Ứng dụng bàn phím ảo nổi tiếng AI.type để lộ thông tin cá nhân của hơn 31 triệu người dùng

Mới đây, Trung tâm An ninh Kromtech đã tiết lộ có đến 31 triệu người bị đánh cắp hoặc rò rỉ thông tin cá nhân khi sử dụng ứng dụng bàn phím Android nổi tiếng với tên gọi AI.type sau những nỗ lực bảo vệ cơ sở dữ liệu máy chủ không thành công của đội ngũ lập trình viên.

Cụ thể, máy chủ này thuộc quyền sở hữu của Eitan Fitusi - đồng sáng lập của AI.type. Kể từ khi ra mắt vào năm 2010 đến nay, AI.type đã sở hữu hơn 40 triệu lượt tải xuống trên Google Play Store.

Tuy nhiên, do máy chủ AI.type không sử dụng mật khẩu bảo vệ nên bất cứ ai cũng có thể truy cập vào cơ sở dữ liệu người dùng của họ. Và hậu quả để lại là hơn 577GB dữ liệu nhạy cảm đã bị rò rỉ ra ngoài. Hiện tại, mới chỉ có người dùng Android bị ảnh hưởng bởi lỗ hổng bảo mật này.

AI.type là ứng dụng bàn phím nổi tiếng với hơn 40 triệu lượt tải xuống trên Play Store.

Các nhà nghiên cứu tại Trung tâm An ninh Kromtech là những người đầu tiên phát hiện ra vấn đề nghiêm trọng trên và đã lập tức liên hệ với Fitusi để giải quyết. Đến nay, sự cố của máy chủ AI.type đã được khắc phục, nhưng Fitusi vẫn chưa đưa ra bình luận chính thức nào về sự việc này.

Bên cạnh đó, ZDNet cho biết mỗi phần cơ sở dữ liệu của AI.type chứa những thông tin cơ bản của người dùng bao gồm họ tên, địa chỉ e-mail, hồ sơ trên Google và khoảng thời gian kể từ khi cài đặt và sử dụng ứng dụng bàn phím ảo này. Ngoài ra, các dữ liệu nhạy cảm hơn như địa chỉ, thành phố và thậm chí là quốc gia mà người dùng đang sinh sống cũng được lưu lại.

Giống như nhiều ứng dụng khác, AI.type có hai phiên bản: miễn phí và trả phí. Trong đó, ứng dụng miễn phí sẽ thu thập nhiều dữ liệu người dùng hơn so với phiên bản còn lại để công ty có thể khai thác và kiếm tiền từ quảng cáo.

Sau khi tìm hiểu chi tiết hơn, ZDNet phát hiện ra AI.type thậm chí còn lưu trữ cả những dữ liệu về số IMSI, IMEI, độ phân giải màn hình, phiên bản Android đang sử dụng cũng như danh sách ứng dụng trên điện thoại người dùng. Chưa đừng lại ở đó, số điện thoại, tên nhà mạng, địa chỉ IP và tên nhà cung cấp dịch vụ mạng của họ cũng nằm trong cơ sở dữ liệu đó (nếu được kết nối với Wi-Fi). Thậm chí còn có một danh sách liệt kê 10,7 triệu địa chỉ e-mail cùng 374,6 triệu số điện thoại người dùng dù không rõ mục đích của AI.type khi lưu trữ lại những thông tin này là gì.

AI.type đã thu thập và để lộ rất nhiều thông tin cá nhân của người dùng.

Không có gì lạ khi các ứng dụng bàn phím ảo yêu cầu quyền truy cập vào nhiều khu vực dữ liệu trên điện thoại người dùng. Android cũng luôn đưa ra cảnh báo “các bàn phím này sẽ được phép thu thập các thông tin mà bạn gõ vào, bao gồm thông tin cá nhân như mật khẩu và số thẻ tín dụng”. AI.type cũng không phải ngoại lệ khi được cấp quyền truy cập vào danh bạ, tin nhắn, ảnh và video cũng như bộ nhớ trong, file ghi âm hay kết nối Internet của điện thoại.

Mặt khác, trên trang web chính thức của mình, AI.type cho biết: “Quyền riêng tư của người dùng là ưu tiên hàng đầu của chúng tôi. Bất cứ những gì bạn nhập vào AI.type đều sẽ được mã hóa và đảm bảo an toàn”.

Tuy nhiên, cơ sở dữ liệu của họ lại không hề được mã hóa. Thậm chí những văn bản người dùng nhập vào sẽ được họ lập tức ghi lại và lưu trữ. Dù AI.type đã cam kết “sẽ không bao giờ chia sẻ dữ liệu của bạn”, nhưng vẫn có đến 8,6 triệu văn bản do người dùng nhập vào đã bị rò rỉ bởi lỗ hổng bảo mật trên, bao gồm những thông tin nhạy cảm như số điện thoại, các từ khóa tìm kiếm, địa chỉ e-mail hay thậm chí các loại cả mật khẩu.

Các ứng dụng di động thường yêu cầu nhiều quyền truy cập trên smartphone của người dùng.

Bob Diachenko, trưởng bộ phận truyền thông tại Trung tâm An ninh Kromtech đã đưa ra cảnh báo về mức độ nghiêm trọng của vấn đề này: “Về mặt lý thuyết, bất cứ ai đã tải và cài đặt bàn phím ảo AI.type đều đứng trước nguy cơ để lộ thông tin cá nhân của mình trên mạng. Đây là một mối nguy hiểm thực sự bởi các tội phạm công nghệ cao có thể lợi dụng nó và khai thác những thông tin đó của người dùng”.

Ông cho biết thêm: “Vấn đề này một lần nữa đã dấy lên câu hỏi liệu người dùng có thực sự phải cung cấp dữ liệu điện thoại của mình chỉ để sử dụng các ứng dụng miễn phí hay các dịch vụ giảm giá hay không? Dữ liệu cá nhân thực sự rất quan trọng và mỗi người muốn sử dụng chúng với mục đích khác nhau, có thể là bán kiếm lời hoặc phục vụ cho chiến dịch marketing của họ. Tuy nhiên, tội phạm công nghệ cao sẽ có những cách sử dụng tinh vi, đa dạng với những dữ liệu đó để kiếm lợi tối đa cho bản thân mình”.

Theo ZDNet