Nghiên cứu của Mozilla: Ứng dụng theo dõi chu kỳ kinh nguyệt Stardust chia sẻ dữ liệu nhạy cảm với bên thứ ba

Mặc dù trang web của Stardust khẳng định mạnh mẽ rằng “Dữ liệu của bạn là riêng tư”, nhưng một nghiên cứu mới từ Mozilla đã đặt ra dấu hỏi lớn về tuyên bố này. Theo các phát hiện mới nhất, ứng dụng theo dõi chu kỳ kinh nguyệt này đã chia sẻ thông tin sức khỏe nhạy cảm của người dùng với công ty phân tích bên thứ ba là RudderStack.

Dữ liệu bị chia sẻ bao gồm ngày sinh, loại biện pháp tránh thai, mục tiêu sinh sản và các triệu chứng cụ thể. Mặc dù Stardust sử dụng một định danh duy nhất thay vì tên thật, nhưng Ủy ban Thương mại Liên bang (FTC) từ lâu đã cảnh báo rằng phương pháp này không đảm bảo tính ẩn danh hoàn toàn và dữ liệu vẫn có thể bị truy ngược lại danh tính người dùng.

Nghiên cứu của Mozilla, do nhà nghiên cứu bảo mật Shoshana Wodinsky thực hiện bằng cách phân tích lưu lượng mạng của 6 ứng dụng theo dõi chu kỳ, cho thấy Stardust là ứng dụng duy nhất trong nhóm thử nghiệm thực hiện việc chia sẻ dữ liệu nhạy cảm này. Đây là một rủi ro bảo mật đáng kể, vì việc chia sẻ dữ liệu với bên thứ ba làm tăng nguy cơ lộ lọt thông tin trong trường hợp xảy ra sự cố bảo mật hoặc bị cơ quan thực thi pháp luật yêu cầu cung cấp dữ liệu từ server.

Trước đây, Stardust từng vướng vào tranh cãi vào năm 2022 khi tuyên bố sử dụng mã hóa đầu cuối (end-to-end encryption), nhưng các phân tích kỹ thuật sau đó đã bác bỏ tuyên bố này. Phía Stardust hiện khẳng định RudderStack bị ràng buộc bởi hợp đồng không được phép bán hoặc sử dụng dữ liệu cho mục đích riêng, tuy nhiên, cả hai công ty đều có trụ sở tại Mỹ và vẫn phải tuân thủ các yêu cầu pháp lý nếu có lệnh từ cơ quan chức năng.

Trong khi Stardust gây lo ngại, Mozilla đánh giá ứng dụng Euki là lựa chọn an toàn hơn, vì ứng dụng này không chia sẻ dữ liệu với bên thứ ba và thông tin sức khỏe của người dùng được lưu trữ cục bộ trên thiết bị thay vì đẩy lên cloud.

Nguồn tham khảo: TechCrunch