Khi kiểm tra tuổi 'đi quá giới hạn': Yoti bị tố giác người dùng GrapheneOS với chính quyền

Câu chuyện này nhanh chóng được lan truyền trên Reddit, các diễn đàn bảo mật và cả chính cộng đồng GrapheneOS, làm dấy lên làn sóng phẫn nộ và chỉ trích dữ dội.

Phản ứng từ các bên

• Tuyên bố gây tranh cãi từ Yoti: Bộ phận hỗ trợ khách hàng của Yoti dường như đã xác nhận bằng văn bản rằng thiết bị GrapheneOS bị tự động gắn cờ và báo cáo lên chính quyền. Tuy nhiên, không có báo cáo nào cho thấy Yoti đã đưa ra một tuyên bố công khai chính thức để giải thích rõ liệu "báo cáo cho chính quyền" có nghĩa là gửi cho cảnh sát thực sự hay chỉ là một cảnh báo cờ nội bộ.

• Giải thích kỹ thuật từ phía GrapheneOS: Trong cuộc thảo luận trên diễn đàn chính thức, dự án GrapheneOS đã làm sáng tỏ khía cạnh kỹ thuật. Họ xác nhận rằng một ứng dụng hoàn toàn có thể phát hiện thiết bị đang chạy GrapheneOS bằng cách sử dụng API Chứng thực Phần cứng (Hardware Attestation API) của Android. Ứng dụng có thể yêu cầu chứng thực và đối chiếu verifiedBootKey với các khóa khởi động đã biết của GrapheneOS. Điều này có nghĩa là về mặt kỹ thuật, việc phân biệt đối xử dựa trên hệ điều hành là khả thi.

Bối cảnh lớn hơn: Cuộc chiến giữa 'Kiểm tra tuổi' và Quyền Riêng tư

Sự cố của người dùng GrapheneOS không phải là một sự kiện đơn lẻ. Nó là một lát cắt cho thấy những căng thẳng âm ỉ giữa nhu cầu xác minh tuổi trực tuyến ngày càng tăng và nguy cơ xâm phạm quyền riêng tư của người dùng.

1. Lấy dấu vân tay thiết bị và kỳ thị hệ điều hành

Như đã đề cập ở trên, công nghệ cho phép ứng dụng nhận dạng hệ điều hành của bạn là có thật. Điều này tạo ra một mối lo ngại thực sự: những người dùng chọn các hệ điều hành tập trung vào quyền riêng tư như GrapheneOS có thể bị các hệ thống xác minh tự động coi là "đáng ngờ" và đối xử bất lợi, thay vì chỉ đơn giản là kiểm tra xem họ có đủ tuổi hay không.

2. 'Tiền án' vi phạm dữ liệu cá nhân tại châu Âu

Yoti không phải là một cái tên vô danh trong lĩnh vực công nghệ. Họ là đối tác được sử dụng bởi những ông lớn như Meta, TikTok và các trang web người lớn như Pornhub. Càng đáng lo ngại hơn khi chính công ty này vừa phải nhận một án phạt rất nặng ở châu Âu:

• Tháng 11 năm 2025, Cơ quan Bảo vệ Dữ liệu Tây Ban Nha (AEPD) đã phạt Yoti tổng cộng 950.000 euro vì ba hành vi vi phạm Quy định Bảo vệ Dữ liệu Chung (GDPR) của Liên minh châu Âu. Cụ thể:
  • 500.000 euro cho việc xử lý bất hợp pháp dữ liệu sinh trắc học (tạo mẫu khuôn mặt từ ảnh tự sướng để so với giấy tờ tùy thân).
  • 200.000 euro cho việc lấy sự đồng ý không hợp lệ (ví dụ: sử dụng ô tick chọn sẵn).
  • 250.000 euro cho việc lưu trữ dữ liệu quá mức cần thiết (dữ liệu sinh trắc học và vị trí địa lý bị giữ lại tới 5 năm).

Thậm chí, một câu hỏi chính thức tại Nghị viện châu Âu (E-001251/2026) đã viện dẫn hành động pháp lý của Tây Ban Nha đối với Yoti và đặt câu hỏi liệu Ủy ban châu Âu có hành động để ngăn chặn các công cụ xác minh tuổi gây rủi ro cho dữ liệu người dùng hay không.

3. Mâu thuẫn chính sách không hồi kết

Câu chuyện này phơi bày một mâu thuẫn khó giải quyết: các chính phủ đang ngày càng thúc đẩy hệ thống xác minh tuổi để bảo vệ trẻ em trên không gian mạng, tạo ra thị trường béo bở cho các nhà cung cấp như Yoti. Nhưng các hệ thống này lại thường đòi hỏi những kiểm tra nhạy cảm về danh tính, sinh trắc học hoặc thiết bị. Kết quả là, mục tiêu bảo vệ trẻ em có thể xung đột trực tiếp với quyền ẩn danh và riêng tư của tất cả người dùng.

Sự cố GrapheneOS là một minh họa rõ ràng: quy trình xác minh tuổi đã vượt ra khỏi mục đích ban đầu, trở thành một công cụ để "điều tra" chính chiếc điện thoại và hệ điều hành của người dùng.

Những câu hỏi còn bỏ ngỏ

Mặc dù gây phẫn nộ lớn, nhiều khía cạnh của vụ việc vẫn chưa được làm sáng tỏ:

• Liệu Yoti có thực sự chuyển các báo cáo đến cơ quan thực thi pháp luật hay không, hay chỉ là lời lẽ thiếu chính xác trong email hỗ trợ khách hàng nhằm mục đích dọa dẫm?
• Hậu quả thực tế đối với người dùng bị "báo cáo" là gì? Các báo cáo hiện tại chỉ tập trung vào email gây sốc, vấn đề kỹ thuật phát hiện GrapheneOS và phản ứng dữ dội của dư luận, còn hệ lụy pháp lý thực sự vẫn là một ẩn số.