HARIS SHIELD
Quay lại blog

Hướng dẫn bảo mật

Làm sao biết điện thoại bị hack: những dấu hiệu đáng kể, và những dấu hiệu không đáng

25 tháng 7, 20269 phút đọc

Mọi danh sách dấu hiệu cảnh báo bạn tìm được về chủ đề này đều mở đầu bằng cùng bốn mục: pin, nhiệt độ, dữ liệu, máy chậm. Cả bốn đều là triệu chứng thật của việc điện thoại bị theo dõi. Nhưng cả bốn cũng chính là những gì một viên pin đã dùng hai năm, một bản cập nhật hệ thống và thư viện ảnh đang đồng bộ sau kỳ nghỉ gây ra.

Đó là một vấn đề, vì nó có nghĩa là lời khuyên được lặp lại nhiều nhất trên internet không thể phân biệt giữa một chiếc điện thoại bị xâm nhập và một chiếc điện thoại đang cũ đi một cách bình thường. Nếu bạn ở đây vì có điều gì đó khiến bạn bất an, thì được dặn hãy để ý đến pin cũng chẳng giúp được mấy.

Vì vậy, hướng dẫn này chia các dấu hiệu thành hai nhóm: những dấu hiệu thực sự có sức nặng, và những dấu hiệu mà gần như ai cũng nêu đầu tiên nhưng bạn nên phần lớn bỏ qua nếu chúng đứng riêng.

Những dấu hiệu thực sự có sức nặng

Mỗi dấu hiệu dưới đây đều khó mà giải thích cho qua. Chỉ cần một trong số đó cũng đáng để xem xét kỹ.

Một ứng dụng có những quyền mà chỉ việc theo dõi mới cần

Trên Android, mở Cài đặt và kiểm tra ba màn hình: Hỗ trợ tiếp cận (các dịch vụ đã tải xuống), quyền truy cập thông báo trong mục quyền truy cập đặc biệt của ứng dụng, và ứng dụng quản trị thiết bị trong mục Bảo mật. Phần mềm theo dõi thương mại cần những quyền này, vì đó là cách nó đọc màn hình, thông báo và những gì bạn gõ. Trên một chiếc điện thoại cá nhân bình thường, màn hình thứ nhất và thứ ba thường trống.

Trên iPhone, màn hình tương đương là Cài đặt, Cài đặt chung, Quản lý VPN & thiết bị. Cấu hình (configuration profile) là một công cụ hợp lệ dành cho chủ lao động và nhà trường, và là một trong số ít cách được hỗ trợ chính thức để đưa việc theo dõi lâu dài lên iPhone mà không cần khai thác lỗ hổng. Trên điện thoại cá nhân, màn hình này nên trống.

Tên trong các danh sách này được cố tình đặt cho thật nhàm chán: System Service, Device Health, Update Manager, Sync Services. Một thành phần hệ thống thật không xuất hiện trong mục đã tải xuống.

Một thiết bị lạ trong tài khoản của bạn

Kiểm tra danh sách thiết bị trong Apple ID (Cài đặt, rồi chạm vào tên của bạn) hoặc tài khoản Google tại myaccount.google.com. Người đã đăng nhập vào tài khoản của bạn hoàn toàn không cần phần mềm nào trên điện thoại của bạn. Họ có thể đọc bản sao lưu, tin nhắn và vị trí của bạn từ thiết bị của chính họ.

Đây là con đường bị bỏ qua nhiều nhất trong mọi hướng dẫn, và là một trong những con đường phổ biến nhất trên thực tế.

Play Protect bị tắt mà bạn không hề tắt

Trên Android, vào Play Store, chạm biểu tượng hồ sơ, chọn Play Protect. Nó được bật theo mặc định và cảnh báo bạn về các ứng dụng được cài từ ngoài cửa hàng. Thấy nó bị tắt không phải là một triệu chứng; đó là bằng chứng về một quyết định mà ai đó đã đưa ra.

Một thông báo về mối đe dọa từ Apple

Apple cảnh báo những người dùng mà Apple tin là đã bị phần mềm gián điệp đánh thuê nhắm tới. Đăng nhập tại account.apple.com và tìm một biểu ngữ.

Một lưu ý quan trọng: vì những cảnh báo này đáng sợ và nổi tiếng, chúng là vỏ bọc ưa thích của các trò lừa đảo. Một thông báo thật từ Apple không bao giờ yêu cầu bạn bấm vào liên kết, cài bất cứ thứ gì hay đưa mật khẩu. Hãy kiểm tra bằng cách tự gõ account.apple.com.

Dấu vết jailbreak hoặc root

Tìm Cydia, Sileo hoặc Zebra trên iPhone, hoặc một trình quản lý root trên Android. Sự có mặt của chúng không chứng minh bạn đang bị theo dõi, nhưng chứng minh rằng ai đó đã gỡ bỏ các lớp bảo vệ của hệ điều hành, và từ đó trở đi, điện thoại không còn là nhân chứng đáng tin về chính nó.

Người kia biết những điều họ không nên biết

Không mang tính kỹ thuật, và thường là tín hiệu mạnh nhất. Nếu ai đó liên tục biết vị trí, kế hoạch của bạn, hay nội dung một cuộc trò chuyện riêng tư, mà họ không có cách thông thường nào để biết, thì điều đó đáng giá hơn bất kỳ chỉ số pin nào.

Những dấu hiệu ai cũng nêu đầu tiên, và chúng đáng giá đến đâu

Không dấu hiệu nào trong số này là vô giá trị. Nhưng tất cả, nếu đứng riêng, đều kém giá trị hơn nhiều so với những gì internet ngụ ý, vì mỗi dấu hiệu đều có một lời giải thích bình thường và có khả năng xảy ra cao hơn việc bị theo dõi.

Pin tụt nhanh hơn. Pin lithium-ion mất dần dung lượng sau mỗi chu kỳ sạc. Sau khoảng hai năm, pin kém đi thấy rõ là điều đương nhiên, không phải triệu chứng. Chỉ đáng để ý nếu nó thay đổi đột ngột, trên một chiếc điện thoại còn khá mới, mà không có bản cập nhật nào ở giữa.

Điện thoại ấm lên khi không dùng. Làm mới ứng dụng trong nền, sao lưu đám mây, một tác vụ lập chỉ mục sau khi cập nhật. Điện thoại hiện đại làm rất nhiều việc trong lúc bạn không để ý.

Dùng nhiều dữ liệu hơn. Hãy xem là ứng dụng nào. Nếu đó là dịch vụ ảnh của bạn hay một ứng dụng xem video vừa tắt chế độ chỉ dùng Wi-Fi, bạn đã có câu trả lời. Phần mềm theo dõi có tải dữ liệu lên, nhưng nó thường không phải con số lớn nhất trong danh sách đó.

Điện thoại chậm, hoặc tự khởi động lại. Một bản cập nhật hệ điều hành trên phần cứng cũ gần như luôn gây ra điều này.

Quảng cáo bật lên khắp nơi. Triệu chứng thật, nhưng là của phần mềm quảng cáo (adware) từ một ứng dụng kém tin cậy, không phải của việc theo dõi có chủ đích. Phần mềm theo dõi lén (stalkerware) được tạo ra để vô hình; hiện quảng cáo cho bạn xem sẽ đi ngược mục đích của nó.

Tin nhắn lạ được gửi đi từ điện thoại của bạn. Thường là do người gửi bị giả mạo, khi đó điện thoại của bạn hoàn toàn không có vấn đề gì, hoặc do một ứng dụng lừa đảo SMS. Hiếm khi là do bị theo dõi.

Tiếng động lạ trong cuộc gọi. Đến giờ thì điều này gần như hoàn toàn là chuyện truyền miệng, còn sót lại từ thời điện thoại analog. Chất lượng cuộc gọi kỹ thuật số thay đổi vì cả trăm lý do.

Tóm lại thẳng thắn: nếu tất cả những gì bạn có là pin kém đi và điện thoại ấm, thì lời giải thích khả dĩ nhất là chiếc điện thoại đã dùng được vài năm. Hãy xem danh sách thứ nhất thay vào đó.

Những gì bạn có thể tự kiểm tra trong mười phút

  1. Ba màn hình quyền trên Android, hoặc Quản lý VPN & thiết bị trên iPhone.
  2. Danh sách thiết bị trong tài khoản của bạn, cả Apple lẫn Google.
  3. Play Protect trên Android, kể cả việc nó có từng bị tắt không.
  4. Danh sách ứng dụng đầy đủ khi đã bật hiển thị ứng dụng hệ thống, tìm những bản sao của các công cụ thông thường và những cái tên bạn không biết là gì. Một ứng dụng có thể ẩn biểu tượng, nên lướt qua màn hình chính chẳng chứng minh được gì.
  5. Quyền của ứng dụng đối với vị trí, micrô, camera và ảnh, tìm những ứng dụng bình thường có quyền truy cập bất thường.
  6. Pin và dữ liệu, chỉ đọc như chi tiết bổ trợ chứ không phải kết luận.

Hướng dẫn chi tiết cho từng nền tảng: phát hiện phần mềm gián điệp trên iPhone và phát hiện phần mềm gián điệp trên Android.

Vì sao các bước trên chỉ đưa bạn đi được đến một mức nhất định

Mọi việc bạn có thể làm từ chính chiếc điện thoại đều có một giới hạn mang tính cấu trúc.

Trên iPhone, môi trường cách ly (sandbox) khiến không ứng dụng nào trên App Store quét được hệ thống. Đó là lý do các trình quét virus cho iPhone không làm được những gì phần mô tả của chúng gợi ý: chúng chỉ kiểm tra Wi-Fi và cảnh báo bạn về các trang web xấu. Trên Android bạn thấy được nhiều hơn, nhưng một ứng dụng vẫn không thể đọc dữ liệu riêng tư của ứng dụng khác, và bất cứ thứ gì có quyền root đều có thể ẩn mình khỏi chính những màn hình kể trên.

Bên dưới cả hai là cùng một vấn đề. Một chiếc điện thoại bị xâm nhập đang được yêu cầu tự báo cáo về chính nó, bằng phần mềm mà kẻ xâm nhập có thể đang kiểm soát.

Muốn vượt qua điều đó thì phải phân tích điện thoại từ bên ngoài. Cắm nó vào máy tính bằng cáp, thiết bị sẽ tạo ra bản sao lưu và dữ liệu chẩn đoán mà không ứng dụng nào trên máy được phép đọc: nhật ký sự cố, bản ghi về tiến trình nào đã dùng mạng và vào lúc nào, dấu vết do phần mềm gián điệp đã biết để lại. Những dữ liệu đó có thể được đối chiếu với các chỉ dấu xâm nhập đã được công bố.

Đây là cách các nhà nghiên cứu thực sự lật tẩy những chiến dịch này làm việc. Security Lab của Amnesty International phát hành Mobile Verification Toolkit, một công cụ mã nguồn mở làm đúng việc này, và nó là nền tảng của cuộc điều tra Dự án Pegasus. Công cụ này miễn phí, được đánh giá cao, và là công cụ dòng lệnh, mặc định rằng bạn thoải mái với Python và kết quả pháp y.

Khoảng cách đó là lý do Haris Shield tồn tại: phân tích từ máy tính dựa trên cùng các chỉ dấu công khai, với một bản báo cáo bạn đọc được mà không cần cửa sổ dòng lệnh. Phiên bản hiện tại đọc điện thoại trực tiếp qua cáp chứ không phân tích bản sao lưu đầy đủ; trang cách hoạt động liệt kê chính xác những gì nó đọc trên iPhone và Android.

Nếu bạn tìm thấy điều gì đó, thứ tự là điều quan trọng

Đây là phần quan trọng nhất, và cũng là phần mà hầu hết các hướng dẫn bỏ qua hoàn toàn.

Nếu người bạn nghi ngờ là người yêu hoặc vợ/chồng, người yêu cũ, một người trong gia đình hay chủ lao động, đừng xóa gì vội. Nhiều sản phẩm theo dõi báo cho người đã cài chúng ngay khi chúng ngừng hoạt động. Trong một hoàn cảnh bị kiểm soát, thông báo đó cho người kia biết bạn đã phát hiện ra, vào thời điểm do họ chọn chứ không phải bạn. Coalition Against Stalkerware (Liên minh chống phần mềm theo dõi lén), tổ chức quy tụ các tổ chức hỗ trợ nạn nhân bạo lực gia đình và các công ty bảo mật, cảnh báo trực tiếp về điều này, và lưu ý rằng xóa phần mềm cũng là hủy luôn bằng chứng mà bạn có thể cần về sau.

Một trình tự an toàn hơn:

  1. Không thay đổi gì trên điện thoại, và đừng đối chất với ai.
  2. Xin lời khuyên trước, từ một thiết bị mà người kia chưa từng có quyền truy cập.
  3. Ghi lại những gì bạn tìm thấy.
  4. Bảo vệ tài khoản từ một thiết bị khác: email trước, rồi Apple hoặc Google, sau đó là ứng dụng nhắn tin và ngân hàng, kiểm tra địa chỉ khôi phục và các thiết bị đang đăng nhập của từng tài khoản.
  5. Quyết định việc gỡ bỏ sau cùng, khi đã có sự hỗ trợ.

Hướng dẫn đầy đủ của chúng tôi cho hoàn cảnh này là bài phần mềm theo dõi lén: dấu hiệu và những điều không nên làm.

Nếu không ai trong cuộc sống của bạn là nguồn khả dĩ, cách tính toán đơn giản hơn: cập nhật hệ điều hành, gỡ những gì bạn tìm thấy, đổi mật khẩu từ một thiết bị khác, và cân nhắc khôi phục cài đặt gốc mà không khôi phục bản sao lưu có thể cài lại vấn đề.

Giảm rủi ro về sau

  • Một mật mã không ai khác biết, và không có vân tay hay khuôn mặt nào mà bạn không tự thêm vào. Quyền tiếp cận vật lý là cách phần lớn chuyện này bắt đầu.
  • Cập nhật ngay ngày chúng ra mắt. Phần lớn các vụ xâm nhập thật dựa vào những lỗ hổng đã được vá.
  • Xác thực hai yếu tố, cho email trước tiên, vì email dùng để đặt lại mọi thứ khác.
  • Đừng jailbreak hay root, và đừng để ai làm hộ bạn.
  • Xem lại các thiết bị trong tài khoản vài tháng một lần.
  • Xem lại tính năng chia sẻ trong gia đình. Chia sẻ vị trí được thiết lập một lần trong một giai đoạn êm đẹp hơn rồi bị quên đi giải thích rất nhiều trường hợp người ta cảm thấy mình bị theo dõi.

Tóm lại

Hãy bỏ qua những danh sách về pin và nhiệt độ. Những dấu hiệu đáng để hành động là: một ứng dụng nắm quyền hỗ trợ tiếp cận, quyền truy cập thông báo hoặc quyền quản trị thiết bị mà bạn không cấp; một cấu hình trên iPhone mà bạn không giải thích được; một thiết bị lạ trong tài khoản Apple hoặc Google; Play Protect bị tắt; một thông báo về mối đe dọa từ Apple; dấu vết jailbreak; và một người biết những điều họ không có cách thông thường nào để biết.

Bạn có thể tự kiểm tra tất cả những điều đó trong khoảng mười phút. Điều bạn không thể làm từ điện thoại là xác minh chính chiếc điện thoại, và nếu bạn tìm thấy điều gì đó và có thể một người trong cuộc sống của bạn đứng sau, hãy xin lời khuyên trước khi động vào bất kỳ cài đặt nào.

Nguồn

Đọc thêm: cách phát hiện phần mềm gián điệp trên iPhone, cách phát hiện phần mềm gián điệp trên Android, dấu hiệu phần mềm theo dõi lén và những điều không nên làm, có ai đang theo dõi điện thoại của tôi không, và dấu hiệu điện thoại bị nghe lén.

Bạn lo điện thoại của mình đang bị theo dõi?

Quét điện thoại để tìm phần mềm gián điệp và phần mềm theo dõi lén ngay từ máy tính của bạn. Việc quét không cài bất cứ thứ gì lên điện thoại. Miễn phí đến 31 tháng 12, 2026.

Nhận khóa miễn phí