Quyền ứng dụng quyết định một ứng dụng được làm gì trên điện thoại của bạn: đọc tin nhắn, xem ảnh, nghe micro, biết vị trí, hay điều khiển cả màn hình. Nhóm quyền nguy hiểm nhất là quyền trợ năng (accessibility), quyền hiển thị đè lên ứng dụng khác, quyền đọc tin nhắn SMS và thông báo, và quyền quản trị thiết bị. Ứng dụng có những quyền này có thể đọc mã OTP và thao tác thay bạn.
Rà quyền ứng dụng mất khoảng mười phút. Trên Android, vào phần Cài đặt, mục Bảo mật và quyền riêng tư hoặc Quyền riêng tư, tìm trình quản lý quyền. Trên iPhone, vào Cài đặt, mục Quyền riêng tư và bảo mật. Tên mục khác nhau giữa các hãng và phiên bản; nếu không thấy, gõ "quyền" vào ô tìm kiếm của phần Cài đặt.
Quyền ứng dụng là gì, vì sao chuyện này lại quan trọng
Mỗi ứng dụng trên điện thoại chạy trong một "phòng" riêng, mặc định không nhìn sang phòng khác. Muốn dùng máy ảnh, đọc danh bạ hay biết vị trí, ứng dụng phải xin quyền và bạn phải đồng ý. Cơ chế này tốt, nhưng nó chỉ bảo vệ bạn khi bạn đọc câu hỏi trước khi bấm. Phần lớn người dùng bấm Cho phép cho mọi thứ trong lúc vội cài ứng dụng, và quên luôn sau đó.
Hệ quả là sau vài năm, điện thoại tích tụ những ứng dụng có quyền rộng hơn mức cần: ứng dụng đèn pin có quyền đọc danh bạ, trò chơi có quyền micro, ứng dụng chỉnh ảnh có quyền toàn bộ thư viện ảnh, kể cả ảnh căn cước bạn chụp để làm thủ tục. Phần lớn chúng không làm gì xấu. Nhưng khi một ứng dụng bị bán cho chủ mới, bị cài mã độc qua bản cập nhật, hoặc đơn giản là thu thập dữ liệu để bán, quyền bạn đã cấp từ trước là cánh cửa mở sẵn.
Với kẻ lừa đảo nhắm vào tài khoản ngân hàng, mục tiêu không phải ảnh hay vị trí của bạn, mà là những quyền cho phép đọc mã xác thực và thao tác trên màn hình. Đó là lý do vài quyền dưới đây được xếp vào loại phải soi kỹ nhất.
Những quyền cần soi kỹ nhất
Bảng xếp theo mức độ nguy hiểm khi rơi vào tay ứng dụng xấu. Một số quyền chỉ có trên Android, vì iPhone không cho ứng dụng thường xin những quyền đó.
| Quyền | Ứng dụng xấu có thể làm gì | Ứng dụng nào cần thật |
|---|---|---|
| Trợ năng (accessibility), Android | Đọc mọi thứ trên màn hình, tự bấm nút, nhập chữ thay bạn, kể cả trong ứng dụng ngân hàng | Ứng dụng hỗ trợ người khiếm thị, một số ứng dụng quản lý mật khẩu; rất ít ứng dụng khác |
| Hiển thị đè lên ứng dụng khác, Android | Vẽ một màn hình giả lên trên ứng dụng thật để lừa bạn gõ mật khẩu | Bong bóng chat, ứng dụng ghi chú nổi; không phải ứng dụng tiện ích lạ |
| Đọc tin nhắn SMS | Đọc mã OTP gửi về máy | Ứng dụng tin nhắn mặc định; hầu như không ứng dụng nào khác |
| Đọc thông báo | Đọc mã OTP và nội dung tin nhắn hiện trong thông báo | Đồng hồ thông minh, vòng đeo tay |
| Quản trị thiết bị, Android | Ngăn bạn gỡ ứng dụng, khoá máy, xoá dữ liệu | Ứng dụng quản lý của công ty, ứng dụng tìm máy chính chủ |
| Cài ứng dụng không rõ nguồn, Android | Tải thêm ứng dụng khác về máy | Gần như không ai cần với người dùng thường |
| Hồ sơ cấu hình, quản lý thiết bị, iPhone | Cài chứng chỉ, định tuyến lưu lượng, quản lý máy từ xa | Chỉ khi công ty hoặc trường học cấp cho thiết bị được quản lý |
Nguyên tắc dễ nhớ: một ứng dụng xin quyền trợ năng hoặc hiển thị đè mà lý do nghe không thuyết phục, thì đừng cho. Ứng dụng chính thức của ngân hàng, của cơ quan nhà nước không cần bạn bật trợ năng cho chúng. Nếu một người qua điện thoại hướng dẫn bạn vào phần trợ năng để "bật quyền cho ứng dụng", đó là dấu hiệu lừa đảo rõ ràng nhất: cúp máy.
Rà quyền ứng dụng từng bước
Làm một lần thật kỹ, sau đó mỗi vài tháng xem lại nhanh. Với điện thoại của cha mẹ, người thân nên ngồi làm cùng.
- Mở trình quản lý quyền (Android) hoặc mục Quyền riêng tư và bảo mật (iPhone). Danh sách được chia theo loại quyền: vị trí, máy ảnh, micro, danh bạ, ảnh, tin nhắn.
- Với từng loại quyền, xem danh sách ứng dụng đang được cho phép. Thu hồi quyền của những ứng dụng không có lý do dùng, ví dụ trò chơi dùng micro, ứng dụng mua sắm đọc danh bạ.
- Với ảnh, chọn chế độ chỉ cho truy cập ảnh được chọn thay vì toàn bộ thư viện, nếu máy có tuỳ chọn này.
- Với vị trí, chọn chỉ khi đang dùng ứng dụng, và tắt vị trí chính xác cho những ứng dụng chỉ cần biết bạn ở thành phố nào.
- Trên Android, tìm riêng mục Trợ năng trong Cài đặt, xem phần ứng dụng đã tải xuống hoặc dịch vụ đã cài. Mọi ứng dụng bạn không nhận ra trong danh sách đó, tắt và gỡ.
- Tìm mục quyền truy cập đặc biệt (Android): hiển thị trên ứng dụng khác, cài ứng dụng không rõ nguồn, quản trị thiết bị, truy cập thông báo. Thu hồi mọi thứ không cần.
- Trên iPhone, vào phần Cài đặt chung, mục VPN và quản lý thiết bị, xem có hồ sơ cấu hình nào lạ không. Máy cá nhân không do công ty cấp thường không cần hồ sơ nào.
- Gỡ hẳn những ứng dụng không dùng trong ba tháng qua. Ít ứng dụng là ít cửa.
Android bản mới có tính năng tự thu hồi quyền của ứng dụng lâu không dùng, còn cả Android lẫn iOS đều hiện chỉ báo khi ứng dụng đang dùng micro hoặc máy ảnh. Nên giữ các tính năng đó ở trạng thái bật.
Cài ứng dụng ngoài kho chính thức: cánh cửa lớn nhất trên Android
Kho ứng dụng chính thức không hoàn hảo, nhưng có quy trình kiểm duyệt và quét mã độc. Khi bạn tải một tệp cài đặt (tệp APK) từ đường dẫn trong tin nhắn, từ trang web lạ, hay từ nhóm chat, bạn bỏ qua toàn bộ lớp kiểm tra đó. Android cảnh báo khá rõ trước khi cho phép, và muốn cài được bạn phải tự bật quyền cài ứng dụng không rõ nguồn cho trình duyệt hoặc ứng dụng nhắn tin. Chính bước tự tay bật này là điều kẻ xấu cần dụ bạn làm.
Kịch bản quen thuộc là ứng dụng giả mạo một cơ quan, một dịch vụ công, một ngân hàng hoặc một công ty điện nước, được gửi kèm lời giải thích nghe hợp lý: cập nhật thông tin, hoàn tiền, nhận hỗ trợ. Sau khi cài, ứng dụng xin quyền trợ năng, rồi dùng quyền đó để đọc mã và thao tác trên ứng dụng ngân hàng. Chi tiết các kịch bản lừa thuộc về mục Lừa đảo dùng AI; ở đây chỉ cần một quy tắc: chỉ cài ứng dụng từ kho chính thức của điện thoại, tìm bằng tên, kiểm tên nhà phát triển.
Nếu đã lỡ bật quyền cài ứng dụng không rõ nguồn cho trình duyệt hoặc ứng dụng nhắn tin, vào mục quyền truy cập đặc biệt để tắt. Trên iPhone, việc cài ứng dụng ngoài kho bị giới hạn chặt hơn, nhưng kẻ xấu có thể dụ bạn cài hồ sơ cấu hình; quy tắc tương tự: không cài hồ sơ nào do người lạ gửi.
Cập nhật hệ điều hành và ứng dụng: việc nhàm chán nhưng hiệu quả
Vì sao bản cập nhật quan trọng. Phần lớn bản cập nhật bảo mật vá những lỗ hổng đã được phát hiện. Khi bản vá công bố, thông tin về lỗ hổng cũng lan ra, và những máy chưa cập nhật trở thành mục tiêu dễ. Chậm cập nhật vài tháng là để cửa hở trong khi ai cũng biết cửa ở đâu.
Bật cập nhật tự động. Cho cả hệ điều hành và ứng dụng. Chọn cập nhật khi sạc và có Wi-Fi để không tốn dung lượng di động. Nhớ rằng máy có thể khởi động lại ban đêm và hỏi mã PIN SIM nếu bạn đã khoá SIM.
Máy hết hỗ trợ cập nhật. Mỗi hãng chỉ phát hành bản vá cho một đời máy trong một số năm. Khi máy không còn nhận bản vá bảo mật, nó vẫn chạy được nhưng ngày càng hở. Kiểm thông tin hỗ trợ trên trang chính thức của hãng; nếu máy đã hết hạn, không nên dùng nó cho ngân hàng và ví điện tử.
Cập nhật cả ứng dụng ít mở. Ứng dụng bạn mở mỗi tháng một lần vẫn có quyền trên máy. Hoặc giữ nó cập nhật, hoặc gỡ.
Thông báo cập nhật giả. Trang web hiện cửa sổ báo "điện thoại nhiễm virus, cập nhật ngay" kèm nút tải là quảng cáo lừa. Cập nhật thật chỉ đến từ phần Cài đặt của máy hoặc kho ứng dụng chính thức.
Ứng dụng AI trên điện thoại và những quyền chúng xin
Làn sóng ứng dụng AI kéo theo một kiểu xin quyền mới. Ứng dụng chỉnh ảnh bằng AI muốn toàn bộ thư viện ảnh. Trợ lý giọng nói muốn micro luôn bật. Ứng dụng "trợ lý AI" muốn đọc thông báo để tóm tắt tin nhắn hộ bạn. Bàn phím có AI gợi ý câu chữ, theo bản chất của bàn phím, thấy mọi thứ bạn gõ, kể cả mật khẩu và số thẻ nếu ô nhập không được đánh dấu là ô mật khẩu.
Không phải ứng dụng nào trong số đó cũng xấu, nhưng câu hỏi cần đặt là: ai đứng sau, dữ liệu được xử lý trên máy hay gửi lên máy chủ, và quyền xin có tương xứng với việc ứng dụng làm không. Một ứng dụng xoá phông ảnh không cần đọc danh bạ. Với bàn phím, cẩn trọng hơn cả: chỉ dùng bàn phím mặc định của hệ điều hành hoặc của hãng lớn có chính sách rõ ràng, và kiểm phần cài đặt của bàn phím xem có tuỳ chọn gửi dữ liệu gõ phím lên máy chủ không.
Với ảnh, nếu cần dùng một ứng dụng AI xử lý một tấm, cấp quyền chỉ ảnh được chọn thay vì toàn bộ thư viện. Thư viện ảnh của nhiều người chứa ảnh căn cước, ảnh thẻ ngân hàng, ảnh hợp đồng, những thứ không nên đi cùng tấm ảnh chân dung bạn muốn làm đẹp.
Dấu hiệu điện thoại có ứng dụng lạ đang hoạt động
Không dấu hiệu nào dưới đây tự nó chứng minh máy bị nhiễm, nhưng nhiều dấu hiệu cùng lúc là lý do để rà kỹ.
- Pin tụt nhanh và máy nóng khi không dùng, kéo dài nhiều ngày.
- Có ứng dụng bạn không nhớ đã cài, hoặc ứng dụng không có biểu tượng nhưng vẫn xuất hiện trong danh sách ứng dụng của phần Cài đặt.
- Một ứng dụng bạn không nhận ra nằm trong danh sách trợ năng hoặc quản trị thiết bị, và bạn không gỡ được nó.
- Quảng cáo bật lên ngoài màn hình chính, kể cả khi không mở ứng dụng nào.
- Màn hình tự sáng, tự bấm, hoặc bạn nhận được mã OTP mà không yêu cầu.
- Lưu lượng dữ liệu di động tăng bất thường trong phần thống kê dữ liệu.
Nếu thấy nhiều dấu hiệu, đặc biệt là ứng dụng lạ có quyền trợ năng, đừng đăng nhập ngân hàng trên máy đó nữa. Dùng máy khác gọi ngân hàng để tạm khoá dịch vụ ngân hàng điện tử, rồi xử lý máy theo các bước trong mục Khi bị lừa, bị hack, lộ dữ liệu.
Câu hỏi thường gặp
Ứng dụng ngân hàng có bao giờ yêu cầu bật quyền trợ năng không?
Ứng dụng ngân hàng chính thức không cần bạn bật quyền trợ năng để hoạt động. Một số ngân hàng còn chủ động cảnh báo hoặc từ chối chạy khi phát hiện có ứng dụng lạ đang dùng quyền trợ năng trên máy. Nếu ai đó hướng dẫn bạn bật quyền này, coi đó là lừa đảo.
iPhone có an toàn hơn Android về quyền ứng dụng không?
iPhone giới hạn chặt hơn: không cho ứng dụng thường đọc SMS, không có quyền trợ năng kiểu Android, khó cài ứng dụng ngoài kho. Nhưng iPhone vẫn có rủi ro từ hồ sơ cấu hình lạ, ứng dụng xin quyền ảnh và vị trí quá mức, và trang lừa đảo. Mỗi hệ có điểm yếu riêng; thói quen rà quyền áp dụng cho cả hai.
Có cần cài phần mềm diệt virus cho điện thoại không?
Với người dùng cài ứng dụng chỉ từ kho chính thức và giữ máy cập nhật, lớp bảo vệ có sẵn của hệ điều hành thường đủ. Phần mềm bảo mật có thể giúp phát hiện ứng dụng xấu đã biết, nhưng không bù được việc tự cài ứng dụng ngoài kho hay cấp quyền trợ năng bừa. Nếu cài, chỉ chọn từ kho chính thức.
Thu hồi quyền có làm ứng dụng hỏng không?
Ứng dụng sẽ hỏi lại quyền khi cần dùng tính năng liên quan. Ví dụ thu hồi quyền máy ảnh của ứng dụng nhắn tin thì lần sau bấm chụp ảnh nó sẽ xin lại. Bạn cấp lại lúc đó, nếu thấy hợp lý. Thu hồi quyền không xoá dữ liệu của ứng dụng.
Điện thoại cũ không cập nhật được nữa thì nên làm gì?
Nếu chưa đổi máy được, dùng nó cho việc ít rủi ro như nghe gọi, đọc tin, xem video, và chuyển ngân hàng, ví điện tử, email chính sang một máy còn được hỗ trợ. Gỡ các ứng dụng không cần, giữ trình duyệt và ứng dụng còn lại ở bản mới nhất có thể.
Ứng dụng tải từ kho chính thức có thể là ứng dụng xấu không?
Có, dù hiếm hơn nhiều. Ứng dụng xấu đôi khi lọt qua kiểm duyệt, hoặc một ứng dụng tốt bị đổi chủ rồi đổi hành vi. Vì vậy vẫn kiểm tên nhà phát triển, đọc vài đánh giá gần đây, và để ý ứng dụng xin quyền gì so với việc nó làm.