Lỗ hổng bảo mật Android: SDK quảng cáo tự động thu thập vị trí người dùng

SDK nào đang chia sẻ dữ liệu vị trí?

EFF đã xác định bốn SDK quảng cáo thực hiện việc này: InMobi, BidMachine, Verve's HyBid và Huawei's Petal Ads . Khi một ứng dụng có quyền truy cập vị trí, các SDK này sẽ tự động thu thập tọa độ GPS chính xác và đưa vào hệ thống đấu giá quảng cáo thời gian thực (real-time bidding). Tại đây, các nhà môi giới dữ liệu thu thập thông tin để xây dựng hồ sơ di chuyển chi tiết của hàng trăm triệu người mà không có sự đồng ý thực sự từ người dùng .

Đáng chú ý, EFF phát hiện rằng tài liệu của BidMachine ban đầu không chính xác về việc thu thập vị trí; họ chỉ cập nhật sau khi EFF xác nhận qua phân tích lưu lượng mạng . InMobi thậm chí còn khuyến khích lập trình viên giữ nguyên tính năng chia sẻ vị trí bằng cách nhấn mạnh lợi ích tài chính .

Dữ liệu vị trí có nguồn gốc từ hệ thống quảng cáo này đã từng được sử dụng trong các cuộc điều tra của Cơ quan Thực thi Di trú và Hải quan Mỹ (ICE), các công cụ gián điệp toàn cầu, vạch mặt một linh mục đồng tính, theo dõi các nhà tổ chức công đoàn và nhân viên quân đội Mỹ .

Lỗ hổng trong cơ chế cấp quyền của Android

Vấn đề cốt lõi nằm ở chỗ mô hình cấp quyền của Android không phân biệt giữa ứng dụng và các SDK bên trong nó. Khi người dùng cấp quyền truy cập vị trí cho một ứng dụng, bất kỳ SDK của bên thứ ba nào được nhúng trong ứng dụng đó đều tự động thừa hưởng quyền tương tự .

Các SDK quảng cáo thường có cài đặt chia sẻ vị trí mặc định là "bật". Điều này có nghĩa là nếu lập trình viên không chủ động tắt tính năng này, ứng dụng sẽ vô tình truyền tọa độ GPS chính xác của người dùng đến các mạng quảng cáo và nhà môi giới dữ liệu . EFF lưu ý rằng đây là một điểm mù: nhiều lập trình viên tích hợp SDK để kiếm tiền mà không hề biết SDK đang âm thầm lấy cắp dữ liệu vị trí .

Một bản cập nhật chính sách Google Play dự kiến có hiệu lực từ ngày 28/10/2026 sẽ giới thiệu "nút vị trí" như một phạm vi tối thiểu được khuyến nghị, nhưng nó không giải quyết được vấn đề kế thừa quyền của SDK .

Quy định mới: Lệnh cấm bán dữ liệu định vị của Virginia

Từ ngày 1 tháng 7 năm 2026, Đạo luật Bảo vệ Dữ liệu Người tiêu dùng Virginia (VCDPA) sửa đổi có hiệu lực, cấm các bên kiểm soát dữ liệu bán hoặc chào bán dữ liệu định vị địa lý chính xác của người tiêu dùng (được định nghĩa là thông tin vị trí có độ chính xác trong phạm vi khoảng 1.750 feet) . Thống đốc Abigail Spanberger đã ký thành luật Dự luật Thượng viện 338 vào ngày 13/4/2026, đưa Virginia trở thành bang thứ ba của Mỹ sau Maryland và Oregon ban hành lệnh cấm như vậy .

Tuy nhiên, EFF chỉ ra rằng ngay cả khi các lệnh cấm bán ở cấp bang có hiệu lực, vấn đề cấu trúc về việc SDK thu thập dữ liệu mặc định vẫn tồn tại, vì dữ liệu có thể được chia sẻ (thay vì bán) và sử dụng cho nhắm mục tiêu quảng cáo mà không vi phạm về mặt kỹ thuật lệnh cấm bán .

EFF khuyến nghị lập trình viên làm gì?

EFF đưa ra các khuyến nghị hành động cụ thể cho lập trình viên :

• Tắt thu thập vị trí không cần thiết: Lập trình viên phải chủ động tắt cài đặt chia sẻ vị trí trong SDK quảng cáo, thay vì dựa vào cấu hình mặc định.
• Xem xét tài liệu SDK một cách cẩn trọng: Một số tài liệu SDK không chính xác hoặc cố tình đánh giá thấp việc thu thập vị trí. Lập trình viên nên tự kiểm tra kỹ thuật để xác minh dữ liệu nào đang được truyền đi.
• Chọn SDK tôn trọng quyền riêng tư: Ưu tiên các thư viện quảng cáo không thu thập dữ liệu vị trí theo mặc định và có tài liệu rõ ràng, chính xác.
• Áp dụng nguyên tắc giảm thiểu dữ liệu: Chỉ cấp quyền truy cập vị trí khi chức năng cốt lõi của ứng dụng thực sự cần và cân nhắc sử dụng vị trí ước lượng thay vì vị trí chính xác.

Kỹ thuật viên Lena Cohen của EFF nhấn mạnh: "Người dùng có thể thực hiện các bước bổ sung để bảo vệ quyền riêng tư vị trí của mình, nhưng họ không nên phải làm vậy. Các nhà phát triển, cơ quan quản lý và nhà lập pháp phải hành động để ngăn chặn các ứng dụng làm rò rỉ vị trí của người dùng cho các công ty quảng cáo và nhà môi giới dữ liệu" .