Phần lớn các bài viết về việc theo dõi điện thoại thực ra nói về chính phủ. Bài này nói về trường hợp phổ biến hơn nhiều: phần mềm theo dõi do một người biết mật mã của bạn cài vào.
Vấn đề kỹ thuật là nửa dễ hơn. Phần mềm theo dõi lén (stalkerware) không phải Pegasus. Nó không cần khai thác lỗ hổng, nó thường không thể ẩn mình trước một cuộc tìm kiếm kỹ lưỡng, và nó để lại dấu vết trong những màn hình cài đặt bình thường. Tìm ra nó thường chỉ là việc của mười phút.
Nửa khó hơn là bạn làm gì tiếp theo, và câu trả lời trung thực là xóa nó ngay lập tức có thể là lựa chọn tệ nhất. Đó là điều mà phần lớn các hướng dẫn hiểu sai, nên ở đây nó được nói đến trước tiên.
Hãy đọc phần này trước khi tìm kiếm trên điện thoại
Nếu người bạn nghi ngờ có thể tác động đến nhà ở, con cái, tài chính hay sự an toàn của bạn, thì thứ tự các bước quan trọng hơn việc quét.
Nhiều sản phẩm theo dõi báo cho người đã cài chúng khi chúng ngừng hoạt động. Vô hiệu hóa ứng dụng, thu hồi quyền của nó hay khôi phục cài đặt gốc cho điện thoại đều có thể phát ra tín hiệu đó. Trong một mối quan hệ bị kiểm soát, khoảnh khắc việc theo dõi bạn tắt lịm cũng là khoảnh khắc người kia biết bạn đã phát hiện ra, và đó là nguy cơ leo thang đã được ghi nhận trên thực tế chứ không phải chuyện giả định. Các tổ chức hỗ trợ nạn nhân bạo lực gia đình lên kế hoạch xoay quanh điều này là có lý do.
Xóa ứng dụng cũng là xóa luôn bằng chứng. Nếu bạn có thể nhờ đến công an, luật sư hay tòa án gia đình, thì những gì đang có trên điện thoại lúc này có giá trị hơn một chiếc điện thoại sạch.
Hãy giả định rằng mọi việc bạn làm trên chiếc điện thoại đó đều bị nhìn thấy. Kể cả việc đọc trang này, tìm kiếm sự giúp đỡ, và bất kỳ tin nhắn nào bạn gửi về chuyện này. Nếu bạn cần tìm hiểu hay xin lời khuyên, hãy dùng một thiết bị mà người kia chưa từng có quyền truy cập: điện thoại của một người bạn, máy tính ở chỗ làm, máy tính ở thư viện.
Nếu bất kỳ điều nào ở trên giống với hoàn cảnh của bạn, bước đầu tiên đúng đắn không phải là quét. Đó là một cuộc trò chuyện với những người làm việc này một cách chuyên nghiệp, từ một thiết bị không bị theo dõi. Các tổ chức ở cuối bài viết này tồn tại chính là vì việc đó, và cuộc gọi là miễn phí.
Phần mềm theo dõi lén là gì, và không phải là gì
Phần mềm theo dõi lén, đôi khi được bán dưới tên phần mềm quản lý con cái hay giám sát nhân viên, là phần mềm thương mại báo cáo hoạt động trên điện thoại của một người cho một người khác. Những khả năng điển hình: tin nhắn từ mọi ứng dụng, nhật ký cuộc gọi, lịch sử vị trí, ảnh, lịch sử duyệt web, thao tác bàn phím, và ở một số sản phẩm là cả micrô và camera.
Có hai điều tách nó khỏi phần mềm gián điệp đánh thuê thường lên báo.
Nó cần quyền tiếp cận, không cần khai thác lỗ hổng. Ai đó phải cầm chiếc điện thoại đã mở khóa của bạn trong vài phút, hoặc biết mật khẩu Apple ID hay Google của bạn. Đó là toàn bộ cuộc tấn công. Điều đó cũng có nghĩa là danh sách những người có thể làm việc này rất ngắn, và có lẽ bạn đã biết những ai có trong đó.
Nó thường nằm chung hóa đơn điện thoại với bạn. Người theo dõi bạn có thể kiểm soát tài khoản, gói cước gia đình, kho lưu trữ đám mây, hoặc chính thiết bị. Vấn đề kỹ thuật nằm bên trong một mối quan hệ, và đó là lý do cách khắc phục kỹ thuật hiếm khi là bước đầu tiên.
Nếu điều bạn lo ngại lại là một chính phủ hay một kẻ tấn công có nhiều nguồn lực, thì bản chất vấn đề sẽ khác, và hướng dẫn kiểm tra iPhone có nhiễm Pegasus không của chúng tôi trình bày trường hợp đó.
Nó lọt vào điện thoại bằng cách nào
- Tiếp cận vật lý. Phổ biến nhất, bỏ xa các cách khác. Trên Android, vài phút với một chiếc điện thoại đã mở khóa là đủ. Trên iPhone, việc này thường có nghĩa là cài một cấu hình (configuration profile) hoặc bật một tính năng chia sẻ.
- Tài khoản đám mây của bạn. Hoàn toàn không cần ứng dụng nào. Người có mật khẩu Apple ID hoặc Google của bạn có thể đọc bản sao lưu, tin nhắn, ảnh và vị trí của bạn từ thiết bị của chính họ. Đây là con đường bị bỏ qua nhiều nhất và khó nhận ra nhất.
- Những tính năng hợp lệ bị để bật. Chia sẻ vị trí trong gia đình, Tìm (Find My), Google Family Link, báo cáo thời gian sử dụng, lịch dùng chung. Được thiết lập một lần trong một giai đoạn êm đẹp hơn và không bao giờ được xem lại, đây là nguyên nhân lớn nhất khiến người ta cảm thấy đúng là mình bị theo dõi mà không có phần mềm độc hại nào ở bất cứ đâu.
- Một thiết bị được tặng hoặc dùng chung. Một chiếc điện thoại do người khác mua và thiết lập có thể đã có phần mềm theo dõi ngay từ ngày bạn nhận nó.
Các dấu hiệu, và giá trị của từng dấu hiệu
Không dấu hiệu đơn lẻ nào chứng minh được điều gì. Nhiều dấu hiệu cùng lúc, trong hoàn cảnh có người từng có quyền tiếp cận, thì đáng để xem xét nghiêm túc.
Những dấu hiệu có sức nặng thật sự
- Một ứng dụng bạn không cài nằm trong danh sách dịch vụ Hỗ trợ tiếp cận, quyền truy cập thông báo hoặc quản trị thiết bị. Trên Android, điều này gần như là kết luận.
- Một cấu hình trên iPhone mà bạn không giải thích được, trong Cài đặt, Cài đặt chung, Quản lý VPN & thiết bị.
- Một thiết bị không phải của bạn đang đăng nhập Apple ID hoặc tài khoản Google của bạn.
- Play Protect trên Android bị tắt mà bạn không hề tắt.
- Người kia biết những điều họ không có cách thông thường nào để biết, đặc biệt là vị trí của bạn, hay nội dung một tin nhắn riêng tư.
Những dấu hiệu đáng để ý nhưng dễ có lời giải thích khác
- Pin tụt nhanh hơn trước.
- Điện thoại ấm lên khi không dùng.
- Dùng nhiều dữ liệu hơn bạn nghĩ.
- Điện thoại chạy chậm, hoặc tự khởi động lại.
Bốn dấu hiệu đó là thứ phần lớn các bài viết nêu đầu tiên, và cũng là thứ mà một viên pin đã chai, một bản cập nhật hệ thống hay việc sao lưu ảnh tạo ra. Đừng xây dựng kết luận của bạn dựa trên chúng.
Kiểm tra iPhone
Môi trường cách ly (sandbox) của iOS khiến không ứng dụng nào trên App Store quét được hệ thống, nên các bước kiểm tra phải làm thủ công:
- Cài đặt, Cài đặt chung, Quản lý VPN & thiết bị. Trên điện thoại cá nhân, trống là bình thường.
- Danh sách thiết bị trong Apple ID. Vào Cài đặt, chạm vào tên của bạn ở trên cùng. Gỡ bất cứ thứ gì lạ, nhưng hãy ghi nhớ cảnh báo an toàn ở trên.
- Cài đặt, Quyền riêng tư & Bảo mật, rồi Dịch vụ định vị, và riêng các mục Micrô, Camera và Ảnh. Tìm những ứng dụng bình thường có quyền truy cập bất thường.
- Tìm, và mọi tính năng chia sẻ trong gia đình. Kiểm tra xem ai có thể thấy bạn.
- Tìm Cydia, Sileo hoặc Zebra. Sự có mặt của chúng nghĩa là ai đó đã gỡ bỏ các lớp bảo vệ của Apple khỏi điện thoại.
Hướng dẫn đầy đủ của chúng tôi nằm trong bài cách phát hiện phần mềm gián điệp trên iPhone.
Kiểm tra điện thoại Android
Android cho bạn thấy nhiều hơn, và cả ba quyền quan trọng đều hiện ra:
- Cài đặt, Hỗ trợ tiếp cận, các dịch vụ đã tải xuống. Đây là nơi việc ghi lại thao tác bàn phím (keylogging) trú ngụ.
- Quyền truy cập thông báo, trong mục quyền truy cập đặc biệt của ứng dụng.
- Ứng dụng quản trị thiết bị, trong mục Bảo mật.
- Danh sách ứng dụng đầy đủ khi đã bật hiển thị ứng dụng hệ thống, tìm những bản sao của các công cụ thông thường và những cái tên bạn không biết là gì.
- Play Protect, kể cả việc nó có từng bị tắt không.
Phiên bản chi tiết nằm trong bài cách phát hiện phần mềm gián điệp trên Android.
Năm sai lầm cần tránh
1. Xóa nó ngay khi tìm thấy. Phản ứng phổ biến nhất và nguy hiểm nhất, vì hai lý do ở đầu bài viết.
2. Đối chất với người đó. Nó chấm dứt mọi cơ hội ghi lại những gì đã xảy ra, và trong một hoàn cảnh bạo hành, nó làm tăng nguy cơ cho bạn. Hãy xin lời khuyên trước.
3. Khôi phục cài đặt gốc ngay lập tức. Nó hủy bằng chứng, có thể báo động cho người kia, và nếu bạn khôi phục từ một bản sao lưu mà họ kiểm soát, bạn có thể cài lại phần mềm theo dõi ngay ngày đầu tiên với chiếc điện thoại sạch.
4. Đổi mật khẩu từ chính chiếc điện thoại bạn nghi ngờ. Nếu trên thiết bị có phần mềm ghi lại thao tác bàn phím, bạn vừa trao luôn mật khẩu mới cho họ. Hãy dùng một thiết bị khác.
5. Tìm hiểu về chuyện này trên chiếc điện thoại đang bị theo dõi. Các lượt tìm kiếm, trang đã truy cập và tin nhắn chính là những gì loại phần mềm này báo cáo. Kể cả trang này.
Một thứ tự an toàn hơn
- Xin lời khuyên trước, từ một thiết bị mà người kia chưa từng chạm vào. Miễn phí, giữ bí mật, và do những người xử lý chuyện này hằng ngày đảm nhận.
- Ghi lại bằng chứng trước khi thay đổi bất cứ điều gì. Một bản báo cáo pháp y từ việc phân tích bên ngoài có giá trị hơn đáng kể so với ảnh chụp một màn hình cài đặt, và luật sư hay cán bộ công an không rành kỹ thuật cũng đọc được.
- Bảo vệ tài khoản từ một thiết bị khác, theo thứ tự này: email trước, vì email dùng để đặt lại mọi thứ khác, rồi đến Apple ID hoặc tài khoản Google, sau đó là ứng dụng nhắn tin và ngân hàng. Vừa làm vừa bật xác thực hai yếu tố, và kiểm tra danh sách thiết bị đang đăng nhập cũng như địa chỉ khôi phục của từng tài khoản. Một email hoặc số điện thoại khôi phục thuộc về người kia sẽ trao lại tài khoản cho họ ngay lập tức.
- Lên kế hoạch gỡ bỏ khi đã có sự hỗ trợ, và quyết định có cân nhắc xem chiếc điện thoại sẽ được làm sạch, thay mới, hay tạm để nguyên như hiện tại. Đôi khi một chiếc điện thoại thứ hai, riêng tư, là lựa chọn an toàn hơn trong khi chiếc thứ nhất vẫn trông bình thường.
- Sau đó mới làm sạch thiết bị, nếu đó vẫn là quyết định đúng: cập nhật hệ điều hành, gỡ những gì đã tìm thấy, và khôi phục cài đặt gốc mà không khôi phục bản sao lưu đáng ngờ.
Cách phát hiện bạn có thể tin cậy
Có một lý do mang tính cấu trúc để phân tích điện thoại từ bên ngoài. Bất kỳ ứng dụng quét nào chạy trên thiết bị đều đang yêu cầu một hệ thống có thể đã bị xâm nhập tự báo cáo về chính nó, và bất cứ thứ gì có quyền truy cập sâu đều có thể nói dối. Phân tích từ máy tính qua cáp không phụ thuộc vào sự hợp tác của điện thoại: nó đọc nội dung của chính điện thoại và tự đưa ra kết luận, và nó tạo ra thứ mà bạn có thể đưa cho người khác.
Đó là điều Haris Shield làm. Nó chạy trên máy tính của bạn, kiểm tra điện thoại qua USB, và tạo ra một bản báo cáo PDF mà bạn có thể đưa cho luật sư, cán bộ công an hoặc nhân viên hỗ trợ thay vì ảnh chụp một trang cài đặt.
Nếu bạn muốn cùng loại phân tích mà không dùng sản phẩm nào, Mobile Verification Toolkit của Amnesty International là mã nguồn mở và được đánh giá cao, và đó là công cụ mà các nhà nghiên cứu công bố về chủ đề này thực sự sử dụng. Nó là công cụ dòng lệnh.
Nơi tìm kiếm sự giúp đỡ
- Coalition Against Stalkerware (Liên minh chống phần mềm theo dõi lén) — hướng dẫn viết cho người bị hại, và danh bạ các tổ chức thành viên: stopstalkerware.org
- National Network to End Domestic Violence, Safety Net — lập kế hoạch an toàn công nghệ: techsafety.org
- Refuge (Anh) — hỗ trợ nạn nhân bị lạm dụng công nghệ: refuge.org.uk
- Access Now Digital Security Helpline — miễn phí, dành cho những người có nguy cơ cao: accessnow.org/help
- Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org
Nếu bạn đang gặp nguy hiểm ngay lúc này, hãy gọi số khẩn cấp tại nơi bạn sống thay vì làm theo một danh sách kiểm tra.
Tóm lại
Phần mềm theo dõi lén dễ tìm hơn phần mềm gián điệp đánh thuê, vì nó cần những quyền hiện ra trong các màn hình cài đặt bình thường: dịch vụ Hỗ trợ tiếp cận, quyền truy cập thông báo và quản trị thiết bị trên Android; cấu hình, thiết bị trong tài khoản và các tính năng chia sẻ trên iPhone. Con đường qua tài khoản đám mây hoàn toàn không cần ứng dụng nào, và là con đường hay bị bỏ sót nhất.
Quét không phải là phần khó. Thứ tự mới là phần khó. Nếu có thể một người trong cuộc sống của bạn đứng sau, hãy xin lời khuyên trước khi thay đổi bất kỳ cài đặt nào, ghi lại bằng chứng trước khi xóa, và bảo vệ tài khoản từ một thiết bị chưa từng nằm trong tay họ.
Nguồn
- Coalition Against Stalkerware, Thông tin dành cho người bị hại: stopstalkerware.org/information-for-survivors
- National Network to End Domestic Violence, dự án Safety Net: techsafety.org
- Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re
- Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org
Đọc thêm: có ai đang theo dõi điện thoại của tôi không và cách gỡ phần mềm gián điệp an toàn.