Phần mềm độc hại và lỗi bảo mật người dùng được tìm thấy trong các ứng dụng VPN miễn phí hàng đầu

Cứ năm ứng dụng nằm trong danh sách 150 ứng dụng VPN Android miễn phí hàng đầu trên Play store của Google thì lại có một trường hợp bị gắn cờ là nguồn lây lan phần mềm độc hại tiềm năng. Ngoài ra, 1/4 ứng dụng VPN trong danh sách này cũng được cho là có chứa lỗi bảo mật gây ảnh hưởng nghiêm trọng đến quyền riêng tư của người dùng như rò rỉ DNS làm lộ truy vấn DNS của người dùng đến ISP của họ.

• Vì sao nên ngừng sử dụng VPN miễn phí ngay lập tức?

Theo phát hiện của chuyên gia bảo mật Simon Migliano, Trưởng phòng Nghiên cứu của Head of Research - công ty đứng sau dịch vụ Top10VPN, các ứng dụng VPN Android này đã được tải xuống và cài đặt khoảng 260 triệu lần theo số liệu được báo cáo bởi chính Google. Và đây sẽ là một nguồn lây lan mã độc đáng sợ nếu các công ty không sớm đưa ra những biện pháp khắc phục.

Công trình nghiên cứu chuyên sâu do Top10VPN khởi xướng đã được triển khai và xuất bản dưới dạng chỉ số rủi ro, được thiết kế để giúp người dùng Android hiểu được chính xác các rủi ro bảo mật mà họ có nhiều nguy cơ phải đối mặt khi cài đặt một ứng dụng VPN miễn phí trên điện thoại thông minh hoặc máy tính bảng của mình.

Theo phân tích của Simon Migliano và như đã nêu trước đây, cứ năm ứng dụng VPN miễn phí được thử nghiệm thì có một trường hợp bị gắn cờ (tổng cộng có 27 ứng dụng) là nguồn phần mềm độc hại tiềm năng khi được kiểm tra bằng VirusTotal, làm tăng đáng kể mức độ rủi ro mà người dùng có nguy cơ gặp phải.

Vấn đề còn trở nên tồi tệ hơn khi có tới 25% ứng dụng VPN hàng đầu đang bị ảnh hưởng bởi sự cố bảo mật rò rỉ DNS. Cụ thể:

“Lỗ hổng bảo mật này xảy ra khi các ứng dụng VPN không thể buộc các yêu cầu DNS thông qua đường truyền được mã hóa đến các máy chủ DNS của chính nó, và thay vào đó cho phép các yêu cầu được thực hiện trực tiếp đến các máy chủ DNS mặc định của ISP. Mặc dù phần còn lại của lưu lượng truy cập có thể được bảo mật, nhưng các dữ liệu rò rỉ sẽ đủ để tiết lộ lịch sử duyệt web của người dùng đối với các ISP và bất kỳ nhà khai thác máy chủ DNS bên thứ ba nào mà họ có thể sử dụng”.

Các vấn đề được tìm thấy trong mười ứng dụng VPN miễn phí hàng đầu (được tải xuống và cài đặt nhiều nhất) trên cửa hàng Google Play như sau:

Nghiên cứu của Top10VPN cũng cho biết rằng các chuyên gia đã tìm thấy các quyền rất khó xâm nhập cũng như các chức năng mã khiến người dùng các ứng dụng VPN này gặp rủi ro về quyền riêng tư, vấn đề này có thể gặp phải trên khoảng 85% trong trong số tất cả các ứng dụng VPN miễn phí được thử nghiệm.

Ngoài ra, nhóm nghiên cứu cũng đã tìm thấy các quyền xâm nhập và mã vi phạm quyền riêng tư của người dùng như sau:

• Theo dõi vị trí (trên khoảng 25% ứng dụng được thử nghiệm).
• Truy cập thông tin trạng thái thiết bị (trên khoảng 38% ứng dụng được thử nghiệm).
• Sử dụng máy ảnh, micro và khả năng bí mật gửi SMS (không đáng kể).
• Sử dụng mã đặc trưng để thu thập dữ liệu về vị trí của người dùng cuối cùng (trên khoảng 57% ứng dụng được thử nghiệm).

Theo như chi tiết trong phần phương pháp luận của bản báo cáo kết quả thử nghiệm, nhóm của Migliano đã cài đặt từng ứng dụng một trong số 150 ứng dụng VPN phổ biến nhất trên điện thoại thông minh Android, đồng thời tiết hành thử nghiệm kết nối VPN của các ứng dụng này bằng tiện ích phân tích kết nối Internet Netalyzr của ICSI.

Trên cùng một kết nối VPN, các nhà nghiên cứu đã thực hiện nhiều thử nghiệm IP khác nhau bằng cách sử dụng nền tảng browserleaks.com trực tuyến được so sánh với các thử nghiệm kiểm soát khác cũng được thực hiện trên cùng một thiết bị mà không sử dụng bất kỳ kết nối VPN nào.

• Google nộp phạt 50 triệu euro sau cáo buộc vi phạm Bộ luật bảo vệ dữ liệu chung ở Pháp

Khi được hỏi rằng liệu các vấn đề về vi phạm quyền riêng tư của người dùng có còn xuất hiện trong các phiên bản trả phí của các ứng dụng VPN này hay không, ông Migliano cho biết:

“Mặc dù chúng tôi không nâng cấp lên các phiên bản cao cấp (trả phí) và tiến hành các thử nghiệm bổ sung, nhưng tôi tin tưởng rằng các vấn đề chính về quyền riêng tư vẫn sẽ tồn tại, có thể kể đến như: Rò rỉ DNS, quyền xâm nhập và chức năng mã rủi ro. Về cơ bản, khi bạn nâng cấp lên phiên bản trả phí thì các ứng dụng này vẫn chạy trên nền tảng của các phiên bản miễn phí, chỉ khác là được bổ sung thêm một vài tính năng tiên tiến hơn”.

Simon Migliano cũng chính là chuyên gia đứng sau một phân tích trước đây được thực hiện trên 20 ứng dụng VPN và iOS miễn phí hàng đầu, dẫn đến kết luận rằng phần lớn trong số các ứng dụng này đều gần như không có khả năng bảo vệ quyền riêng tư của người dùng. Cũng như không có bất cứ hỗ trợ nào cho người dùng sau khi nghiên cứu trên được tiết lộ.

Một lần nữa, quyền riêng tư lại là một vấn đề nhức nhối mà chúng ta phải xem xét kỹ trước sử dụng bất cứ ứng dụng hay dịch vụ nào hiện nay.

Xem thêm;

• Microsoft bắt tay với VirusTotal trong việc giải quyết các vấn đề về mã độc gây ảnh hưởng đến tệp MSI
• Internet đang gặp phải một vấn đề rất lớn với C/C++, khiến các nhà phát triển “toát mồ hôi”
• Góc làm giàu: Một công ty treo giải 1 triệu USD cho ai hack được WhatsApp và iMessage
• Các điều khoản của Bộ luật hình sự liên quan đến lĩnh vực công nghệ thông tin, mạng viễn thông