Bùng phát rò rỉ dữ liệu vì nhận diện khuôn mặt

Khi khu nhà của Lao Dongyan, một giáo sư ngành luật ở Bắc Kinh, lắp hệ thống nhận diện khuôn mặt để thay thẻ cư dân, bà đã phản đối quyết liệt.

Lao bày tỏ lo ngại về bảo mật dữ liệu ở những hệ thống như vậy. Bà đã đưa các phản ánh lên nhóm “chat” của dân cư. Với vai trò là giáo sư ngành luật ở Đại học Thanh Hoa danh tiếng, bà có hiểu biết và nguồn lực mà phần lớn cư dân không có. Lao đã gửi nhiều tài liệu pháp lý đến cơ quan quản lý nhà đất và các ủy ban địa phương.

“Khi các công ty bất động sản, trường học và những tổ chức khác thu thập dữ liệu nhận diện, bạn không biết họ đã thu được gì, hay họ sẽ lưu trữ và sử dụng chúng thế nào”, Lao nói tại hội thảo ở Đại học Luật và Khoa học Chính trị Trung Quốc hôm 23/9, trong đó, các diễn giả thảo luận về nguy cơ lạm dụng công nghệ nhận diện khuôn mặt.

Lao cho biết khu nhà sau đó cho phép người dân tiếp tục dùng thẻ quẹt để ra vào, nhưng vẫn lắp đặt hệ thống nhận diện khuôn mặt. Không phải khu vực nào ở Trung Quốc cũng có lựa chọn này, nhất là khi những thiết bị nhận diện khuôn mặt ngày càng phổ biến.

Hệ thống nhận diện khuôn mặt được công ty Megvii ra mắt năm 2018. Ảnh: SCMP.

Lo ngại về quyền riêng tư với nhận diện khuôn mặt không phải điều mới mẻ ở Trung Quốc. Nước này đã hứng chịu nhiều vụ rò rỉ dữ liệu liên quan tới công nghệ này trong những năm gần đây. Dù vậy, giới chức và các công ty cũng có lý do riêng khi thúc đẩy triển khai công nghệ này.

Một công ty đã lắp hệ thống nhận diện ở hơn 100 khu dân cư ở thành phố Thành Đô hồi năm ngoái, cho biết đây là biện pháp “đáp ứng lời kêu gọi xây dựng các thành phố thông minh của chính phủ”, thêm rằng an ninh và “đẳng cấp” của những khu nhà này cũng được nâng cao đáng kể.

Một lý do khác là đại dịch Covid-19. Công nghệ nhận diện khuôn mặt không cần tiếp xúc và được cho là giúp ngăn đà lây nhiễm nCoV. Truyền thông Trung Quốc cho biết nhiều nơi đã kết hợp những thiết bị nhận diện khuôn mặt với đo thân nhiệt.

Cơ quan Quản lý Không gian mạng Trung Quốc (CAC) cho biết những hệ thống này có hiệu quả hơn để sàng lọc những người không phải cư dân thường trú, đồng thời giảm tải cho nhân lực sở tại. Tuy nhiên, đề cao những lợi ích của công nghệ này vẫn chưa đủ sức thuyết phục nhiều người dân.

Không ít người đã lên mạng xã hội than phiền rằng mình không có lựa chọn khi khu dân cư quyết định lắp hệ thống nhận diện. Họ khẳng định điều đó là không cần thiết và họ cũng không có quyền kiểm soát dữ liệu khuôn mặt của mình.

Những lo ngại này không phải không có cơ sở. Nhiều nghiên cứu cho thấy Trung Quốc là một trong những nước có khả năng bảo vệ dữ liệu sinh trắc học kém nhất thế giới. Ảnh chân dung, số chứng minh thư và số điện thoại người dân thường xuyên được bán trên mạng với mức giá rất rẻ.

Hãng thông tấn Xinhua hồi tháng 7 cho biết nhiều cửa hàng trên mạng đang bán dữ liệu khuôn mặt với giá 0,07 USD/người. Đài truyền hình nhà nước Trung Quốc CCTV cuối năm ngoái đưa tin gói 5.000 ảnh khuôn mặt cũng được bán với giá chỉ 1,5 USD. Ngay cả ảnh chụp người đeo khẩu trang cũng được bán trên mạng trong bối cảnh các phần mềm nhận diện được nâng cấp để hoạt động trong tình hình đại dịch.

Một lý do khiến dữ liệu dễ tiếp cận là quy trình bảo đảm an ninh yếu kém. Hồi tháng 1, nhà nghiên cứu Victor Gevers của GDI Foundation đã phát hiện cơ sở dữ liệu của một trường trung học Trung Quốc, trong đó có đầy đủ ảnh chân dung, mã số học sinh và dữ liệu định vị. Nó phơi bày trên Internet mà không có bất kỳ hình thức mã hóa hay bảo vệ nào.

Tình huống tương tự được tiết lộ hồi tuần trước, khi một cuộc điều tra do chính phủ Trung Quốc tiến hành đã phát hiện một ứng dụng “cộng đồng thông minh” đã lưu trữ dữ liệu người dùng không mã hóa, cho phép người dùng internet tiếp cận tùy ý. Ứng dụng này chuyên thu thập hình ảnh khuôn mặt, số chứng minh thư và địa chỉ căn hộ để dùng trong hệ thống kiểm soát ra vào. Tên của nó không được công bố.

Những vụ rò rỉ thường xảy ra vì mô hình kinh doanh đang phát triển nhấn mạnh vào thời gian đưa sản phẩm ra thị trường. Kết quả là các nhân viên ngành công nghệ không có đủ thời gian hoặc đào tạo để xây dựng hệ thống bảo đảm an toàn, tránh những sai sót như vậy.

“Điều này xảy ra khi kỹ sư phải triển khai thiết bị nhanh chóng nhưng không có kiến thức hoặc thời gian để làm chuẩn xác”, Gevers nói, thêm rằng Trung Quốc có hệ thống cơ sở dữ liệu bị thiết lập sai nhiều thứ hai thế giới.

Đây không phải lý do duy nhất dẫn tới rò rỉ thông tin. Nhiều ứng dụng cố tình đánh cắp thông tin người dùng.

Công ty an ninh mạng Qihoo 360 hồi tháng 7 phát hiện một số ứng dụng cho vay tiền đã bí mật truy cập camera trên điện thoại người dùng, chụp ảnh và tải lên máy chủ từ xa. Nếu sử dụng được dữ liệu này, những kẻ xấu có thể đánh cắp danh tính người dùng để lấy tiền hoặc lừa đảo. Một số người còn đưa ra phương án biến ảnh tĩnh thành hình động để đánh lừa những hệ thống nhận diện khuôn mặt trong ứng dụng.

“Dữ liệu rò rỉ cũng có thể tác động vào những hệ thống an ninh quan trọng của chính phủ”, Gevers cảnh báo.

Cổng ra vào ký túc xá dùng công nghệ nhận diện khuôn mặt của Đại học Bắc Kinh. Ảnh: SCMP.

Các biện pháp pháp lý để bảo vệ dữ liệu cá nhân vẫn khá hiếm hoi ở Trung Quốc. Nước này có nhiều đạo luật đề cập tới bảo vệ thông tin cá nhân, bao gồm cả luật an ninh mạng và hình sự, nhưng chưa có khuôn khổ pháp lý thống nhất hay định nghĩa rõ ràng về dữ liệu cá nhân.

Các hình phạt liên quan đến tội phạm dữ liệu không đủ sức răn đe, khi các công ty chỉ phải nhận án phạt hành chính khi xảy ra rò rỉ dữ liệu người dùng. Họ cũng chỉ được yêu cầu tự sửa chữa vấn đề hoặc bị gỡ khỏi chợ ứng dụng.

Hồi năm 2018, ứng dụng thương mại điện tử Xiaohongshu bị phạt gần 7.500 USD vì không bảo vệ được quyền riêng tư của người dùng, trong khi họ đạt doanh thu đến hơn 224 triệu USD trong năm đó.

Gevers cho rằng người dân Trung Quốc không thể bảo vệ hoàn toàn dữ liệu khuôn mặt bởi công nghệ này được dùng trong nhiều dịch vụ thường ngày. Các hãng công nghệ đang thúc đẩy thanh toán thông qua nhận diện khuôn mặt, trong khi chính phủ yêu cầu người dân quét khuôn mặt khi mua sim điện thoại. Dù vậy, Trung Quốc có thể xem trọng rò rỉ dữ liệu hơn khi công chúng ngày càng lo ngại về vấn đề này.

Các hãng truyền thông nhà nước Trung Quốc bắt đầu đăng những bài viết về vấn đề liên quan tới nhận diện khuôn mặt hồi năm ngoái. Nước này cũng đang soạn thảo luật bảo vệ dữ liệu cá nhân.

“Tôi nghĩ ngày càng có nhiều hiểu biết và nỗ lực chống lại nguy cơ rò rỉ dữ liệu khuôn mặt, nhưng tôi không quá lạc quan về triển vọng thực thi những điều luật này vì các cơ quan quản lý thiếu năng lực kỹ thuật và nhân lực để kiểm tra những vụ vi phạm”, Jeffrey Ding, nhà nghiên cứu thuộc Trung tâm Quản lý AI tại Đại học Oxford của Anh, nêu quan điểm.