Hàng chục triệu người dùng Facebook VN có thể đã bị lộ số điện thoại

Nếu bạn từng cung cấp số điện thoại cho Facebook, gần như chắc chắn nó đã bị lộ và đang nằm trong một danh sách hàng triệu tài khoản đang được mua bán trên Internet. Chỉ với đường dẫn tài khoản Facebook, bất cứ ai cũng có thể biết được số điện thoại, ngày sinh, giới tính, nơi ở của người nào đó.

"Lượng dữ liệu này khổng lồ tới mức có hơn 70% người dùng Facebook tại Việt Nam bị lộ thông tin", anh Trần Huy, một người trong lĩnh vực quảng cáo và phát triển ứng dụng tại TP.HCM tiết lộ. 

Trong khi Cambrige Analytica (công ty khiến Facebook bị chỉ trích thậm tệ những ngày qua) dùng nguồn thông tin này để "đầu độc" quan điểm chính trị của người dân, thì tại Việt Nam, thông tin cá nhân này được rao bán rẻ mạt trên các trang mạng với mục đích chạy quảng cáo.

Rò rỉ thông tin, Facebook không thể cứu vãn

Theo anh Huy, những dữ liệu người dùng tại Việt Nam đã bị rò rỉ từ 4 năm trước. Và đã bị "dân trong nghề" tải toàn bộ về lưu trữ, tạo ra các bản sao, khiến Facebook không thể thu hồi hoặc hủy những dữ liệu rò rỉ. 

Quay trở lại năm 2014, thời kỳ Facebook còn "ngây thơ" trong việc cấp quyền truy cập cho các ứng dụng. Khi đó, ứng dụng HTC Sense, nền tảng Widget đồng bộ thông tin người dùng lên giao diện di động của HTC là "cần câu" thông tin người dùng. Nó yêu cầu đầy đủ các quyền truy cập mà trong giới gọi là "token full quyền".

Những thông tin người dùng buộc phải cung cấp cho HTC Sense bao gồm thông tin cá nhân, thông tin bạn bè, địa chỉ email, tin nhắn, video... Gần như đầy đủ mọi thứ mà người dùng thực hiện trên Facebook đều được mạng xã hội này trao cho HTC Sense.

Lổ hổng HTC Sense được giới "đạo tặc" Internet năm 2014 xem như "huyền thoại về cấp quyền cho bên thứ ba".

Lợi dụng một lỗ hổng "chết người" này, một số hacker tạo ra các ứng dụng mang tính vui vẻ như "kiếp trước bạn là ai?", "bạn trông thế nào sau 60 năm nữa?" để kết hợp với HTC Sense nhằm lấy tất cả quyền trên.

Ngoài HTC Sense, các hacker còn ưa chuộng các ứng dụng khác như Facebook for iOS, Facebook for Android... để chiếm lấy token của người dùng.

Token là một đoạn mã được Facebook dùng để định danh một tài khoản cụ thể, thực hiện nhiều thứ thay người dùng mà không cần mật khẩu. Nó có thể thay mặt người dùng thực hiện nhiều tác vụ, không cần phải trực tiếp quản lý (không cần biết mật khẩu). Thông thường các token có giá trị trong vài ngày. Nhưng token Facebook cấp cho HTC Sense có thời hạng tới 6 tháng, đủ để lấy những dữ liệu quan trọng trong thời gian dài.

"Hoạt động này người trong giới được gọi là 'via tài khoản' bằng HTC Sense. Sau khi lấy toàn bộ thông tin trên, nó sẽ được lưu trữ trên máy tính, ổ cứng. Người dùng, Facebook, HTC hoàn toàn không có một cơ hội nào để đòi lại những thông tin đó, hoàn toàn bất lực", anh Nguyễn Nhân, người làm trong lĩnh vực Facebook Marketing ở TP.HCM cho biết.

Hầu hết dữ liệu trên đều bắt nguồn từ sai lầm mà Facebook và các ứng dụng bên thứ ba gây ra cách đây nhiều năm. Vì vậy, Facebook có làm gì chăng nữa cũng không thể chuộc lại lỗi lầm của chính mình.

Thông tin người dùng Facebook bị rao bán rẻ mạt

Dạo một vòng internet, dễ dàng tìm được nhiều công cụ truy xuất số điện thoại, email người dùng Facebook. Hay nói cách khác, chỉ cần bỏ tiền, người mua sẽ có được số điện thoại của bất kỳ ai nếu biết địa chỉ Facebook.

Chỉ với một triệu đồng cho một tháng sử dụng, bất kỳ ai cũng có thể lấy được hàng chục nghìn số điện thoại, email, nơi ở của người dùng Facebook. Tỷ lệ lấy được thông tin này thành công tại Việt Nam được chủ web cam kết trên 90%.

Khách hàng chính của các trang web trên thường là người bán hàng online, thường xuyên sử dụng dịch vụ quảng cáo của Facebook. "Bạn muốn bán đồng hồ đắt tiền? bạn chỉ cần quét hết số điện thoại của những người có bạn bè với một người giàu có nào đó mà bạn biết hay đã tưng bấm thích một thương hiệu cao cấm nào đó.

Sau khi có số điện thoại, bạn thêm vào chiến dịch quảng cáo Facebook của mình. Quảng cáo đó sẽ được tiếp cận đến đúng mục tiêu", anh Nhân mô tả cách những dữ liệu trên được sử dụng.

"Bạn không thể làm gì để tự cứu mình nữa, vì thông tin đã rò rỉ và được tải về từ 4 năm trước"  - Trần Huy, coder từng tham gia khai thác lỗ hổng HTC Sense.

Bên cạnh mục đích hướng quảng cáo, những số điện thoại này được bán cho các ngân hàng, đại lý xe hơi, dịch vụ bất động sản...

"Chỉ cần tạo một chương trình lái xe thử miễn phí kèm nhiều quà tặng hấp dẫn và yêu cầu người tham gia phải có bằng lái B1, bạn sẽ thu hút hàng nghìn người quan tâm. Công việc còn lại là lấy danh sách những người đó cho vào công cụ, quét ra số. Những người có bằng lái B1 sẽ có tỉ lệ mua xe cao hơn", anh Nhân nói thêm.

"Với mặt hàng là điện thoại, chỉ cần vào các nhóm công nghệ, lấy danh sách thành viên việc cần làm còn lại là ngồi chờ file excel số điện thoại được 'dọn sẵn' cho bạn", anh Nhân nói về nhóm khách hàng mua đồ công nghệ.

Những ứng dụng này yêu cầu cấp quyền nhiều thông tin của ngừoi dùng. các hacker lợi dụng những lỗ hổng từ Facebook để chiếm những quyền trên.

Với 10.000 số điện thoại cùng tên họ những khách hàng có khả năng mua xe, bên bán thông tin thu về từ 10-15 triệu đồng. Mức giá này sẽ cao hơn với khách hàng có nhu cầu mua nhà đất. "Bất cứ nhóm khách hàng nào cũng đều có cách để 'phễu' được tương tác like, share, bình luận", Nhân khẳng định.

Ngoài ra các hacker người Việt còn giữ một lượng lớn dữ liệu của người dùng Mỹ, Úc, Đức để phục vụ cho các mặt hàng như áo thun, giày...

Người dùng cần làm gì?

"Bạn không cần làm gì cả, vì thông tin của bạn đã được lưu trữ offline từ nhiều năm trước", anh Huy khẳng định. Dữ liệu này không thuộc máy chủ của Facebook cũng không nằm trong ổ cứng nhà cung cấp ứng dụng. Nó đã mãi mãi thuộc về các hacker.

Vậy còn với người dùng mới tạo tài khoản?

"Bạn cần cài chế độ chỉ mình tôi mọi thông tin vì ở chế độ bạn bè hoặc bạn bè của bạn bè chúng tôi đều có cách lấy được thông tin", anh Huy cho biết. Cụ thể sẽ có một hệ thống Huy gọi là "zombie" đi kết bạn hàng loạt với người dùng Facebook.

Không chỉ người dùng Việt mà các nước như Mỹ, Đức, Úc đều có tên trong kho dữ liệu đang trôi nổi trên Internet.

Mỗi "zombie" sẽ kết bạn với 3.000 người, nếu người dùng để chế độ cho bạn bè, hoặc "bạn của bạn bè" thì những "zombie" này sẽ truy cập được thông tin đó.

Vụ việc liên quan đến Cambrige Analytica chỉ được khơi lên khi nó lên đến con số 50 triệu người dùng và liên quan đến kết quả bầu cử Mỹ. Nhưng với việc hàng triệu tài khoản Facebook đang bị lộ thông tin cá nhân ở Việt Nam, (và có thể tại nhiều nước khác), CEO của mạng xã hội lớn nhất thế giới liệu có thể tiếp tục "xin lỗi" nữa hay không, khi những dữ liệu đã mất không thể lấy lại và đang được mua bán rẻ mạt trên Internet.

• Facebook

  

  Facebook là công ty đa quốc gia của Mỹ sở hữu mạng xã hội trực tuyến cùng tên, sáng lập bởi Mark Zuckerberg cùng với bạn bè khi còn theo học Đại học Harvard. Công ty Facebook chính thức lên sàn vào tháng 2/2012 và đến 13/7/2015 trở thành công ty nhanh nhất trong "Chỉ số Standard & Poor's 500" đạt mức vốn hóa thị trường 250 tỷ USD. Tính đến tháng 6/2017, Facebook công bố có hơn 2 tỉ người mỗi tháng dùng sản phẩm mạng xã hội của họ. Ngoài ra, công ty còn mua lại các sản phẩm phổ biến của giới trẻ khác như Instagram (mạng xã hội chia sẻ hình ảnh), Whatsapp (tin nhắn).

  Bạn có biết: Facebook mở đầu là một phiên bản "Hot or Not" (một ứng dụng so sánh sắc đẹp) của Đại học Harvard với tên gọi Facemash.

  • Thời gian thành lập: 04/02/2004
  • Người sáng lập: Mark Zuckerberg, Eduardo Saverin, Andrew McCollum, Dustin Moskovitz, Chris Hughes
  • Trụ sở chính: Menlo Park, California, Mỹ
  • Mã cổ phiếu: FB (NASDAQ)