6 nhóm chuyên gia an ninh đến từ châu Á, châu Âu và Mỹ đã cùng tham gia vào cuộc điều tra của CNN. Những gì phát hiện được cũng khiến chính họ phải ngạc nhiên thốt lên: 'Tôi chưa từng thấy thứ gì như thế này!'

Phát hiện gây sốc

Theo hãng tin CNN (Mỹ), Pinduoduo là một trong những ứng dụng mua sắm phổ biến nhất của Trung Quốc, cung cấp đủ các loại mặt hàng quần áo, nhu yếu phẩm… cho hơn 750 triệu người dùng mỗi ngày.

Thế nhưng mới đây, các chuyên gia an ninh mạng lên tiếng cảnh báo rằng, Pinduoduo có thể vượt qua hàng rào bảo vệ trên điện thoại di động của người dùng để theo dõi hoạt động của họ trên các ứng dụng khác, thậm chí kiểm tra thông báo, đọc tin nhắn riêng tư và thay đổi cài đặt của người dùng.

Mặc dù có nhiều ứng dụng khác hiện nay cũng đang thu thập một lượng lớn dữ liệu người dùng trong khi không có được sự đồng ý rõ ràng từ họ nhưng các chuyên gia cho biết, "gã khổng lồ thương mại điện tử" Pinduoduo đã đưa các hành vi vi phạm quyền riêng tư và bảo mật dữ liệu lên một tầm cao mới.

Trong cuộc điều tra chi tiết của mình, phóng viên CNN đã trao đổi với các nhóm chuyên gia an ninh đến từ châu Á, châu Âu và Mỹ, cũng như nhiều nhân viên cũ và nhân viên hiện tại của Pinduoduo.

Kết quả, nhiều chuyên gia đã xác định sự hiện diện của phần mềm độc hại trên ứng dụng Pinduoduo. Mục đích của nó là khai thác các lỗ hổng trong hệ điều hành Android.

Các nhân viên của Pinduoduo thì cho biết, việc khai thác dữ liệu được công ty này sử dụng để theo dõi người dùng và các đối thủ cạnh tranh, từ đó thúc đẩy doanh số bán hàng.

Mikko Hyppönen, giám đốc nghiên cứu của WithSecure, một công ty an ninh mạng của Phần Lan cho hay: "Chúng tôi chưa từng thấy một ứng dụng chính thống nào lại tìm cách leo thang các đặc quyền của mình để có được quyền truy cập vào những thứ mà đáng ra nó không được phép. Điều này rất bất thường, và thật tai hại cho Pinduoduo".

Trước đó, trong tháng 3 vừa qua, Google đã quyết định đình chỉ hoạt động của ứng dụng Pinduoduo trên cửa hàng Google Play với lý do có phần mềm độc hại xuất hiện trong một số phiên bản của ứng dụng này.

Báo cáo của Bloomberg cho biết, một công ty an ninh mạng của Nga cũng đã xác định thấy rằng có phần mềm độc hại tiềm ẩn trong ứng dụng Pinduoduo.

Về phần mình, Pinduoduo bác bỏ các suy đoán và cáo buộc cho rằng ứng dụng của công ty này là độc hại.

CNN đã nhiều lần liên hệ với PDD qua email và điện thoại để đề nghị họ đưa ra bình luận liên quan tới vụ việc nhưng không nhận được bất cứ phản hồi nào.

'Đội quân bí mật" của Pinduoduo

Theo một nhân viên giấu tên đang làm việc tại Pinduoduo, năm 2010, công ty này đã thành lập một nhóm gồm khoảng 100 kỹ sư và giám đốc sản phẩm để tìm kiếm lỗ hổng trên điện thoại Android và phát triển cách khai thác chúng.

Ban đầu công ty chỉ nhắm mục tiêu tới người dùng ở khu vực nông thôn và các thị trấn nhỏ, tránh nhắm vào người dùng ở các siêu đô thị như Bắc Kinh và Thượng Hải.

"Mục đích là giảm nguy cơ bị lộ" – Người này nói.

Bằng cách thu thập dữ liệu mở rộng về hoạt động của người dùng, Pinduoduo đã có thể tạo ra một bức tranh toàn diện về thói quen và sở thích của họ, từ đó cải tiến mô hình máy học để cung cấp nhiều thông báo đẩy và quảng cáo được cá nhân hóa, thu hút người dùng mở ứng dụng và đặt hàng.

Nguồn tin cho biết thêm rằng, nhóm này đã bị giải tán vào đầu tháng 3 vừa qua sau khi những nghi vấn về hoạt động của họ được đưa ra ánh sáng.

Các chuyên gia tìm thấy gì?

Sau khi CNN liên hệ, các nhà nghiên cứu từ công ty mạng Check Point Research có trụ sở tại Tel Aviv (Israel), công ty bảo mật ứng dụng Oversecured ở Delaware (Mỹ) và WithSecure (Phần Lan) đã tiến hành phân tích độc lập phiên bản 6.49.0 của ứng dụng Pinduoduo, được phát hành trên các cửa hàng ứng dụng của Trung Quốc cuối tháng Hai vừa qua.

Do Google Play không khả dụng ở Trung Quốc nên người dùng Android ở quốc gia này đã tải ứng dụng từ các cửa hàng ứng dụng nội địa. Vào tháng 3, khi đình chỉ ứng dụng Pinduoduo, Google cũng cho biết, họ đã tìm thấy phần mềm độc hại trong các phiên bản off-Play (không có trên cửa hàng Google Play) của ứng dụng này.

Các chuyên gia đã tìm thấy đoạn mã được lập trình để tấn công khai thác một hệ điều hành có nhiều lỗ hổng, nhằm đạt được mức truy cập dữ liệu cao hơn so với mức cần thiết.

"Nhóm của chúng tôi đã phân tích ngược mã đó. Chúng tôi có thể xác nhận rằng nó đang cố giành quyền truy cập vào những thứ mà ứng dụng bình thường không thể thực hiện được trên điện thoại Android" – Giám đốc nghiên cứu Mikko Hyppönen của WithSecure cho hay.

Ông Hyppönen cho biết thêm rằng, ứng dụng này có thể tiếp tục chạy trong nền và không bị gỡ cài đặt hoàn toàn. Điều đó cho phép nó tăng tỷ lệ người dùng hoạt động (active user) hàng tháng. Nó cũng có khả năng theo dõi đối thủ cạnh tranh bằng cách theo dõi hoạt động của người dùng trên các ứng dụng mua sắm khác và lấy thông tin từ họ.

Check Point Research cũng tìm ra những cách mà ứng dụng này có thể trốn tránh sự giám sát. Cụ thể, nó đã triển khai một phương pháp cho phép đẩy các bản cập nhật mà không cần thông qua quy trình đánh giá của cửa hàng ứng dụng nhằm phát hiện ứng dụng độc hại. Ngoài ra, các thành phần độc hại tiềm ẩn còn được che giấu dưới dạng các tên tệp hợp pháp.

"Kỹ thuật này được các bên phát triển phần mềm độc hại sử dụng rộng rãi nhằm tiêm mã độc vào các ứng dụng có chức năng hợp pháp" – Các nhà phân tích cho hay.

Sergey Toshin, người sáng lập Oversecured, cho biết phần mềm độc hại của Pinduoduo nhắm mục tiêu cụ thể vào các hệ điều hành dựa trên Android, bao gồm cả những hệ điều hành đang được Samsung, Huawei, Xiaomi và Oppo sử dụng.

Ông Toshin gọi Pinduoduo là "phần mềm độc hại nguy hiểm nhất" từng được tìm thấy trong số các ứng dụng chính thống.

"Tôi chưa bao giờ thấy bất cứ thứ gì như thế trước đây" – Ông Toshin nói, đồng thời cho biết thêm rằng Pinduoduo đã khai thác khoảng 50 lỗ hổng trên hệ điều hành Android.

Việc khai thác này đã cho phép Pinduoduo truy cập vào vị trí, danh bạ, lịch, thông báo và album ảnh của người dùng mà không cần sự đồng ý của họ. Nó thậm chí có thể thay đổi cài đặt hệ thống, truy cập vào các tài khoản mạng xã hội và các cuộc trò chuyện của người dùng.

Trong số 6 nhóm nghiên cứu mà CNN đã liên hệ, có 3 nhóm không tiến hành kiểm tra sâu. Tuy nhiên, các đánh giá sơ bộ của họ đều cho thấy Pinduoduo đã yêu cầu một số lượng lớn các quyền vượt quá các chức năng thông thường của một ứng dụng mua sắm.

Chúng bao gồm cả "các quyền mang tính xâm phạm" như "đặt hình nền" và "tải xuống mà không cần thông báo".

Hiện CNN đã liên hệ với Bộ Công nghiệp và Công nghệ thông tin và Cục quản lý không gian mạng Trung Quốc để đề nghị bình luận, nhưng chưa nhận được phản hồi.