Ứng dụng Baidu gửi dữ liệu ‘nhạy cảm’ về Trung Quốc

Baidu Maps và Baidu App, hai ứng dụng do Baidu phát triển, bị phát hiện thu thập dữ liệu người dùng thiết bị Android và gửi về máy chủ ở Trung Quốc.

Nhóm nghiên cứu Unit42 thuộc Palo Alto Networks – công ty an ninh mạng có trụ sở tại California (Mỹ) – đã phát hiện bên trong hai ứng dụng của Baidu là Baidu Maps và Baidu App chứa một bộ phát triển phần mềm (SDK) có tên Push. Công cụ này thường xuyên gửi dữ liệu “ nhạy cảm” về máy chủ ở Trung Quốc một cách âm thầm, gồm các thông tin, như kiểu điện thoại, số IMSI và địa chỉ MAC.

Baidu hiện là công ty cung cấp dịch vụ tìm kiếm dữ liệu trên mạng lớn nhất Trung Quốc.

Theo các chuyên gia, những dữ liệu này có vẻ vô hại, nhưng thực chất có thể dùng để xác định và theo dõi người dùng thời gian dài. Chẳng hạn, IMSI – số do nhà mạng cung cấp để nhận dạng duy nhất một thuê bao di động – có thể được dùng để theo dõi một người kể cả khi họ thay đổi điện thoại nhiều lần.

“Các ứng dụng Android thu thập dữ liệu IMSI có thể theo dõi một người suốt đời trên nhiều thiết bị. Ví dụ, nếu người đó đổi thẻ sim sang điện thoại mới và cài ứng dụng mà trước đó từng thu thập và truyền số IMSI, kẻ xấu dễ dàng xác định ra đó là ai”, báo cáo cho biết. “Dữ liệu bị lộ từ các ứng dụng Android và SDK đã vi phạm quyền riêng tư nghiêm trọng”.

Stefan Achleitner, trưởng nhóm nghiên cứu của Unit42, nhấn mạnh rằng những người bị rò rỉ thông tin có thể đứng trước nguy cơ bị lừa đảo tài chính. “Tội phạm mạng có thể chuyển hướng cuộc gọi mà người dùng đang thực hiện đến ngân hàng của họ, sau đó giả danh là đại diện ngân hàng và yêu cầu các thông tin ‘nhạy cảm’ về tài khoản”, Achleitner giải thích. “Sau khi có được các thông tin này, tội phạm mạng có thể truy cập vào tài khoản ngân hàng của nạn nhân và lấy cắp tiền”.

Đại diện Unit42 cho biết, họ chỉ kiểm tra và phát hiện vấn đề đối với hai phiên bản Baidu Maps và Baidu App trên Play Store. Tuy nhiên, nhóm này tin rằng rất có thể các phiên bản của hai ứng dụng này trên các chợ khác cũng bị ảnh hưởng.

Đội ngũ của Palo Alto Networks cho biết đã phát hiện vấn đề vào tháng trước và gửi báo cáo đến Google. Hôm 28/10, hai ứng dụng của Baidu bị Google gỡ khỏi Play Store. Đến 19/11, chỉ Baidu App xuất hiện trở lại, còn Baidu Maps vẫn chưa có mặt trên cửa hàng ứng dụng của Google.

Baidu Maps và Baidu App có 6 triệu lượt tải tại Mỹ và 1,4 tỷ lượt trên toàn cầu.

Đại diện Baidu phủ nhận kết quả nghiên cứu của Palo Alto Networks khiến hai ứng dụng của họ bị Google cấm. “Gã khổng lồ tìm kiếm” của Trung Quốc khẳng định các dữ liệu được thu thập để kích hoạt chức năng Push đã được nêu trong thỏa thuận quyền riêng tư. Ngoài ra, công ty này cũng cho biết đang làm việc với Google để đưa Baidu Maps trở lại Play Store vào tháng 12 tới.

Giữa năm nay, một công ty Trung Quốc khác là Xiaomi cũng bị phát hiện theo dõi người dùng. Khi đó, một số chuyên gia bảo mật đã phát hiện trình duyệt tích hợp trên điện thoại Xiaomi ghi lại thói quen duyệt web của người dùng ngay cả khi họ đang truy cập ở chế độ ẩn danh.