Sợ bị trừng phạt, Google che giấu một lỗi bảo mật nghiêm trọng trong Google+ có từ 3 năm nay
Lỗ hổng bảo mật làm lộ thông tin người dùng này tồn tại trong Google+ từ ba năm nay, và nghiêm trọng hơn, khi Google biết về nó, họ đã giấu nhẹm đi, không thông báo cho mọi người.
Theo một bài đăng trên blog công ty vào hôm qua, Google cho biết thông tin cá nhân của hàng trăm ngàn người dùng mạng xã hội Google+ đã bị tiết lộ. Thông tin này xuất hiện đầu tiên trên tạp chí Wall Street Journal, và trước cả thông báo của Google. Theo báo cáo này, thông tin của người dùng như tên, địa chỉ email, nghề nghiệp, giới tính và độ tuổi đã bị tiết lộ, ngay cả khi dữ liệu này được xem là riêng tư và không được công bố công khai.
Tuy nhiên, Google cho biết không có bằng chứng cho thấy bất cứ nhà phát triển bên thứ ba nào đã biết về lỗi này hay lạm dụng nó. Lỗi này cho thấy bắt đầu xuất hiện từ năm 2015 cho đến 2018, và đang ảnh hưởng đến một API vốn được hàng trăm nhà phát triển truy cập vào.
Công ty cho biết, họ đã đóng lỗi này vào tháng Ba 2018, chỉ một thời gian ngắn sau khi biết về sự xuất hiện của nó. Dựa trên nguồn tin của mình, báo cáo từ WSJ cho biết, công ty đã không báo cáo về nó bởi vì sợ sẽ thu hút "sự quan tâm ngay tức thì của các nhà quản lý" và đẩy Google vào tình trạng giống như Facebook.
Tại thời điểm đó, Facebook đã công khai cho biết rằng, hãng khai thác dữ liệu Cambridge Analytica đã mua bất hợp pháp hàng chục triệu thông tin hồ sơ người dùng từ một nhà phát triển ứng dụng bên thứ ba. Trước đó, nhà phát triển này đã thu thập thông tin từ những người đăng nhập vào một ứng dụng vấn đáp và vô tình cho phép ứng dụng truy cập vào danh sách friend list của mình.
Google cho biết, họ đã phát hiện ra lỗi kia như một phần trong chương trình có tên Project Strobe, được khởi động nhằm "đánh giá việc truy cập của các nhà phát triển bên thứ ba tới dữ liệu trên tài khoản Google và thiết bị Android, và triết lý của chúng tôi xoay quanh việc truy cập dữ liệu ứng dụng,"- theo Ben Smith, tác giả bài đăng trên blog và là phó chủ tịch kỹ thuật.
Hậu quả của vụ rò rỉ này đã buộc công ty phải đóng lại yếu tố giao diện của Google+, với lời nhấn mạnh rằng 90% các phiên truy cập (các session) sẽ chỉ kéo dài không quá 5 giây. Ông Smith cũng cho biết thêm, hồ sơ của khoảng 500.000 người dùng đã bị ảnh hưởng bởi vụ rò rỉ này.
Trong bài đăng của mình, ông Smith lý giải nguyên nhân không công bố lỗi này trước đó:
"Hàng năm chúng tôi đều gửi hàng triệu thông báo đến người dùng về các lỗi và các vấn đề liên quan đến quyền riêng tư cũng như bảo mật. Bất cứ khi nào dữ liệu có thể bị ảnh hưởng, chúng tôi đều đi trước các đòi hỏi pháp lý và áp dụng hàng loạt tiêu chí tập trung vào người dùng của mình để xác định liệu có cung cấp thông báo hay không."
"Phòng bảo vệ Quyền Riêng tư và Dữ liệu của chúng tôi đánh giá vấn đề này, xem xét loại dữ liệu có liên quan, và liệu chúng tôi có thể xác định chính xác người dùng cần thông báo hay không, liệu có bất cứ bằng chứng nào về việc lạm dụng hay không và liệu có bất cứ hành động nào cần nhà phát triển hoặc người dùng phản hồi ngay hay không. Không tiêu chí nào trong số trên phù hợp trong trường hợp này."
Việc Google+ đóng cửa sẽ diễn ra trong 10 tháng tới, kết thúc vào tháng Tám năm 2019. Google vẫn có kế hoạch biến Google+ thành một sản phẩm doanh nghiệp cho các công ty – một động thái kỳ lạ dành cho một sản phẩm đang có một lỗi nghiêm trọng, rộng khắp như vậy ngay trong API cốt lõi của mình, và tồn tại suốt 3 năm nay.
"Chúng tôi quyết định tập trung các nỗ lực vào mảng doanh nghiệp và sẽ đưa ra những tính năng mới được xây dựng với mục đích dành cho doanh nghiệp. Chúng tôi sẽ chia sẻ thêm thông tin trong những ngày tới." Smith cho biết.
