Theo Kaspersky Lab, họ tìm thấy lỗ hổng bảo mật khi phân tích các ứng dụng hẹn hò phổ biến hiện nay, đã có hàng triệu lượt tải về trên nền tảng di động. Lỗ hổng nằm ở việc chúng không mã hoá thông tin xuất phát từ công cụ phát triển phần mềm quảng cáo SDK.
Việc dữ liệu gửi đi thông qua HTTP và không được mã hoá đồng nghĩa dữ liệu không được bảo vệ khi chuyển đến máy chủ. Kẻ tấn công có thể đọc được nội dung dữ liệu thông qua Wi-Fi không được bảo mật, nhà cung cấp dịch vụ Internet hoặc phần mềm độc hại trên bộ định tuyến. Thậm chí tệ hơn, dữ liệu gửi đi có thể bị điều chỉnh và ứng dụng sẽ trình chiếu quảng cáo khiến người dùng có thể tải xuống các phần mềm quảng cáo độc hại, bị tống tiền hoặc trở thành công cụ để tấn công mạng.
SDK là bộ công cụ phát triển phần mềm giúp lập trình viên tập trung vào yếu tố chính trong ứng dụng, đồng thời giao các chức năng khác lại cho nó. Nhà phát triển thường sử dụng mã của bên thứ ba để tiết kiệm thời gian, bằng cách sử dụng lại các tính năng có sẵn để tạo thành một phần của ứng dụng.
Kaspersky cho biết lượng ứng dụng sử dụng SDK có lỗ hổng bảo mật tương tự lên tới hàng nghìn và đã ít nhất một lần chuyển giao dữ liệu không mã hóa. Dữ liệu này bao gồm thông tin cá nhân như tên, tuổi, giới tính người dùng. Số điện thoại và địa chỉ email có thể bị rò rỉ. Thông tin về thiết bị như nơi sản xuất, mẫu mã, độ phân giải màn hình, phiên bản hệ thống và tên ứng dụng cũng như vị trí định vị cũng được gửi đi thiếu an toàn.
Tên cụ thể của các phần mềm hẹn hò online có rủi ro về bảo mật chưa được tiết lộ, nhưng lời khuyên được các chuyên gia bảo mật đưa ra khi sử dụng phần mềm miễn phí bất kỳ là phải kiểm tra quyền truy cập ứng dụng và không cấp quyền nếu chưa hiểu lí do. Hầu hết ứng dụng không cần cung cấp định vị, vì vậy người dùng không nên thực hiện điều này. Bên cạnh đó, nên sử dụng VPN để giúp mã hoá lưu lượng mạng giữa thiết bị và máy chủ.
Trong quá khứ, đã có không ít trường hợp rò rỉ thông tin cá nhân gây ảnh hưởng lớn đến người dùng. Tháng 11/2016, mạng lưới Friend Finder Network bị hacker khống chế và đánh cắp hơn 412 triệu tài khoản, trong đó có hơn 300 triệu tài khoản thuộc AdultFriendFinder và hơn 60 triệu tài khoản trên Cams.com. Trước đó, hồi tháng 7/2015, website hẹn hò phổ biến Asley Madison cũng bị đánh cắp dữ liệu người dùng.
Hai vụ tấn công vào Ashley Madison và Friend Finder Network cho thấy người dùng quá tin tưởng vào các dịch vụ online. Họ vô tư sử dụng email chính của mình để đăng ký dịch vụ. Kể cả khi đã nghĩ lại và xóa tài khoản thì những dữ liệu đó vẫn còn tồn tại trên hệ thống.
Phạm Anh
Việc dữ liệu gửi đi thông qua HTTP và không được mã hoá đồng nghĩa dữ liệu không được bảo vệ khi chuyển đến máy chủ. Kẻ tấn công có thể đọc được nội dung dữ liệu thông qua Wi-Fi không được bảo mật, nhà cung cấp dịch vụ Internet hoặc phần mềm độc hại trên bộ định tuyến. Thậm chí tệ hơn, dữ liệu gửi đi có thể bị điều chỉnh và ứng dụng sẽ trình chiếu quảng cáo khiến người dùng có thể tải xuống các phần mềm quảng cáo độc hại, bị tống tiền hoặc trở thành công cụ để tấn công mạng.
SDK là bộ công cụ phát triển phần mềm giúp lập trình viên tập trung vào yếu tố chính trong ứng dụng, đồng thời giao các chức năng khác lại cho nó. Nhà phát triển thường sử dụng mã của bên thứ ba để tiết kiệm thời gian, bằng cách sử dụng lại các tính năng có sẵn để tạo thành một phần của ứng dụng.
Kaspersky cho biết lượng ứng dụng sử dụng SDK có lỗ hổng bảo mật tương tự lên tới hàng nghìn và đã ít nhất một lần chuyển giao dữ liệu không mã hóa. Dữ liệu này bao gồm thông tin cá nhân như tên, tuổi, giới tính người dùng. Số điện thoại và địa chỉ email có thể bị rò rỉ. Thông tin về thiết bị như nơi sản xuất, mẫu mã, độ phân giải màn hình, phiên bản hệ thống và tên ứng dụng cũng như vị trí định vị cũng được gửi đi thiếu an toàn.
Tên cụ thể của các phần mềm hẹn hò online có rủi ro về bảo mật chưa được tiết lộ, nhưng lời khuyên được các chuyên gia bảo mật đưa ra khi sử dụng phần mềm miễn phí bất kỳ là phải kiểm tra quyền truy cập ứng dụng và không cấp quyền nếu chưa hiểu lí do. Hầu hết ứng dụng không cần cung cấp định vị, vì vậy người dùng không nên thực hiện điều này. Bên cạnh đó, nên sử dụng VPN để giúp mã hoá lưu lượng mạng giữa thiết bị và máy chủ.
Trong quá khứ, đã có không ít trường hợp rò rỉ thông tin cá nhân gây ảnh hưởng lớn đến người dùng. Tháng 11/2016, mạng lưới Friend Finder Network bị hacker khống chế và đánh cắp hơn 412 triệu tài khoản, trong đó có hơn 300 triệu tài khoản thuộc AdultFriendFinder và hơn 60 triệu tài khoản trên Cams.com. Trước đó, hồi tháng 7/2015, website hẹn hò phổ biến Asley Madison cũng bị đánh cắp dữ liệu người dùng.
Hai vụ tấn công vào Ashley Madison và Friend Finder Network cho thấy người dùng quá tin tưởng vào các dịch vụ online. Họ vô tư sử dụng email chính của mình để đăng ký dịch vụ. Kể cả khi đã nghĩ lại và xóa tài khoản thì những dữ liệu đó vẫn còn tồn tại trên hệ thống.
Phạm Anh