Công ty ad-tech bị tố là vỏ bọc phát tán phần mềm gián điệp đánh thuê

Một báo cáo điều tra mới của Citizen Lab đang gây chấn động giới bảo mật: một công ty được cho là hoạt động trong lĩnh vực quảng cáo công nghệ đã bí mật biến hệ thống quảng cáo của những gã khổng lồ như Google và Facebook thành công cụ phát tán phần mềm gián điệp. Chỉ cần mở một trang web hay ứng dụng, thiết bị của người dùng có thể bị chiếm quyền kiểm soát mà không cần bấm vào bất cứ thứ gì.

Minh họa về hệ sinh thái quảng cáo và gián điệp số

AdFection: khi quảng cáo trở thành vũ khí

Báo cáo mang tên "Exposing AdFection" mô tả cách công ty Discover-Tech của Israel — tự nhận là doanh nghiệp ad-tech — đã lợi dụng hạ tầng quảng cáo lập trình tự động (programmatic advertising) để tấn công những cá nhân cụ thể.

Cơ chế hoạt động đáng sợ ở chỗ nó không đòi hỏi nạn nhân phải sơ suất. Các hãng quảng cáo lớn duy trì hồ sơ giám sát chi tiết về gần như mọi người dùng internet và gán cho mỗi người một mã định danh duy nhất, lâu dài — giống như "số an sinh xã hội" phục vụ mục đích theo dõi. Bất kỳ ai tự xưng là nhà quảng cáo cũng có thể gửi những đoạn mã tùy ý tới đúng những mã định danh đó.

Discover-Tech đã dùng đặc quyền này để bán cho các chính phủ độc tài và những tổ chức đánh thuê khả năng "nhặt" một người dùng cụ thể ra khỏi hàng tỷ người truy cập mỗi ngày, rồi phục vụ quảng cáo độc hại — thực chất là các đoạn mã nguy hiểm. Những quảng cáo này chứa các cuộc tấn công zero-day không cần nhấp chuột, khai thác lỗ hổng chưa từng được công bố để chiếm quyền thiết bị mà người dùng không hề hay biết.

Mục tiêu gồm cả nhà báo

Theo báo cáo, trong số nạn nhân có máy tính của các nhân viên làm việc tại Al Jazeera. Họ bị tấn công bằng phần mềm độc hại của Candiru — công ty gián điệp đánh thuê nay đổi tên thành "Integrity Labs". Ngoài Candiru, Discover-Tech còn hỗ trợ nhiều nhóm gián điệp đánh thuê khác, phát quảng cáo trên hàng trăm nghìn trang web và ứng dụng.

Điều đáng lo là Discover-Tech từng được Google, Yandex, Microsoft, Beeswax (thuộc Comcast) và IAB — hiệp hội nghề nghiệp hàng đầu của ngành ad-tech — cấp chứng nhận là nhà cung cấp an toàn. Chính sự "bảo chứng" này giúp công ty tiếp cận hơn bốn tỷ phiên đấu giá quảng cáo, tức là có hàng tỷ cơ hội thu thập danh tính người dùng, đối chiếu với danh sách mục tiêu và tấn công bất kỳ ai lọt lưới.

Hình minh họa về mạng lưới theo dõi người dùng

Trớ trêu thay, Discover-Tech thậm chí còn tấn công người dùng bằng những thông báo GDPR giả mạo, trông như thể cho phép họ từ chối bị theo dõi thương mại.

Mắt xích trong chuỗi gián điệp Israel

Discover-Tech có quan hệ chằng chịt với giới công ty gián điệp và tấn công mạng Israel. Ban lãnh đạo công ty từng có Eric Banoun, người được tờ Haaretz mô tả là "một trong những người tiên phong của lĩnh vực tấn công mạng tại Israel". Công ty có liên hệ với cả NSO Group — tập đoàn nổi tiếng chuyên bán vũ khí mạng cho những chính phủ tệ nhất thế giới, từng bị phát hiện tấn công nhà báo, nhân viên đại sứ quán và nhà hoạt động.

Sự việc phơi bày lỗ hổng nghiêm trọng của toàn ngành quảng cáo số: giám sát tràn lan, thẩm định sơ sài và kiểm toán an ninh thiếu thốn đang khiến mọi người dùng internet trên thế giới đối mặt với nguy cơ bị tấn công có chủ đích.

Chặn quảng cáo: biện pháp tự vệ tối thiểu

Kết luận rút ra rất rõ ràng: cách duy nhất để tránh là chặn quảng cáo. Việc này dễ làm trên trình duyệt, nhưng lại vướng rào cản pháp lý khi can thiệp vào ứng dụng di động để chặn quảng cáo bên trong.

Nhiều trang web cài kịch bản chống chặn quảng cáo, hiện thông báo gây tội lỗi, gọi người dùng là "kẻ ăn cắp". Với Cory Doctorow — tác giả bài phân tích gốc trên Pluralistic — những lời cảnh báo đó nên bị phớt lờ. Theo ông, nếu một trang web chạy quảng cáo lập trình cho phép bên thứ ba tùy ý theo dõi hàng tỷ người và nhắm mục tiêu chiếm đoạt thiết bị, thì cái giá họ đòi để xem nội dung là quá đắt.

Một số trang còn áp đặt mô hình "pay or okay" — hoặc tắt trình chặn quảng cáo, hoặc trả tiền thuê bao. Mô hình này đã bị coi là bất hợp pháp tại châu Âu, bang California và nhiều khu vực có luật bảo mật mạnh. Quyền riêng tư không nên là một món hàng xa xỉ.

Vấn đề cốt lõi không phải là quảng cáo, mà là giám sát. Ngành ad-tech đã thuyết phục các nhà quảng cáo rằng nhắm mục tiêu theo người dùng sẽ hiệu quả hơn nhiều so với quảng cáo theo nội dung — trong khi bằng chứng thực tế rất yếu.

Theo dữ liệu được nêu, quảng cáo nhắm mục tiêu chỉ cải thiện tỷ lệ nhấp dưới 5% so với quảng cáo dựa trên nội dung, trong khi chi phí vận hành và rủi ro bảo mật lại cao hơn hẳn. Hơn nữa, mô hình này còn làm suy yếu quyền lực của các nhà xuất bản nội dung, chuyển lợi thế sang tay những công ty giám sát.

Bài học cho người dùng Việt Nam

Tại Việt Nam, quảng cáo lập trình tự động cũng đã len lỏi vào hầu hết trang tin, ứng dụng đọc báo và mạng xã hội. Người dùng trong nước từng nhiều lần bị dẫn dụ qua các mẫu quảng cáo độc hại dẫn tới trang lừa đảo hoặc cài đặt ứng dụng không rõ nguồn gốc.

Một số khuyến nghị thiết thực:

• Cài trình chặn quảng cáo trên trình duyệt như uBlock Origin hoặc dùng trình duyệt tích hợp sẵn tính năng chặn.
• Cập nhật hệ điều hành và ứng dụng thường xuyên để vá các lỗ hổng bảo mật.
• Cảnh giác với ứng dụng lạ tự động yêu cầu quyền truy cập sâu vào thiết bị.
• Ủng hộ mô hình quảng cáo theo ngữ cảnh — nghĩa là quảng cáo gắn với nội dung trang, không dựa trên dữ liệu cá nhân.

Việc chặn quảng cáo không chỉ là chuyện tiện lợi hay khó chịu. Trong bối cảnh hạ tầng ad-tech bị biến thành bệ phóng tấn công, đó còn là một lớp phòng thủ an ninh cần thiết cho mỗi người dùng.