Theo CNN, năm 2020, công ty thành lập một nhóm khoảng 100 kỹ sư và quản lý sản phẩm để tìm kiếm lỗ hổng trên điện thoại Android, nhằm tìm kiếm các cách khai thác, biến chúng thành lợi nhuận. Theo nguồn tin, họ chỉ nhắm vào người dùng tại nông thôn và thị trấn nhỏ, tránh đối tượng tại các thành phố lớn như Bắc Kinh, Thượng Hải để tránh bị lộ.

Nhờ thu thập dữ liệu lớn về hoạt động người dùng, Pinduoduo có thể vẽ ra chân dung toàn diện về thói quen, sở thích của người dùng. Nó giúp cải thiện mô hình máy học để cung cấp thông báo đẩy, quảng cáo cá nhân hóa, thu hút người dùng mở ứng dụng, đặt hàng.

Nhóm giải thể vào đầu tháng 3 sau khi các hoạt động của nhóm bị đưa ra ánh sáng, theo CNN.

Phát hiện của chuyên gia

Các chuyên gia của hãng bảo mật Check Point, Oversecured và WithSecure đã tiến hành phân tích độc lập phiên bản 6.49.0 của Pinduoduo theo đề nghị của CNN. Phiên bản này phát hành trên chợ ứng dụng Trung Quốc cuối tháng 2. Do Google bị cấm ở đây, người dùng Android trong nước sẽ tải ứng dụng từ các chợ địa phương.

Chuyên gia tìm thấy mã được thiết kế để đạt được “leo thang đặc quyền”, đây là loại hình tấn công mạng khai thác lỗ hổng của hệ điều hành để có được cấp độ truy cập dữ liệu cao hơn vốn có. Ứng dụng vẫn tiếp tục chạy trong nền và ngăn khả năng bị gỡ cài đặt. Ngoài ra, nó còn có thể theo dõi đối thủ thông qua theo dõi hành vi trên các ứng dụng mua sắm khác và nhận thông tin từ đây.

Check Point tìm ra cách mà ứng dụng thoát khỏi các lớp bảo mật. Theo đó, Pinduoduo triển khai phương pháp gửi cập nhật mà không cần quy trình đánh giá của chợ ứng dụng. Bên cạnh đó, xuất hiện một vài plug-in có ý định che giấu các thành phần độc hại dưới các tên hợp pháp như Google. Check Point cho biết kỹ thuật như vậy được các nhà phát triển mã độc sử dụng rộng rãi để cấy mã độc vào các ứng dụng.

Tại Trung Quốc, 3/4 người dùng smartphone dùng hệ điều hành Android. Nhà sáng lập Oversecured Sergey Toshin chia sẻ, mã độc của Pinduoduo nhằm vào các nền tảng Android khác nhau của Samsung, Huawei, Xiaomi và Oppo. Toshin gọi Pinduoduo là “mã độc nguy hiểm nhất”từng được phát hiện trong số các ứng dụng phổ biến. “Tôi chưa từng chứng kiến thứ gì như vậy trước đó”, ông nhận xét.

Hầu hết các nhà sản xuất điện thoại toàn cầu sẽ tùy biến Android Open Source Project (AOSP) - lõi Android - để bổ sung các tính năng và ứng dụng độc đáo cho thiết bị. Theo Oversecured, Pinduoduo đã khai thác khoảng 50 lỗ hổng trong hệ điều hành Android. Chúng cho phép Pinduoduo truy cập vị trí, danh bạ, lịch, thông báo, album ảnh của người dùng mà họ không hay biết. Nó còn thay đổi cài đặt hệ thống, truy cập tài khoản mạng xã hội và chat, theo Toshin.

Trong 6 nhóm bảo mật mà CNN liên hệ, 3 nhóm không tiến hành bài kiểm tra đầy đủ, song các đánh giá chính đều cho thấy Pinduoduo yêu cầu lượng lớn quyền vượt ngoài chức năng của ứng dụng mua sắm. Chúng bao gồm cài đặt màn hình, tải về không cần thông báo, theo René Mayrhofer, Giám đốc Viện Mạng lưới và Bảo mật tại Đại học Johannes Kepler University Linz (Áo).

Nghi ngờ về mã độc trong ứng dụng Pinduoduo được đưa ra đầu tiên vào cuối tháng 2 trong báo cáo của hãng bảo mật Dark Navy (Trung Quốc). Dù không chỉ đích danh ứng dụng, báo cáo nhanh chóng phổ biến trong giới chuyên gia. Một số nhà phân tích đã đưa ra báo cáo riêng, xác nhận phát hiện ban đầu. Không lâu sau, vào ngày 5/3, Pinduoduo phát hành bản cập nhật mới cho ứng dụng, phiên bản 6.50.0, loại bỏ các lỗ hổng, theo CNN. Hai ngày sau, công ty giải tán nhóm kỹ sư và quản lý sản phẩm nói trên.

Ngày tiếp theo, các thành viên nhóm không thể truy cập ứng dụng làm việc Knock và mất quyền truy cập tập tin trong mạng nội bộ của công ty. Các kỹ sư cũng phát hiện bị tước quyền truy cập big data, bảng dữ liệu và hệ thống đăng nhập. Hầu hết nhóm được chuyển sang làm cho ứng dụng Temu. Khoảng 20 kỹ sư bảo mật cốt cán, chuyên tìm và khai thác lỗ hổng, ở lại Pinduoduo.

Theo Toshin, dù các lỗ hổng đã bị gỡ bỏ, mã nền vẫn còn đó và có thể tái kích hoạt để thực hiện các cuộc tấn công trong tương lai.

(Theo CNN)

Tại sao giới trẻ Mỹ bị mê hoặc bởi ứng dụng Trung Quốc?

Khi người dùng tạo một tài khoản TikTok và bắt đầu tìm nội dung để xem, tại ô tìm kiếm ngay phía dưới là hàng loạt nội dung gợi ý liên quan, đặc biệt là những video đang được xem nhiều (trend). Cứ thế, người dùng liên tục lướt và dần đắm chìm trong nền tảng, không dứt ra được. 

Một nhà nghiên cứu tâm lý học tại TP.HCM cho biết, đối với Facebook hay YouTube thì mọi hoạt động đề xuất nội dung cho người dùng xoay quanh sở thích và hành vi. Tuy nhiên, với TikTok thì mọi hoạt động đề xuất nội dung tập trung vào đám đông, theo đó nhiều người đang xem gì thì nền tảng sẽ đề xuất nội dung đó, bất chấp việc người dùng có thích hoặc quan tâm hay không. 

Có thể nói đây là một thuật toán thao túng tâm lý về lâu dài, làm con người giảm khả năng tập trung chú ý rất nhiều, đồng thời nó gây nghiện khi người dùng càng xem nội dung nào nhiều càng được nền tảng gợi ý video tương tự tiếp theo. Những người nghiện TikTok thường giảm khả năng giao tiếp với thế giới xung quanh. Trong các nghiên cứu tâm lý học thì thuật toán này là một dạng nguy hiểm. Thậm chí, đôi lúc nền tảng còn chèn vào nội dung thương mại. Thực tế, trên TikTok xuất hiện nhiều trend “không giống ai” và người đưa nội dung lên cũng không hiểu tại sao nó thành trend.

“Đây là một điều rất nguy hiểm, đặc biệt là đối với trẻ em, thuật toán này dễ dàng kéo các em tập trung vào những video gợi ý, lướt xem không ngừng nghỉ để gây nghiện và giảm khả năng giao tiếp”, vị chuyên gia chia sẻ.

Cũng theo vị chuyên gia này, với thuật toán như trên, tình trạng lan truyền tin giả xuất hiện ngày càng nhiều trên TikTok. Chưa kể, lợi dụng vào thuật toán, tin giả có thể dễ dàng được tạo ra bởi TikTok không hạn chế việc tạo tài khoản của người dùng; muốn lập một "trend" (xu hướng) mới, chỉ cần dùng các tài khoản ảo lan truyền sẽ đạt được mục đích. 

Đồng quan điểm, ông Nhân Nguyễn, CEO của NhanNguyen Digital, đưa ra phân tích, thuật toán của TikTok giúp cho tin giả dễ đến với người xem hơn. YouTube hay Facebook có nút chia sẻ, người dùng khi lan truyền nội dung sẽ nhấn vào nút này từ bản gốc, nếu thông tin sai sự thật xuất hiện sẽ nhanh chóng được kiểm soát khi bản gốc biến mất. Nhưng TikTok lại không có nút chia sẻ này, vì thế các video được người dùng tải về sau đó up lên lại để lan truyền.

Theo ông Nhân Nguyễn, thuật toán của TikTok liên quan đến "trending" (xu hướng), khi vào nút tìm kiếm mặc dù chưa gõ ký tự gì người dùng đã được gợi ý các nội dung đang được xem nhiều. Nghĩa là TikTok đề xuất luôn cho người dùng các nội dung đang được lan truyền nhiều và họ không biết đâu là tin thật hay tin giả, cứ thế vào xem. Hậu quả là tin giả được lan truyền một cách nhanh chóng. 

“Đây là một điểm hạn chế của TikTok, rõ ràng tôi không tìm kiếm thông tin gì về lãnh đạo F88, nhưng vừa vào nền tảng đã tự đề xuất thông tin của doanh nghiệp này và ngay phía dưới còn có cả thông tin sai sự thật là ông này bị bắt”, ông Nhân cho biết.

Không chỉ ở Việt Nam, thuật toán của TikTok đã bị nhiều chuyên gia trên thế giới lên án bởi các nội dung “độc hại” mà nền tảng này mang lại. Điển hình là tháng 7/2022, Trung tâm luật pháp nạn nhân mạng xã hội Mỹ đã nộp đơn kiện TikTok lên toà án Los Angeles vì lan truyền trào lưu Blackout (thử thách nghẹt thở) khiến 7 trẻ em thiệt mạng. 

Chuyên gia Johnanes Eichstaedt về AI tại Viện Stanford Mỹ từng nhận định trên Wired: “Động lực thực sự của TikTok không phải giải trí mà là lợi nhuận. Thuật toán AI của nền tảng đang cố giữ chân người dùng bằng nội dung được cho là hấp dẫn, bất chấp nó nguy hiểm hoặc phản cảm ra sao”.

Catherine Wang, chuyên gia AI tại Google cũng phân tích, mấu chốt của TikTok là không thiên vị người đăng video có ảnh hưởng hay không. Thay vào đó, thuật toán sẽ tự phân bổ đến người dùng, nếu càng nhiều người tương tác nó càng lan rộng trong thời gian ngắn mà không cần biết nội dung độc hại hay hữu ích.

Bài 3: TikTok dung túng cho các nội dung “bẩn”, vi phạm

TikTok đứng trước cuộc khủng hoảng niềm tin toàn cầu