Đừng dùng tính năng này trên Facebook, Instagram

Trình duyệt web được tích hợp sẵn trong những ứng dụng như Facebook có thể đánh cắp tất cả thông tin cá nhân của người dùng.

Mỗi tuần có thêm từ 50 - 70 lỗ hổng bảo mật mới Hàng triệu người dùng Chrome đang gặp nguy hiểm Telegram phản hồi về lỗ hổng bảo mật làm lộ nội dung chat của nhiều hội nhóm kín

Cả Apple và Google đều đang nỗ lực ngăn chặn việc các trang web theo dõi người dùng. Trong khi trình duyệt Chrome dần loại bỏ việc sử dụng cookie (tập tin trang web tạo ra và lưu lại khi người dùng truy cập), Apple đã tiến bước xa hơn khi cho phép người dùng chủ động lựa chọn chặn ứng dụng hay website theo dõi hoạt động của mình.

Tuy nhiên, các trình duyệt bên trong ứng dụng đang nằm ngoài khả năng xử lý của hai nền tảng. Theo mặc định, những trình duyệt này sẽ xuất hiện khi người dùng truy cập vào một liên kết khi đang sử dụng các app như YouTube, Instagram hay Facebook. Ngoài ra, loại trình duyệt này cũng có thể xuất hiện trên các ứng dụng khác.

Những trình duyệt này được nhà phát triển lập trình để hoạt động bên trong ứng dụng. Bởi vậy, họ sẽ có toàn quyền truy cập vào dữ liệu của người dùng trong trình duyệt.

Nghiên cứu mới đây của chuyên gia bảo mật Felix Krause tại Fastlane chỉ ra rằng Facebook và Instagram có thể theo dõi bất kỳ thứ gì họ muốn khi người dùng đang sử dụng trình duyệt trong ứng dụng của họ.

Những trình duyệt trong ứng dụng theo dõi người dùng bằng phương pháp chèn mã JavaScript (JavaScript injection). Nghiên cứu của Krause sử dụng Instagram làm ví dụ. Khi người dùng mở một liên kết trong Instagram, ứng dụng sẽ chèn mã JavaScript (có tên Meta Pixel) để giúp ứng dụng xem và ghi lại hoạt động của khách hàng.

Hành động này cho phép Instagram theo dõi mọi thứ mà người dùng nhập trên các trang web bên ngoài mà không cần sự đồng ý của người dùng cũng như các nhà cung cấp trang web.

Ứng dụng sẽ theo dõi tất cả tương tác của người dùng, mọi nút và liên kết được nhấn, lựa chọn văn bản, ảnh chụp màn hình, cũng như các loại biểu mẫu. Sau đó, Instagram sử dụng thông tin này để chèn quảng cáo.

Đây là một cách rất đơn giản để Meta vượt qua các quy định "minh bạch trong việc theo dõi ứng dụng" của Apple. Nếu Instagram đã làm điều này, họ cũng có thể chèn bất kỳ đoạn mã JavaScript khác với nhiều mục đích khác nhau mà không cần đến sự cho phép của người dùng.

Đáng lưu ý, trình duyệt trong ứng dụng thậm chí có thể ghi lại những thông tin “nhạy cảm” như thẻ tín dụng khi người dùng nhập dữ liệu vào trang web. Mặc dù nghiên cứu cho thấy rằng Meta không thu thập thông tin cá nhân của khách hàng, một ứng dụng ngẫu nhiên có trình duyệt web tích hợp riêng sẽ có khả năng này.

Để tránh bị theo dõi hoặc lộ thông tin, người dùng cần hạn chế việc điền các thông tin nhạy cảm trên trình duyệt bên trong ứng dụng hoặc không sử dụng những ứng có tích hợp trình duyệt web. Ngoài ra, người dùng cũng có thể chuyển sang sử dụng phiên bản web của Instagram.

Đối với các nhà phát triển trang web, Krause đã viết một số đoạn mã giúp các nhà cung cấp trang web tránh được việc Facebook và Instagram theo dõi, đồng thời cũng giúp người dùng được bảo mật quyền riêng tư cá nhận khi truy cập vào. Ông cũng đưa ra gợi ý về những gì Apple có thể làm để ngăn chặn các hành động như trên trong tương lai.