Android là mặt đối lập của vấn đề trên iPhone. Trên iOS, môi trường cách ly (sandbox) chặt chẽ đến mức không ứng dụng nào quét được hệ thống, và đó là lý do các ứng dụng diệt virus cho iPhone không làm được những gì phần mô tả của chúng ngụ ý. Trên Android, bạn được phép xem ở nhiều nơi quan trọng, và phần lớn chúng chỉ là những màn hình cài đặt bình thường mà bạn có thể mở ngay bây giờ.
Sự cởi mở đó cũng là lý do Android có nhiều phần mềm theo dõi lén (stalkerware) hơn. Bất kỳ ai mở khóa được điện thoại của bạn trong năm phút đều có thể cài một ứng dụng từ ngoài Play Store, cấp cho nó những quyền cần thiết và ẩn biểu tượng của nó. Không cần khai thác lỗ hổng, không cần jailbreak, không cần kỹ năng kỹ thuật. Chỉ cần mật mã của bạn và vài phút một mình với thiết bị.
Hướng dẫn này trình bày những gì bạn có thể tự kiểm tra, theo thứ tự nên làm, rồi đến một việc buộc phải làm từ máy tính.
Trước khi bắt đầu, nếu bạn nghĩ mình biết ai đang theo dõi
Nếu người bạn nghi ngờ là người yêu hoặc vợ/chồng, người yêu cũ, một người trong gia đình hay chủ lao động, hãy đọc phần về an toàn ở gần cuối bài trước khi thay đổi bất kỳ cài đặt nào. Một số ứng dụng theo dõi sẽ báo cho người đã cài chúng khi bị vô hiệu hóa, và trong một mối quan hệ bị kiểm soát, thông báo đó có thể khiến tình hình tệ hơn. Không có bước nào dưới đây gấp đến mức phải bỏ qua điều đó.
Phần mềm theo dõi lén trên Android thực sự hoạt động thế nào
Gần như mọi ứng dụng theo dõi thương mại trên Android đều dựa vào cùng ba tính năng. Chúng là những phần hợp lệ của nền tảng, được tạo ra cho những mục đích thật, và chính chúng là lý do loại phần mềm này có thể theo dõi gần như mọi thứ mà không cần khai thác lỗ hổng nào.
Dịch vụ Hỗ trợ tiếp cận. Được tạo ra để trình đọc màn hình hoạt động, quyền này cho phép một ứng dụng nhìn thấy nội dung trên màn hình và quan sát những gì bạn gõ. Đó chính xác là khả năng mà việc ghi lại thao tác bàn phím (keylogging) cần đến. Nếu chỉ kiểm tra một thứ trong trang này, hãy kiểm tra thứ này.
Quyền truy cập thông báo. Mọi thông báo điện thoại nhận được, kể cả toàn bộ nội dung tin nhắn từ những ứng dụng mà phần mềm theo dõi không đọc được bằng cách khác, đều đi qua quyền này.
Quản trị thiết bị. Vốn dành cho việc quản lý điện thoại của công ty, quyền này khiến một ứng dụng khó gỡ cài đặt hơn và giúp nó chống lại việc bị xóa.
Một ứng dụng theo dõi có đủ ba quyền đó không hề ẩn nấp trong một góc tối nào của hệ điều hành. Nó nằm ngay trong phần cài đặt của bạn, kèm dòng ghi nhận quyền do bạn cấp ngay bên cạnh, vì ai đó đã cấp quyền ấy trong lúc cầm điện thoại của bạn.
Bảy bước bạn có thể tự kiểm tra
Tên menu khác nhau giữa Samsung, Pixel, Xiaomi và các hãng khác. Nếu đường dẫn dưới đây không khớp với điện thoại của bạn, hãy mở Cài đặt và dùng ô tìm kiếm ở trên cùng với những từ được in đậm.
1. Chạy Play Protect, rồi xem nó có từng bị tắt không
Mở Play Store, chạm vào biểu tượng hồ sơ của bạn, chọn Play Protect, rồi chọn Quét. Nó sẽ đánh dấu các ứng dụng theo dõi đã biết.
Chi tiết đáng chú ý hơn là liệu nó có bị tắt từ trước hay không. Play Protect được bật theo mặc định, nó cảnh báo bạn khi có ứng dụng được cài từ ngoài Play Store, và tắt nó đi là một hành động có chủ ý. Nếu bạn thấy nó đang tắt mà bạn không hề tắt, thì đã có người muốn một lượt cài đặt diễn ra mà không bị chú ý.
2. Đọc danh sách Hỗ trợ tiếp cận
Vào Cài đặt, chọn Hỗ trợ tiếp cận, rồi tìm các dịch vụ đã tải xuống hoặc đã cài. Trên một chiếc điện thoại bình thường, danh sách này trống, hoặc chỉ có những công cụ bạn tự chọn: trình đọc màn hình, kính lúp, trình quản lý mật khẩu, trình khởi chạy.
Bất cứ thứ gì ở đây mà bạn không cài đều cần được giải thích. Tên của chúng được cố tình chọn cho thật nhàm chán, kiểu như System Service, Device Health, Update Manager, Sync Services hay Accessibility Helper. Một thành phần hệ thống thật sẽ không xuất hiện trong mục đã tải xuống của màn hình này.
3. Kiểm tra quyền truy cập thông báo
Vào Cài đặt, chọn Thông báo, rồi Thông báo trên thiết bị và ứng dụng hoặc Quyền truy cập đặc biệt của ứng dụng, sau đó chọn Quyền truy cập thông báo. Cùng một logic: bất cứ thứ gì bạn không nhận ra mà có quyền đọc mọi thông báo trên điện thoại đều là một phát hiện nghiêm trọng.
4. Xem các ứng dụng quản trị thiết bị
Vào Cài đặt, chọn Bảo mật, rồi Ứng dụng quản trị thiết bị. Hầu hết điện thoại cá nhân hiện một danh sách trống hoặc chỉ có Tìm thiết bị (Find My Device). Một hồ sơ công việc có thể hợp lệ hiển thị công cụ quản lý của chủ lao động. Một ứng dụng lạ có quyền quản trị thiết bị vừa là dấu hiệu đáng báo động, vừa là lý do có thể khiến những lần bạn thử gỡ cài đặt trước đó thất bại.
5. Rà soát quyền truy cập đặc biệt của ứng dụng
Vào Cài đặt, chọn Ứng dụng, rồi Quyền truy cập đặc biệt của ứng dụng. Những mục đáng đọc là Hiển thị trên các ứng dụng khác, Quyền truy cập dữ liệu sử dụng, Cài đặt ứng dụng không rõ nguồn gốc, và Quyền truy cập mọi tệp. Phần mềm theo dõi thường cần vài quyền trong số này. Riêng quyền truy cập dữ liệu sử dụng cho biết ứng dụng nào có thể thấy mọi thứ bạn mở và mở trong bao lâu.
6. Tìm các ứng dụng không có trên màn hình chính
Một ứng dụng có thể ẩn biểu tượng của nó, nên việc lướt qua màn hình chính chẳng chứng minh được gì. Vào Cài đặt, chọn Ứng dụng, rồi Xem tất cả ứng dụng, và mở menu để hiển thị ứng dụng hệ thống. Đó là một danh sách dài và phần lớn đều hợp lệ, vì vậy có hai điều cụ thể cần tìm:
- Hai bản của một thứ lẽ ra chỉ có một, đặc biệt là máy tính, trình quản lý tệp, ứng dụng ghi chú hay một công cụ hệ thống. Bản trùng lặp là kiểu ngụy trang kinh điển.
- Bất kỳ ứng dụng nào có cái tên bạn không giải thích được. Hãy tìm kiếm chính xác cái tên đó trước khi hoảng hốt, vì gần như mọi thứ trong danh sách này đều bình thường, rồi kiểm tra các quyền của nó.
Nhân tiện, hãy mở Play Store, chạm vào hồ sơ của bạn, chọn Quản lý ứng dụng và thiết bị, rồi Quản lý, và chuyển bộ lọc sang ứng dụng không do Play Store cài đặt. Phần mềm cài ngoài không mặc nhiên là xấu, nhưng trên một chiếc điện thoại mà bạn chưa bao giờ cài ứng dụng từ ngoài, mỗi mục ở đây đều cần có lý do.
7. So sánh mức dùng pin và dữ liệu với cách bạn dùng điện thoại
Vào Cài đặt, chọn Pin, rồi mức sử dụng pin; sau đó vào Cài đặt, chọn Mạng và Internet, rồi mức sử dụng dữ liệu di động. Bạn đang tìm một ứng dụng mà bạn chưa bao giờ mở nhưng lại nằm gần đầu một trong hai danh sách, hoặc lượng dữ liệu chạy nền không khớp với thói quen của bạn.
Hãy coi đây là tín hiệu yếu nhất, đúng như trên iPhone. Một viên pin đã chai, một bản cập nhật hệ thống hay thư viện ảnh đang đồng bộ sau kỳ nghỉ đều tạo ra cùng một kiểu hình. Đó là lý do để xem kỹ hơn, không bao giờ là kết luận.
Vì sao một ứng dụng trên điện thoại không thể làm trọn việc này
Mọi bước ở trên đều đáng làm và chúng phát hiện được nhiều trường hợp theo dõi thật. Nhưng chúng có ba giới hạn mà không ứng dụng quét nào cài trên điện thoại vượt qua được.
Các ứng dụng vẫn không thể đọc dữ liệu của nhau. Android cởi mở hơn iOS trong việc liệt kê những gì đã cài, nhưng một ứng dụng không thể đọc dữ liệu riêng tư của ứng dụng khác. Một ứng dụng quét có thể cho bạn biết có một gói phần mềm đáng ngờ tồn tại. Nó không thể mở gói đó ra và cho bạn xem những gì đã bị thu thập.
Phần mềm tinh vi ẩn mình khỏi chính những màn hình bạn vừa kiểm tra. Bất cứ thứ gì đã giành được quyền root đều có thể tự xóa mình khỏi danh sách ứng dụng, ẩn khỏi Play Protect và tồn tại qua việc gỡ cài đặt. Một khi điện thoại đã bị root, các công cụ trên điện thoại không còn là nhân chứng đáng tin nữa.
Bạn đang bảo nghi phạm tự đưa ra chứng cứ ngoại phạm cho mình. Nếu thiết bị bị xâm nhập ở tầng sâu, mọi câu trả lời nó đưa ra đều đến từ phần mềm mà kẻ xâm nhập có thể đang kiểm soát. Đó là vấn đề mang tính cấu trúc, và nó giống nhau trên mọi hệ điều hành.
Phân tích từ máy tính mang lại thêm điều gì
Cắm điện thoại vào máy tính qua USB và bật quyền truy cập dành cho nhà phát triển, khi đó một công cụ bên ngoài có thể liệt kê mọi gói phần mềm đã cài, đọc nhật ký hệ thống và đối chiếu tất cả với các chỉ dấu xâm nhập đã biết: tên gói mà phần mềm theo dõi lén thương mại sử dụng, tên miền mà phần mềm theo dõi liên lạc tới, những tổ hợp quyền mà chỉ việc theo dõi mới cần.
Điều quan trọng là việc phân tích chạy ở đâu. Máy tính không yêu cầu điện thoại tự đánh giá chính nó. Nó đọc nội dung của điện thoại và tự rút ra kết luận, và đó là lý do đây là phương pháp mà các nhà nghiên cứu công bố về chủ đề này sử dụng. Security Lab của Amnesty International duy trì một công cụ mã nguồn mở, Mobile Verification Toolkit, làm đúng việc này cho cả Android và iOS.
Nó cũng là công cụ dòng lệnh, đòi hỏi bạn cài gói Python, lấy bản sao lưu ADB và diễn giải kết quả pháp y. Phương pháp thì vững chắc và công khai; vấn đề là khoảng cách giữa một người đang lo lắng và một bản phân tích hoàn chỉnh. Thu hẹp khoảng cách đó chính là lý do Haris Shield ra đời, với cùng cách phân tích từ bên ngoài và một bản báo cáo được viết để người đọc hiểu chứ không phải để máy xử lý.
Nếu bạn tìm thấy điều gì đó, đừng xóa vội
Đây là phần mà hầu hết các hướng dẫn đều sai, và nó quan trọng hơn mọi thứ ở trên.
Nếu người theo dõi bạn là một người trong cuộc sống của bạn, gỡ ứng dụng có thể là việc nguy hiểm nhất bạn làm. Nhiều sản phẩm báo cho người đã cài chúng ngay khi việc theo dõi dừng lại. Trong một mối quan hệ bạo hành hoặc bị kiểm soát, thông báo đó cho người kia biết bạn đã phát hiện ra, vào một thời điểm mà bạn chưa chuẩn bị. Coalition Against Stalkerware (Liên minh chống phần mềm theo dõi lén), tổ chức quy tụ các tổ chức hỗ trợ nạn nhân bạo lực gia đình và các công ty bảo mật, cảnh báo trực tiếp về điều này, và nêu thêm một lý do thứ hai: xóa ứng dụng cũng là xóa luôn bằng chứng mà bạn có thể cần nếu báo công an.
Một thứ tự an toàn hơn:
- Chưa thay đổi gì trên điện thoại, và đừng đối chất với ai.
- Xin lời khuyên trước, bằng một thiết bị mà người kia chưa từng có quyền truy cập. Một tổ chức hỗ trợ nạn nhân bạo lực gia đình có thể giúp bạn lên kế hoạch cho thứ tự các bước.
- Ghi lại những gì bạn tìm thấy. Một bản báo cáo pháp y có sức nặng hơn ảnh chụp màn hình.
- Đổi mật khẩu và bật xác thực hai yếu tố từ một thiết bị khác, bắt đầu với tài khoản Google.
- Quyết định việc gỡ bỏ sau cùng, khi đã có sự hỗ trợ.
Nếu không có ai trong cuộc sống của bạn là nguồn khả dĩ và việc này trông giống tội phạm thông thường, cách tính toán đơn giản hơn: cập nhật Android, gỡ những gì bạn tìm thấy, đổi mật khẩu Google, đăng xuất khỏi các phiên lạ, và cân nhắc khôi phục cài đặt gốc mà không khôi phục bản sao lưu có thể cài lại vấn đề.
Khiến điện thoại khó bị nhắm tới hơn
- Đặt một mật mã không ai khác biết và kiểm tra xem có vân tay lạ nào được thêm vào không. Vào Cài đặt, chọn Bảo mật, rồi Vân tay. Quyền tiếp cận vật lý là cách gần như mọi chuyện này bắt đầu.
- Luôn bật Play Protect và thỉnh thoảng kiểm tra xem nó vẫn còn bật.
- Cài bản cập nhật kịp thời, cả bản cập nhật Android lẫn bản cập nhật hệ thống Google Play.
- Không root điện thoại, và không để ai root hộ bạn.
- Xem lại các thiết bị trong tài khoản Google tại myaccount.google.com, vì người theo dõi có mật khẩu Google của bạn thì hoàn toàn không cần ứng dụng nào trên điện thoại.
- Cân nhắc kỹ việc chia sẻ trong gia đình. Tính năng chia sẻ vị trí thông thường, thiết lập một lần rồi quên, là nguyên nhân của rất nhiều trường hợp người ta cảm thấy mình bị theo dõi.
Tóm lại
Bạn thực sự có thể tự kiểm tra một chiếc điện thoại Android, và bạn nên làm: Play Protect, dịch vụ Hỗ trợ tiếp cận, quyền truy cập thông báo, ứng dụng quản trị thiết bị, quyền truy cập đặc biệt của ứng dụng, danh sách ứng dụng đầy đủ kể cả các mục bị ẩn, cùng kiểu hình sử dụng pin và dữ liệu. Như vậy đã bao quát được phần lớn phần mềm theo dõi lén thương mại, vì phần lớn chúng cần những quyền hiện ra trên các màn hình đó.
Điều nó không bao quát được là bất cứ thứ gì có quyền root, hay bất cứ thứ gì đã khiến điện thoại nói dối về chính nó. Với những trường hợp đó, bạn cần phân tích từ bên ngoài thiết bị.
Và nếu bạn nghi ngờ một người mình quen biết, hãy xin lời khuyên trước khi động vào bất kỳ cài đặt nào. Phát hiện là nửa dễ hơn.
Nguồn
- Coalition Against Stalkerware, Thông tin dành cho người bị hại: stopstalkerware.org/information-for-survivors
- Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re và github.com/mvt-project/mvt
- Google, Play Protect: support.google.com/googleplay/answer/2812853
- Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org
Đọc thêm: cách phát hiện phần mềm gián điệp trên iPhone, dấu hiệu phần mềm theo dõi lén và những điều không nên làm, làm sao biết điện thoại bị hack, những cách kiểm tra phần mềm gián điệp miễn phí thực sự hiệu quả, và cách gỡ phần mềm gián điệp an toàn.