Theo một chuyên gia bảo mật, trình duyệt trong ứng dụng TikTok trên iPhone chèn mã JavaScript vào website ngoài, cho phép TikTok theo dõi mọi thứ người dùng nhập trên bàn phím.
TikTok phủ nhận cáo buộc trình duyệt trong ứng dụng (in-app) theo dõi người dùng của chuyên gia bảo mật Felix Krause. Theo Krause, trình duyệt này theo sát mọi tương tác của người dùng trên bàn phím khi truy cập website bên ngoài, bao gồm cả các thông tin nhạy cảm như mật khẩu, thông tin thẻ tín dụng… cùng các thao tác chạm trên màn hình.
“Từ góc độ kỹ thuật, nó tương đương với việc cài keylogger vào website bên thứ ba”, chuyên gia Krause so sánh. Dù vậy, nhà nghiên cứu này cũng khẳng định một ứng dụng chèn JavaScript vào website bên ngoài không đồng nghĩa ứng dụng làm điều gì độc hại.
Trong tuyên bố chia sẻ với tạp chí Forbes, người phát ngôn TikTok thừa nhận mã JavaScript trong nghi vấn, song nói chỉ dùng cho debug, phát hiện sự cố và giám sát hiệu suất nhằm đảm bảo trải nghiệm người dùng tối ưu, chẳng hạn kiểm tra xem một website tải nhanh không hay có bị gián đoạn không.
Krause khuyến nghị người dùng chuyển sang xem các liên kết trong trình duyệt mặc định của hệ điều hành như Safari trên iPhone, iPad nếu muốn yên tâm hơn.
Cũng theo Krause, Facebook và Instagram là hai ứng dụng chèn mã JavaScript vào website bên ngoài tải trong trình duyệt in-app, cho phép chúng có khả năng theo dõi hoạt động của người dùng. Tuy nhiên, trên Twitter, phát ngôn viên của Meta nói công ty phát triển code này cho những người lựa chọn App Tracking Transparency (minh bạch theo dõi quảng cáo) trên nền tảng.
Krause đã tạo một công cụ đơn giản để mọi người kiểm tra liệu một trình duyệt in-app có chèn mã JavaScript khi truy cập một website hay không. Người dùng chỉ cần mở ứng dụng muốn phân tích, chia sẻ địa chỉ InAppBrowser.com với ai đó qua ứng dụng (chẳng hạn nhắn tin trực tiếp), bấm vào liên kết bên trong ứng dụng để mở nó trong trình duyệt in-app rồi đọc báo cáo chi tiết.
TikTok phủ nhận cáo buộc trình duyệt trong ứng dụng (in-app) theo dõi người dùng của chuyên gia bảo mật Felix Krause. Theo Krause, trình duyệt này theo sát mọi tương tác của người dùng trên bàn phím khi truy cập website bên ngoài, bao gồm cả các thông tin nhạy cảm như mật khẩu, thông tin thẻ tín dụng… cùng các thao tác chạm trên màn hình.
“Từ góc độ kỹ thuật, nó tương đương với việc cài keylogger vào website bên thứ ba”, chuyên gia Krause so sánh. Dù vậy, nhà nghiên cứu này cũng khẳng định một ứng dụng chèn JavaScript vào website bên ngoài không đồng nghĩa ứng dụng làm điều gì độc hại.
Trong tuyên bố chia sẻ với tạp chí Forbes, người phát ngôn TikTok thừa nhận mã JavaScript trong nghi vấn, song nói chỉ dùng cho debug, phát hiện sự cố và giám sát hiệu suất nhằm đảm bảo trải nghiệm người dùng tối ưu, chẳng hạn kiểm tra xem một website tải nhanh không hay có bị gián đoạn không.
Krause khuyến nghị người dùng chuyển sang xem các liên kết trong trình duyệt mặc định của hệ điều hành như Safari trên iPhone, iPad nếu muốn yên tâm hơn.
Cũng theo Krause, Facebook và Instagram là hai ứng dụng chèn mã JavaScript vào website bên ngoài tải trong trình duyệt in-app, cho phép chúng có khả năng theo dõi hoạt động của người dùng. Tuy nhiên, trên Twitter, phát ngôn viên của Meta nói công ty phát triển code này cho những người lựa chọn App Tracking Transparency (minh bạch theo dõi quảng cáo) trên nền tảng.
Krause đã tạo một công cụ đơn giản để mọi người kiểm tra liệu một trình duyệt in-app có chèn mã JavaScript khi truy cập một website hay không. Người dùng chỉ cần mở ứng dụng muốn phân tích, chia sẻ địa chỉ InAppBrowser.com với ai đó qua ứng dụng (chẳng hạn nhắn tin trực tiếp), bấm vào liên kết bên trong ứng dụng để mở nó trong trình duyệt in-app rồi đọc báo cáo chi tiết.
Theo ICT News
