Quân đội Mỹ vẫn bị theo dõi qua dữ liệu định vị mua từ bên thứ ba, Quốc hội yêu cầu làm rõ

Nỗ lực của Bộ Quốc phòng Mỹ (DoD) nhằm ngăn chặn binh sĩ bị theo dõi qua dữ liệu định vị mua từ bên thứ ba đã không đạt hiệu quả như mong đợi, và các nhà lập pháp đang yêu cầu một cuộc điều tra để làm rõ lỗ hổng nghiêm trọng này.

Thượng nghị sĩ Ron Wyden (đảng Dân chủ, Oregon) và Hạ nghị sĩ Pat Harrigan (đảng Cộng hòa, Bắc Carolina) hôm thứ Sáu đã chính thức đề nghị Văn phòng Tổng Thanh tra Bộ Quốc phòng mở cuộc điều tra về các chính sách bảo vệ dữ liệu định vị của quân nhân, vốn mới chỉ ngăn chặn một phần dòng chảy dữ liệu nhạy cảm này.

Vào tháng 5, Wyden, Harrigan và 12 nghị sĩ khác từ hai đảng đã công bố chi tiết về cách dữ liệu định vị thương mại – thường được thu thập từ các ứng dụng di động và SDK quảng cáo – có thể được sử dụng để xác định nơi tập trung của quân nhân Mỹ và nhắm mục tiêu vào các địa điểm đó. Đáng chú ý, họ chỉ ra rằng Bộ Quốc phòng đã nhận thức được mối đe dọa này từ ít nhất là năm 2016.

Các biện pháp hiện tại vẫn còn nhiều lỗ hổng

Các nhà lập pháp đã thúc giục Giám đốc Công nghệ thông tin của Bộ Quốc phòng, bà Kirsten A. Davies, thực hiện các bước giảm thiểu rủi ro, bao gồm việc tắt mã định danh quảng cáo trên điện thoại thông minh do Bộ Quốc phòng cấp và ban hành chính sách yêu cầu vô hiệu hóa các mã này trên mọi thiết bị cá nhân mang vào các cơ sở hoặc khu vực hoạt động ở nước ngoài.

Kể từ đó, nhiều chi nhánh quân đội đã chặn mã định danh quảng cáo trên các thiết bị do chính phủ cấp. Theo lá thư gửi tới Tổng Thanh tra: "Một số đơn vị của Bộ Quốc phòng – gồm Lục quân, Không quân, Hải quân, Thủy quân lục chiến và Bộ Tư lệnh Chiến dịch Đặc biệt – xác nhận họ đã vô hiệu hóa định danh quảng cáo trên thiết bị do chính phủ cấp để bảo vệ nhân sự của họ khỏi các mối đe dọa này."

"Chúng tôi ghi nhận các chi nhánh này đã triển khai biện pháp phòng thủ an ninh mạng tốt nhất trên các thiết bị chính phủ. Tuy nhiên, các báo cáo gần đây về việc dữ liệu định vị thương mại phát xuất từ các cơ sở của DoD vẫn tiếp tục được bán trên thị trường đặt ra những câu hỏi đáng lo ngại."

Hai nhà lập pháp đã đưa ra ba giả thuyết về nguyên nhân khiến các chính sách của Bộ Quốc phòng chưa đạt hiệu quả:

• Một số đơn vị trong Bộ Quốc phòng chỉ mới tắt mã định danh quảng cáo gần đây (khoảng tháng 7)
• Việc vô hiệu hóa định danh quảng cáo có thể không còn đủ để hạn chế dữ liệu định vị rò rỉ ra ngoài
• Dữ liệu định vị có thể đến hoàn toàn từ thiết bị cá nhân của quân nhân và nhà thầu quốc phòng

Vai trò của mã định danh quảng cáo di động (MAID)

Zach Edwards, chuyên gia nghiên cứu mối đe dọa cấp cao tại Infoblox, nhận định với The Register rằng việc tất cả các chi nhánh quân đội vô hiệu hóa định danh quảng cáo là một tin tốt, giúp binh sĩ và gia đình họ an toàn hơn, đặc biệt là những người phục vụ trong vùng chiến sự ở nước ngoài.

"Theo thay đổi này, dữ liệu định vị từ thiết bị quân đội sẽ không còn bị đưa vào các giao dịch bán dữ liệu hàng loạt của nhiều nhà cung cấp", ông nói.

Điều đáng tiếc là Google và Apple vẫn chưa thực sự cải cách hiệu quả hệ thống định danh quảng cáo di động của mình, dù đã có rất nhiều bằng chứng cho thấy đây là mấu chốt để các nhà môi giới dữ liệu kết nối thông tin định vị từ điện thoại di động của người dùng để bán hàng loạt. Edwards giải thích rằng mã định danh quảng cáo di động (MAID) đóng vai trò như "chìa khóa nối" – chúng có thể liên kết nhiều tập dữ liệu khác nhau để nhận diện và theo dõi một cá nhân.

Lợi ích cốt lõi là dữ liệu quân đội sẽ không còn bị bán qua các nhà môi giới, những đối tượng sẵn sàng bán cho bất kỳ ai có tiền. Bên cạnh đó, MAID này trước đây cũng bị phát tán tới mọi hệ thống quảng cáo tham gia phiên đấu giá.

Mối đe dọa từ các công ty quảng cáo nước ngoài

Edwards cũng chỉ ra một lỗ hổng địa chính trị: trong khi các bang như California, Vermont, Texas và Oregon có cơ chế đăng ký nhà môi giới dữ liệu, ông chưa thấy bất kỳ công ty công nghệ quảng cáo nào của Nga hoặc Trung Quốc đăng ký. Các công ty này vẫn hợp tác với các nhà xuất bản và ứng dụng di động phương Tây để thu thập dữ liệu bất hợp pháp.

"Các công ty công nghệ quảng cáo ở Nga và Trung Quốc rất có thể đã nhận được dữ liệu MAID từ các phiên đấu giá quảng cáo có sự tham gia của quân nhân. Và các công ty ở những quốc gia đó có nghĩa vụ phải chia sẻ thông tin này với nhà nước của họ mà không có quyền kháng cáo hay thông báo ra bên ngoài."

Vấn đề này đặt ra câu hỏi lớn về giới hạn của các biện pháp kỹ thuật khi đối mặt với một hệ sinh thái dữ liệu toàn cầu nơi quyền riêng tư gần như bị xem nhẹ. Với người dùng tại Việt Nam, câu chuyện này là một lời nhắc nhở quan trọng: các ứng dụng miễn phí thường thu thập dữ liệu định vị và mã định danh quảng cáo của bạn để phục vụ quảng cáo, và dữ liệu đó có thể bị bán lại cho bất kỳ ai – kể cả các thực thể có ý đồ xấu.

Bảo vệ quyền riêng tư không chỉ là vấn đề cá nhân mà còn là vấn đề an ninh quốc gia. Người dùng nên cân nhắc tắt mã định danh quảng cáo trên thiết bị của mình, hạn chế cấp quyền truy cập vị trí không cần thiết cho ứng dụng và sử dụng các biện pháp bảo mật cơ bản để giảm thiểu nguy cơ bị theo dõi qua các kênh dữ liệu thương mại.