Facebook và Instagram - hai nền tảng thuộc sở hữu của Meta - bị cáo buộc đã bí mật thu thập dữ liệu duyệt web của người dùng Android từ tháng 9/2024 mà không có bất kỳ sự đồng thuận rõ ràng nào. Chỉ đến khi một nhóm nghiên cứu bảo mật công bố phát hiện, Meta mới âm thầm vô hiệu hóa cơ chế theo dõi này.
Theo Sammobile, kết luận trên được đưa ra bởi nhóm chuyên gia bảo mật đến từ ba tổ chức nghiên cứu uy tín: Đại học Radboud (Hà Lan), IMDEA Networks (Tây Ban Nha) và KU Leuven (Bỉ), sau nhiều tháng phân tích về hành vi thu thập dữ liệu của các ứng dụng do Meta phát triển.
Cụ thể, các ứng dụng Facebook và Instagram bị phát hiện đã lợi dụng một kỹ thuật khai thác kết nối nội bộ (localhost) - cho phép thiết lập cổng liên lạc giữa trình duyệt và ứng dụng trên cùng một thiết bị - để theo dõi nội dung duyệt web của người dùng, ngay cả khi họ sử dụng chế độ ẩn danh hoặc bật VPN nhằm tăng cường quyền riêng tư.
Người dùng Android bị Meta âm thầm theo dõi lịch sử duyệt web (Ảnh: Getty Images)
Phương thức này đã qua mặt được cơ chế sandboxing - vốn được thiết kế để ngăn ứng dụng truy cập dữ liệu từ các ứng dụng khác trên Android. Điều đáng lo ngại là kỹ thuật này không yêu cầu bất kỳ quyền truy cập đặc biệt nào từ phía người dùng, và hầu như không thể bị phát hiện bằng các công cụ bảo mật thông thường.
Sau khi báo cáo được công bố, Meta đã âm thầm ngừng hoạt động của cơ chế theo dõi nói trên, đồng thời cho biết đang phối hợp với Google để "làm rõ các điều khoản liên quan". Tuy nhiên, Meta không thừa nhận bất kỳ hành vi vi phạm nào. Trong khi đó, phía Google khẳng định kỹ thuật được Meta sử dụng đã vi phạm nghiêm trọng các chính sách dành cho nhà phát triển trên nền tảng Android, đặc biệt là những quy định liên quan đến quyền riêng tư người dùng và nguyên tắc cách ly ứng dụng.
Sự việc làm dấy lên lo ngại nghiêm trọng về quyền riêng tư trên các thiết bị Android, khi quá trình thu thập dữ liệu diễn ra một cách âm thầm, vượt ngoài tầm kiểm soát của cả người dùng lẫn hệ thống bảo mật của nền tảng.
if (pageSettings.allow3rd) admicroAD.unit.push(function () { admicroAD.show('admzonek1fs4xky') });
