liệu vị trí đặc biệt nhạy cảm khi được kết hợp với mã nhận diện quảng cáo, địa chỉ IP hoặc thông tin thiết bị. Việc thu thập lặp lại có thể giúp bên thứ ba dựng lại lịch trình di chuyển, nơi ở, nơi làm việc và những địa điểm thường xuyên lui tới của một người.

EFF cho biết dữ liệu vị trí chính xác có thể xác định vị trí thiết bị trong phạm vi khoảng 50 m, thậm chí gần 3 m trong một số trường hợp. Trong khi đó, vị trí gần đúng có thể xác định khu vực trong bán kính khoảng 2 km.

Tài liệu Petal Ads đề cập việc sử dụng dữ liệu vị trí trong yêu cầu quảng cáo. Ảnh chụp tài liệu kỹ thuật do EFF công bố.

Bà Lena Cohen, chuyên gia về quyền riêng tư của EFF, trong phân tích công bố tháng 3/2026, đã nhận định hệ thống quảng cáo trực tuyến có thể trở thành “cỗ máy giám sát” khi dữ liệu vị trí được thu thập, chuyển giao và mua bán trong chuỗi doanh nghiệp công nghệ quảng cáo và môi giới dữ liệu.

Theo bà, dữ liệu này có thể tiết lộ nơi người dùng sinh sống, làm việc, gặp gỡ, tham gia hoạt động cộng đồng hay đến các địa điểm nhạy cảm. Việc phát tán thông tin đó trong hoạt động quảng cáo thời gian thực do vậy không đơn thuần là vấn đề hiển thị quảng cáo phù hợp.

EFF khẳng định: “Chỉ riêng quyền truy cập vị trí ở cấp ứng dụng không thể được xem là sự đồng ý có ý nghĩa đối với việc SDK quảng cáo bên thứ ba thu thập và chia sẻ dữ liệu vị trí”.

Cách hạn chế bị theo dõi vị trí trên Android

Người dùng nên chỉ cấp quyền vị trí cho những ứng dụng thực sự cần thiết, như bản đồ, gọi xe, giao hàng hoặc định vị khi tập luyện. Với ứng dụng chỉnh ảnh, trò chơi, quét mã QR, tiện ích đơn giản hay mua sắm, yêu cầu vị trí chính xác cần được cân nhắc kỹ.

Dữ liệu vị trí trên điện thoại có thể bị chia sẻ cho bên thứ ba qua các SDK quảng cáo tích hợp trong ứng dụng. Ảnh được tạo có sự hỗ trợ của AI.

Trên Android, người dùng có thể vào Cài đặt - Quyền riêng tư - Trình quản lý quyền - Vị trí để kiểm tra những ứng dụng đang có quyền truy cập. Nên chọn chế độ “Chỉ cho phép khi dùng ứng dụng”, tắt quyền vị trí chính xác nếu không cần thiết và gỡ các ứng dụng ít sử dụng hoặc không rõ nguồn gốc.

EFF đề nghị nhà phát triển rà soát toàn bộ SDK bên thứ ba, tắt tính năng thu thập dữ liệu không cần thiết và không đặt chia sẻ vị trí làm thiết lập mặc định. Tổ chức này cũng cho rằng cơ quan quản lý cần giám sát cả nhà phát triển ứng dụng lẫn doanh nghiệp cung cấp SDK quảng cáo.