Hai ứng dụng Android tích hợp trí tuệ nhân tạo (AI) vừa bị phát hiện làm rò rỉ lượng lớn dữ liệu cá nhân, bao gồm cả thông tin định danh (KYC) của hàng triệu người dùng trên toàn cầu. Tổng dung lượng dữ liệu bị phơi bày lên tới hơn 12 TB.
Theo điều tra từ Cybernews, ứng dụng Video AI Art Generator & Maker, từng đạt hơn 500.000 lượt tải trên Google Play Store, đã để lộ dữ liệu người dùng ở mức nghiêm trọng.
Cụ thể, hơn 1,5 triệu hình ảnh, 385.000 video và hàng triệu tệp nội dung do AI tạo ra đã bị truy cập công khai. Nguyên nhân được xác định do một kho lưu trữ đám mây (Google Cloud Storage bucket) bị cấu hình sai, cho phép bất kỳ ai cũng có thể truy cập mà không cần xác thực.
Tổng cộng có khoảng 8,27 triệu tệp phương tiện được thu thập từ tháng 6/2023 bị phơi bày, tương đương hơn 12 TB dữ liệu. Sau khi vụ việc được phát hiện, Google đã ẩn ứng dụng này khỏi nền tảng.
Một ứng dụng khác cùng nhà phát triển Codeway là IDMerit cũng bị phát hiện để lộ dữ liệu xác minh danh tính khách hàng (KYC).
Dữ liệu bị ảnh hưởng thuộc về người dùng tại Mỹ và 25 quốc gia khác, bao gồm Đức, Pháp, Trung Quốc và Brazil. Các thông tin rò rỉ bao gồm:
- Họ tên, ngày sinh, giới tính
- Địa chỉ, mã bưu điện
- Số điện thoại, email
- Thông tin căn cước
- Siêu dữ liệu viễn thông
Đây là nhóm dữ liệu có độ nhạy cảm cao, thường được các tổ chức tài chính thu thập để xác minh danh tính và đánh giá rủi ro. Khi bị lộ, người dùng có nguy cơ đối mặt với tình trạng đánh cắp danh tính, chiếm đoạt tài khoản ngân hàng, thẻ tín dụng hoặc tài khoản chứng khoán.
Theo xác nhận từ các nhà nghiên cứu, Codeway đã đóng quyền truy cập dữ liệu của ứng dụng IDMerit từ ngày 3/2.
Báo cáo từ Cybernews cho biết 72% trong số hàng trăm ứng dụng trên Google Play được phân tích mắc lỗi “hardcoding secrets”, tức nhúng trực tiếp mật khẩu hoặc khóa mã hóa vào mã nguồn.
Lỗ hổng này cho phép các bot độc hại quét kho mã nguồn công khai như GitHub và đánh cắp khóa bảo mật chỉ trong vài giây, từ đó mở đường cho các cuộc tấn công quy mô lớn.
Người dùng Android cần làm gì?
Để giảm thiểu rủi ro, người dùng Android nên:
1. Kiểm tra nhà phát triển: Ưu tiên các ứng dụng có huy hiệu “Nhà phát triển đã xác minh” trên Google Play. Cẩn trọng với các tài khoản phát hành hàng loạt ứng dụng có giao diện và tính năng tương tự nhau.
2. Theo dõi dấu hiệu bất thường: Ứng dụng gây nóng máy, hao pin dù không sử dụng hoặc liên tục mời chào gói đăng ký trọn đời với mức giá rẻ bất thường có thể là tín hiệu cảnh báo.
3. Sử dụng công cụ bảo mật tích hợp: Kích hoạt và quét định kỳ bằng Play Protect: Mở Play Store > Biểu tượng hồ sơ > Play Protect > Quét.
Tham khảo PhoneArena
Huỳnh Duy
