Hơn 400 Trang Web Đang Theo Dõi Mọi Thứ Được Nhập Vào Máy Tính Người Dùng

Khoảng cuối tháng 11/2017, các nhà nghiên cứu đến từ trung tâm Nghiên cứu các chính sách về công nghệ thông tin tại đại học Princeton đã phát hiện ra 400 trong số những trang web phổ biến nhất, bao gồm cả Telegraph và BBC Good Food, ẩn chứa những đoạn mã có thể theo dõi mọi thứ được nhập vào máy tính mà người dùng không hề hay biết. Đáng lo ngại hơn, thông tin về những phím được gõ và dữ liệu nhạy cảm sẽ được gởi về một máy chủ phía thứ 3.

Mỗi khi lướt web, các trang web thường sử dụng các dịch vụ tracker để theo dõi thói quen, thu thập dữ liệu người dùng để phục vụ cho mục đích quảng cáo. Tuy nhiên, vấn đề đang đi xa hơn khi hầu hết các trang web có lượng truy cập lớn trên thế giới đang ghi lại mọi thứ mà người dùng gõ hay click, chẳng hạn như một đoạn từ khóa tìm kiếm hay một đoạn tin nhắn. Thậm chí, khi người dùng bắt đầu điền vào một biểu mẫu trên web với địa chỉ email, số điện thoại, thông tin cá nhân nhưng sau đó quyết định không nhấn tiếp tục nữa, chỉ để đó, các trang web cũng đã có được thông tin mà họ muốn.

Trang Motherboard đã dẫn chứng phát hiện của đại học Princeton tương tự với vụ việc hồi năm 2013, Facebook theo dõi người dùng với những dòng cập nhật trạng thái bỏ dỡ, chưa được đăng tải. Cụ thể, Facebook đã bị phát hiện ghi lại những gì đang được người dùng nhập, nhưng sau đó xóa mà không đăng tải thành một post hoàn chỉnh ở chế độ công khai. Khi đó, người dùng rất hoang mang, nhưng hiện nay, điều đáng chú ý là tất cả những trang web phổ biến đều vận hành một cơ chế tương tự mà người dùng hoàn toàn không hay không biết.

Các trang web được đại học Princeton phát hiện không chủ động sử dụng các dịch vụ keylog, họ không chủ ý thu thập thông tin nhập liệu từ người dùng, mà thay vào đó là hậu quả của việc sử dụng một tính năng được gọi là Session Replay Script – những đoạn script được trang web sử dụng để theo dõi tính tương tác và hỗ trợ trong việc thiết kế UX, thông báo cho người chủ trang web biết được thói quen của người xem, từ đó cải tiến trải nghiệm truy cập trang web. Những đoạn script có thể ghi lại hầu như mọi thứ và gửi dữ liệu đến máy chủ để phân tích.

Sự tình trở nên tồi tệ hơn khi các nhà nghiên cứu phát hiện ra rằng các thông tin nhạy cảm không được giữ kín. Khi Sesson Replay Script ghi lại toàn bộ hoạt động của một người dùng trên trang web và cho phép chủ trang web truy xuất thông tin theo dõi, họ sẽ có thể biết được thông tin cụ thể về một người dùng và xem lại những gì họ đã tương tác với trang web theo thời gian thực như click vào đâu, gõ cái gì.

Nhóm nghiên cứu tại Princeton đã chọn ra 7 công ty chuyên cung cấp dịch vụ Session Replay phổ biến trên thị trường và thử nghiệm các sản phẩm của họ trên một loạt các trang web. Kết quả phát hiện ra có ít nhất là một trong số các đoạn script đang được sử dụng bởi 482/50,000 trang có lượng truy cập lớn nhất trên thế giới theo xếp hạng Alexa. Danh sách các trang web được chia thành 2 trạng thái, bao gồm “evidence of session recording” (có bằng chứng về việc ghi lại phiên duyệt web của người dùng), và “analytics script exists” (có sự xuất hiện của các đoạn script dùng để phân tích).

Trong top 10 trang web đầu tiên, Yandex.ru - được mệnh danh là "Google của Nga' xếp hạng nhất, và đây cũng là một nhà cung cấp dịch vụ Session Replay, tiếp theo là Wordpress.com dùng dịch vụ của Yandex, và đáng chú ý là Coccoc.com cũng dùng dịch vụ của Yandex, cả 3 đều được đánh dấu “evidence of session recording”, có thể ghi lại dữ liệu nhập liệu của người dùng và nguy cơ dữ liệu được gửi ra ngoài.

Microsoft, Adobe, GoDaddy, UOL và nhiều trang khác cũng bị phát hiện chứa mã phân tích, nhưng dùng các dịch vụ Session Replay khác nhau và ít nguy cơ hơn. Điều kỳ lạ hơn là những trang web lớn như HP, Atlassian, Xfinity và Comcast cũng bị đánh dấu “evidence of session recording”.

Rất nhiều công ty thu thập và trao đổi dữ liệu cũng cung cấp các dịch vụ để loại bỏ thông tin nhạy cảm, nhưng rất nhiều công ty khác lại không. Nếu dữ liệu bị rò rỉ ra ngoài, vấn đề về quyền riêng tư của người dùng sẽ bị vi phạm nghiêm trọng, chưa kể đến việc thu thập nội dung từ trang web thông qua mã replay từ phía thứ 3 có thể khiến thông tin nhạy cảm như tình trạng y tế, thông tin thẻ tín dụng và nhiều thông tin cá nhân khác được phơi bày.

Các thông tin có thể bị rò rỉ qua các phần mềm lọc, chẳng hạn như 2 nhà cung cấp dịch vụ Session Replay là UserReplay và SessionCam, đều chặn hoàn toàn thông tin bằng cách theo dõi vị trí mà một người dùng nhấn vào trước khi họ bắt đầu gõ. Tuy nhiên, nếu thông tin được hiển thị mặc định trên một màn hình, người dùng không cần phải nhấp chuột mà chỉ việc gõ chữ, thông tin có thể bị bỏ sót và cứ thế trôi đến máy chủ phía thứ 3.

Nhóm nghiên cứu cũng phát hiện ra rằng những dịch vụ Session Replay thực tế đang đứng trước nguy cơ tấn công cao. Không chỉ là mục tiêu có giá trị lớn, rất nhiều dịch vụ cung cấp trang phân tích sử dụng giao thức HTTP không mã hóa thay vì HTTPS. Theo đại học Princeton, hacker có thể thực hiện tấn công man-in-the-middle tiêm mã độc vào trang web và truy xuất toàn bộ dữ liệu được ghi lại.

Từ khi bản báo cáo của đại học Princeton được công bố, nhiều trang web đang sử dụng các dịch vụ Session Replay Scripts và các nhà cung cấp đã lên tiếng phản hồi. Nhiều trang web cho biết không nhận thức được cơ chế hoạt động và nguy cơ tiềm ẩn từ các dịch vụ, đồng thời nhấn mạnh đang tìm cách cải tiến để bảo vệ dữ liệu người dùng. SessionCam cũng đã đăng tải trên trang blog cho biết đã nhận thức rõ vấn đề và trấn an rằng công ty đang bảo vệ an toàn dữ liệu người dùng.

Về giải pháp, đại học Princeton cho rằng người dùng nên cài đặt các phần mềm chặn quảng cáo như AdBlock Plus để chặn Session Replay Scripts. Ngoài ra, người dùng cũng có thể dùng thêm các phần mềm chặn tracker như Ghostery để đảm bảo giữ kín thông tin cá nhân khi tương tác với mọi trang web.