Quốc hội Mỹ yêu cầu điều tra vì dữ liệu vị trí của binh sĩ vẫn bị rao bán dù Lầu Năm Góc đã siết kiểm soát

Các nhà lập pháp Mỹ đang yêu cầu mở điều tra sau khi xuất hiện thêm bằng chứng cho thấy binh sĩ nước này vẫn có thể bị theo dõi thông qua dữ liệu vị trí được mua bán trên thị trường thương mại. Vấn đề nằm ở chỗ dữ liệu định vị không nhất thiết phải đến từ hệ thống quân sự bị tấn công trực tiếp, mà có thể được thu thập từ điện thoại di động thông thường, rồi tổng hợp và bán lại bởi các công ty môi giới dữ liệu. Đây là loại doanh nghiệp chuyên thu gom, liên kết và thương mại hóa thông tin người dùng từ nhiều nguồn khác nhau.

Thượng nghị sĩ Ron Wyden và Hạ nghị sĩ Pat Harrigan đã đề nghị Tổng thanh tra Bộ Quốc phòng Mỹ tiến hành điều tra các chính sách hiện hành, sau khi nhận thấy những biện pháp bảo vệ mới chỉ làm chậm chứ chưa chặn được hoàn toàn dòng dữ liệu vị trí liên quan tới quân nhân. Theo hai nhà lập pháp, nguy cơ này đã được Bộ Quốc phòng Mỹ nhận biết ít nhất từ năm 2016, nhưng dữ liệu vẫn tiếp tục xuất hiện trên thị trường, tạo điều kiện cho các bên mua theo dõi nơi binh sĩ tập trung hoặc di chuyển.

Một trong những mắt xích quan trọng của vấn đề là dữ liệu vị trí thường được thu thập bởi các ứng dụng di động và advertising SDK. SDK, viết tắt của Software Development Kit, là bộ công cụ mà nhà phát triển tích hợp vào ứng dụng để thêm tính năng có sẵn, trong trường hợp này thường là quảng cáo hoặc đo lường hành vi người dùng. Khi ứng dụng có quyền truy cập vị trí, dữ liệu đó có thể bị chia sẻ vào hệ sinh thái quảng cáo số, nơi nhiều công ty cùng tham gia xử lý, đấu giá và phân phối thông tin.

Trước sức ép từ Quốc hội, nhiều nhánh quân đội Mỹ đã vô hiệu hóa advertising ID trên điện thoại do chính phủ cấp. Advertising ID, còn gọi là mã định danh quảng cáo, là một mã nhận diện gắn với thiết bị di động nhằm giúp các nền tảng quảng cáo theo dõi người dùng giữa nhiều ứng dụng khác nhau. Theo thư gửi Tổng thanh tra, Lục quân, Không quân, Hải quân, Thủy quân lục chiến và Bộ chỉ huy tác chiến đặc biệt đều xác nhận đã tắt các mã này trên thiết bị công vụ để giảm nguy cơ bị theo dõi.

Dù vậy, các báo cáo mới cho thấy dữ liệu vị trí gắn với nhân sự Bộ Quốc phòng vẫn có mặt trên thị trường. Các nhà lập pháp nêu ra ba khả năng chính. Thứ nhất, một số đơn vị có thể chỉ mới tắt mã định danh quảng cáo gần đây, nên dữ liệu cũ vẫn còn lưu hành. Thứ hai, việc vô hiệu hóa advertising ID có thể không còn đủ mạnh trong bối cảnh ngành quảng cáo đã phát triển thêm nhiều kỹ thuật nhận diện khác. Thứ ba, và cũng đáng lo nhất, là dữ liệu có thể đến hoàn toàn từ thiết bị cá nhân của quân nhân và nhà thầu, tức những thiết bị không nằm trong phạm vi kiểm soát chặt chẽ như điện thoại công vụ.

Chuyên gia Zach Edwards từ Infoblox cho biết việc các nhánh quân đội cùng tắt advertising ID là bước tiến quan trọng. Ông đặc biệt nhấn mạnh đến MAID, viết tắt của Mobile Advertising Identifier, tức mã định danh quảng cáo trên thiết bị di động. Đây là thành phần then chốt giúp các công ty dữ liệu ghép nối nhiều bộ dữ liệu khác nhau. Nói cách khác, MAID hoạt động như một “khóa nối”, cho phép bên thu thập liên kết dữ liệu vị trí, lịch sử ứng dụng và các tín hiệu quảng cáo thành một hồ sơ theo dõi tương đối hoàn chỉnh về một cá nhân.

Theo Edwards, lợi ích của việc tắt MAID không chỉ dừng ở chuyện ngăn dữ liệu bị bán theo lô bởi các data broker, tức các nhà môi giới dữ liệu. Một rủi ro khác ít được chú ý hơn là mã này còn bị phát tán trong các hệ thống quảng cáo tham gia đấu giá tự động. Mô hình này thường được gọi là programmatic advertising, hay quảng cáo lập trình, nơi phần mềm tự động mua bán vị trí quảng cáo theo thời gian thực. Trong quá trình đó, dữ liệu nhận diện thiết bị và đôi khi cả tín hiệu vị trí có thể được chia sẻ cho rất nhiều bên trong chuỗi quảng cáo.

Edwards cũng cảnh báo rằng ngay cả khi một số bang của Mỹ như California, Vermont, Texas hay Oregon đã xây dựng sổ đăng ký dành cho các nhà môi giới dữ liệu, vẫn khó biết đầy đủ các công ty công nghệ quảng cáo nước ngoài nào đang tham gia thu thập thông tin. Ad tech là cách gọi chung cho ngành công nghệ quảng cáo số, bao gồm các nền tảng phân phối quảng cáo, đo lường hiệu quả và trao đổi dữ liệu người dùng. Theo ông, các doanh nghiệp ad tech tại Nga hoặc Trung Quốc vẫn có thể tiếp cận dữ liệu thông qua quan hệ đối tác với nhà xuất bản phương Tây hoặc ứng dụng di động phổ biến.

Điểm đáng lo là những mẩu dữ liệu vốn được thu thập cho mục đích quảng cáo thương mại lại có thể bị dùng để xác định vị trí nhạy cảm của quân đội. Chỉ cần tổng hợp đủ tín hiệu từ điện thoại xuất hiện thường xuyên tại một căn cứ, khu huấn luyện hoặc điểm triển khai ở nước ngoài, bên mua dữ liệu có thể suy ra mô hình hoạt động của lực lượng quân sự. Điều này biến quyền riêng tư trên di động thành một vấn đề an ninh quốc gia, chứ không chỉ còn là câu chuyện bảo vệ người tiêu dùng.

Vụ việc cũng làm gia tăng chỉ trích nhằm vào Apple và Google, hai công ty kiểm soát phần lớn hệ điều hành di động hiện nay. Giới chuyên gia cho rằng các mã định danh quảng cáo trên di động vẫn chưa được cải tổ đủ mạnh, dù từ lâu đã có cảnh báo rằng đây là mắt xích trung tâm giúp thị trường dữ liệu vị trí vận hành. Trong thời gian tới, áp lực có thể không chỉ dừng ở việc tắt advertising ID trên thiết bị công vụ, mà còn mở rộng sang quy định với thiết bị cá nhân được mang vào cơ sở quốc phòng hoặc sử dụng tại khu vực triển khai quân sự ở nước ngoài.