Thêm ứng dụng lấy dữ liệu từ clipboard trên iPhone, có cả app bảo mật :(

Cập nhật ngày 2/7: Trong lần thử nghiệm mới đây nhất, chúng tôi đã phát hiện ra thêm một loạt ứng dụng phổ biến tại Việt Nam tự lấy dữ liệu từ clipboard trên iPhone. Trong số này, có cả các ứng dụng tới từ Google như trình duyệt Chrome và ứng dụng Dịch.

Cụ thể, các ứng dụng top đầu sao chép clipboard trên iPhone gồm Zalo, TikTok và Lazada. Theo xếp hạng mới nhất, các app này xếp hạng thứ 3, 5 và 13 tương ứng trong top các ứng dụng iOS được tải về nhiều nhất. Hiện TikTok đã cập nhật và khắc phục vấn đề này.

Ngoài ra, có thể kể tới các ứng dụng phổ biến khác như Google Chrome, Dịch, ứng dụng VPN 1.1.1.1...

Trong nhóm ứng dụng nhắn tin, mạng xã hội, các app nằm trong hệ sinh thái của Facebook như Facebook, Messenger, Instagram... không có hành vi này. Trong khi đó, theo báo cáo của trang tin nước ngoài, Viber có sao chép clipboard nhưng trong thử nghiệm của chúng tôi thì lại không. Các ứng dụng mạng xã hội có copy clipboad bao gồm Zalo, TikTok và cả Lotus.

Thậm chí, trong thử nghiệm với nhóm ứng dụng bảo mật dành cho iPhone, bao gồm Avast, BKAV Pro, Avira, McAfee, AVG, đã có một ứng dụng bị phát hiện sao chép clipboard. Ứng dụng này là Avira Mobile Security.

Ngay từ khi iOS 14 chưa ra mắt, chuyên gia bảo mật Tommy Mysk đã phát hiện ra rất nhiều ứng dụng tự ý sao chép clipboard của iPhone. Khi phản ánh với Apple, ông Mysk nhận được câu trả lời rằng đây không phải là lỗi. Về cơ bản việc các ứng dụng truy cập, sao chép clipboard không vi phạm điều khoản của Apple. Tuy nhiên, từ iOS 14 trở đi, Apple quyết định công khai điều này cho người dùng biết bằng cách gửi thông báo mỗi khi có một ứng dụng sao chép clipboard.

Thực tế, khả năng sao chép clipboard vốn được sinh ra cho những mục đích tốt đẹp. Ví dụ, Google Chrome có thể đọc clipboard để phục vụ tính năng "Dán và Truy cập", giúp người dùng duyệt web mau chóng.

Thế nhưng sẽ rất nguy hiểm khi người dùng không hề được thông báo về điều này. Những thông tin nhạy cảm mà họ lưu trong clipboard như tài khoản, mật khẩu, số thẻ ngân hàng có thể dễ dàng bị ứng dụng xấu/độc đánh cắp.

Sẽ tốt hơn nhiều nếu Apple ra mắt tính năng thông báo ứng dụng sao chép clipboard sớm hơn. Các chuyên gia bảo mật cũng cho rằng Apple nên có tùy chọn cho phép người dùng quyết định có đồng ý cho ứng dụng sao chép clipboard hay không.

Cập nhật ngày 29/6: Sau khi nghe tin iOS 14 phát hiện ra TikTok sao chép dữ liệu từ clipboard trên iPhone, hai nhà nghiên cứu Talal Haj Bakry và Tommy Mysk đã tiến hành thử nghiệm hàng trăm ứng dụng trên iOS 14. Kết quả thử nghiệm cho thấy không chỉ TikTok mà có tới 53 ứng dụng khác sao chép dữ liệu từ clipboard trên iPhone.

Trong số này bao gồm cả các ứng dụng phổ biến như AccuWeather, PUBG Mobile, Fruit Ninja, Viber... Thậm chí, một số người dùng Việt đã phát hiện ra Zalo cũng sao chép dữ liệu từ clipboard của iPhone.

Dưới đây là danh sách chi tiết các ứng dụng truy cập và sao chép clipboard của iPhone:

- Ứng dụng tin tức:

• ABC News
• Al Jazeera English
• CBC News
• CBS News
• CNBC
• Fox News
• News Break
• New York Times
• NPR
• ntv Nachrichten
• Reuters
• Russia Today
• Stern Nachrichten
• The Economist
• The Huffington Post
• The Wall Street Journal
• Vice News

- Game:

• 8 Ball Pool
• AMAZE!!!
• Bejeweled
• Block Puzzle
• Classic Bejeweled
• Classic Bejeweled HD
• Flip TheGun
• Fruit Ninja
• Goflmasters
• Letter Soup
• Love Nikki
• My Emma
• Plants vs. Zoombies Heroes
• Pooking - Billiards City
• PUBG Mobile
• Tomb of the Mask
• Tomb of the Mask: Color
• Total Party Kill
• Watermarbling

- Mạng xã hội:

• TikTok
• ToTalk
• Tok
• Truecaller
• Viber
• Weibo
• Zalo
• Zoosk

- Khác:

• 10% Happier: Meditation
• 5-0 Radio Police Scanner
• Accuweather
• AliExpress Shopping App
• Bed Bath & Beyond
• Dazn
• Hotels.com
• Hotel Tonight
• Overstock
• Pigment – Adult Coloring Book
• Recolor Coloring Book to Color
• Sky Ticket
• The Weather Network

Hiện tại, TikTok đã ngay lập tức tung ra bản cập nhật loại bỏ việc sao chép clipboard trên iPhone của người dùng. Các ứng dụng như 10% Happier: Meditation và Hotel Tonight đã hứa sẽ ngừng hành vi này.

Clipboard có thể chứa các dữ liệu nhạy cảm của người dùng như số thẻ/mật khẩu ngân hàng, số điện thoại cũng như các thông tin quan trọng khác. Chính vì thế, truy cập và sao chép clipboard là một hành vi khá nguy hiểm. Bạn có thể tham khảo chi tiết hơn về tính năng cảnh báo truy cập clipboard của iOS 14 ở phần bên dưới.

iOS 14 được Apple trình làng vào ngày 22/6 vừa rồi. Bên cạnh những thay đổi lớn, đáng chú ý, có khá nhiều tính năng nhỏ mà Apple không nhắc tới trong bản iOS mới. Một trong số những tính năng nhỏ ấy đã ngay lập tức phát huy tác dụng của mình.

Cụ thể, Apple đã thêm vào iOS 14 một tính năng quản lý bộ nhớ đệm clipboard để đảm bảo dữ liệu trong đó không bị đánh cắp bởi ứng dụng xấu/độc. Khi có bất kỳ ứng dụng nào truy cập vào clipboard, iOS 14 sẽ gửi thông báo cho người dùng. Bộ nhớ đệm clipboard là nơi tạm lưu trữ văn bản và các dữ liệu mà người dùng sao chép trên iPhone nên đôi khi có chứa dữ liệu nhạy cảm như thông tin thẻ tín dụng, mật khẩu...

Sau khi tải iOS 14 beta về thử nghiệm, biên tập viên Jeremy Burge của Emojipedia đã phát hiện ra ứng dụng TikTok liên tục lấy dữ liệu từ clipboard, ngay cả khi nó đang hoạt động ở chế độ nền. Trong video được Burge đăng lên Twitter, TikTok liên tục đọc và paste nội dung từ clipboard.

Theo Telegraph, đây không phải lần đầu TikTok bị phát hiện truy cập trái phép vào clipboard của người dùng. Hồi tháng 3, ByteDance, công ty mẹ của TikTok, đã tuyên bố với Telegraph rằng sẽ ngừng truy cập clipboard của người dùng trong vài tuần tới.

Thế nhưng nay, với sự phát hiện của iOS 14, hóa ra TikTok vẫn chưa loại bỏ hành vi này.

"Đây là một tính năng của TikTok, được thiết kế để xác định hành vi spam, lặp đi lặp lại bình luận. Chúng tôi đã tung ra bản cập nhật cho TikTok trên App Store để tắt tính năng này đi nhằm tránh những hiểu lầm không đáng có", phát ngôn viên của TikTok chia sẻ. "TikTok cam kết bảo vệ quyền riêng tư của người dùng và minh bạch về cách hoạt động của ứng dụng".

Khi được hỏi rằng TikTok sẽ làm gì với những dữ liệu lấy được từ clipboard của người dùng và dữ liệu có bị gửi về máy chủ của TikTok hay không, ByteDance từ chối trả lời. Hãng này cũng không cho biết có loại bỏ hành vi tương tự trên TikTok dành cho Android hay không.

Nếu bạn muốn biết ứng dụng nào đang lấy dữ liệu từ clipboard trên iPhone thì hãy cài đặt và dùng thử iOS 14 beta nhé.

• Hướng dẫn chi tiết lên đời iOS 14 public beta