Theo hồ sơ kỹ thuật được nhà nghiên cứu chính Paul Bouchaud thuộc tổ chức phi lợi nhuận châu Âu AI Forensics và chuyên gia Maël Le Touz thuộc hãng an ninh mạng Infoblox công bố ngày 02/11/2026, một mạng lưới hơn 400 ứng dụng trên cả hai kho ứng dụng Apple App Store và Google Play Store cùng gần 500 tên miền web đã qua mặt hệ thống kiểm duyệt suốt nhiều tháng. Các ứng dụng này thu hút tổng cộng hơn 350.000 lượt tải xuống, trong đó ít nhất 52 ứng dụng vẫn đang hoạt động công khai trên App Store và Play Store tại thời điểm nhóm nghiên cứu gửi cảnh báo.
Khi nộp hồ sơ xét duyệt lên Apple và Google, nhóm phát triển đóng gói các phần mềm này dưới vỏ bọc hết sức đời thường như ứng dụng vẽ chân dung thú cưng Viefur, công cụ biến ảnh gia đình thành tranh hoạt hình hoặc phần mềm tạo ảnh đại diện chuyên nghiệp DiffAI (với hơn 100.000 lượt cài đặt). Ở trạng thái mặc định khi nhân viên kiểm duyệt của kho ứng dụng mở kiểm tra, phần mềm chỉ hiển thị các bộ lọc màu vô hại và tuân thủ đầy đủ quy định an toàn cộng đồng.
Mánh khóe đánh tráo chỉ kích hoạt thông qua cơ chế cờ điều khiển từ máy chủ (server-side feature flags) kết hợp với hơn 10.000 quảng cáo trả phí mà mạng lưới này tung lên Facebook và Instagram. Khi người dùng bấm vào một đường dẫn quảng cáo gợi mở trên mạng xã hội của Meta để mở ứng dụng, máy chủ điều khiển từ xa sẽ lập tức nhận diện luồng truy cập và thay đổi toàn bộ giao diện hiển thị ngay trên điện thoại mà không cần bất kỳ bản cập nhật phần mềm nào.
Ngay sau khi tráo giao diện, các mục chỉnh ảnh thú cưng biến mất, nhường chỗ cho hơn 70 mẫu câu lệnh (prompt templates) dựng sẵn chuyên dùng để lột bỏ quần áo trên ảnh người thật, tạo hình ảnh khiêu dâm hóa hoặc ghép khuôn mặt nạn nhân vào các cảnh hành hung bạo lực. Lần theo dấu vết hạ tầng máy chủ và tài khoản thanh toán quảng cáo, nhóm điều tra xác định phần lớn mạng lưới này có liên kết trực tiếp tới pháp nhân KeLing Technology Limited đăng ký tại Hồng Kông (Trung Quốc).
Ngay sau khi nhận được hồ sơ bằng chứng từ nhóm điều tra vào đầu tháng 11/2026, đại diện Google và Apple xác nhận đã gỡ bỏ toàn bộ các ứng dụng vi phạm và khóa tài khoản nhà phát triển liên quan, trong khi người phát ngôn của Meta cũng thông báo xóa sổ hàng nghìn quảng cáo dẫn dụ người dùng. Dẫu vậy, ông Paul Bouchaud cảnh báo lỗ hổng kiểm duyệt cốt lõi vẫn chưa được giải quyết triệt để khi các kho ứng dụng hiện chủ yếu quét mã nguồn tĩnh lúc nộp đơn mà thiếu cơ chế giám sát liên tục những thay đổi giao diện được nạp động từ máy chủ bên thứ ba sau khi ứng dụng đã lên kệ.
Vân Anh
