Theo dõi cài sẵn trên điện thoại Android Trung Quốc: điều gì đã được chứng minh và cách tự bảo vệ

Nền tảng nhà phát triển HyperOS của Xiaomi công bố bản mô tả dịch vụ “phát hiện hành vi lừa đảo trên thiết bị” (cập nhật ngày 15/4/2026), cung cấp cho các công ty đối tác. Ứng dụng của đối tác có thể truy vấn “điểm rủi ro lừa đảo” của một điện thoại, từ 0 đến 100; đối tác cấp sâu hơn có thể truy vấn các hành vi cụ thể trong 72 giờ qua: chụp màn hình, quay hoặc chia sẻ màn hình, chế độ máy bay, chuyển tiếp cuộc gọi, cài ứng dụng điều khiển từ xa, tài chính, cho vay, ứng dụng “không xác định được” hoặc “đáng ngờ”, gọi quốc tế, truy cập các địa chỉ bị gắn cờ.

Tài liệu cho biết việc phát hiện vẫn hoạt động kể cả khi người dùng xóa nhật ký cuộc gọi hoặc xóa ứng dụng, và một ứng dụng đã cài vẫn bị tính dù đã gỡ trong thời hạn hiệu lực. Dịch vụ áp dụng cho thiết bị bản Trung Quốc đại lục chạy HyperOS 3.1 trở lên, gồm điện thoại và máy tính bảng. Tài liệu không nói dữ liệu được chuyển cho công an, cũng không nói người dùng tắt nó bằng cách nào.

• Bàn phím (Citizen Lab, tháng 4/2024): trong bàn phím pinyin của chín hãng (Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo, Xiaomi), tám hãng có lỗ hổng cho phép kẻ nghe lén trên mạng đọc được những gì bạn gõ, ảnh hưởng tới gần 1 tỷ người dùng. Phần lớn đã được vá; các nhà nghiên cứu vẫn khuyên dùng bàn phím chỉ gợi ý từ ngay trên máy.
• Ứng dụng cài sẵn (Đại học Edinburgh và Trinity College Dublin, 2023): trên điện thoại Xiaomi, OnePlus và OPPO/realme mua ở Trung Quốc, các ứng dụng cài sẵn gửi mã định danh thiết bị, vị trí, số điện thoại và dữ liệu sử dụng ứng dụng cho nhà sản xuất và bên thứ ba, kể cả khi đã từ chối chia sẻ dữ liệu sử dụng lúc cài đặt máy, và vẫn tiếp tục gửi khi ở nước ngoài.
• Danh sách từ khóa (Bộ Quốc phòng Litva, 2021): các ứng dụng hệ thống trên một chiếc Xiaomi Mi 10T chứa danh sách 449 từ cần chặn, bị tắt ở khu vực EU nhưng có thể bật từ xa. Xiaomi phủ nhận việc hạn chế liên lạc của người dùng.

Một báo cáo đăng trên GitHub đã phân tích một chiếc điện thoại Xiaomi chạy HyperOS 3.0. Thành phần cài sẵn SystemHelper của China Unicom (gói com.mobiletools.systemhelper) cứ 30 phút lại thu thập vị trí (chính xác tới 6 chữ số thập phân), trạm phát sóng và các mạng Wi-Fi xung quanh, rồi cùng với mã định danh thiết bị và SIM, danh sách ứng dụng đã cài và dữ liệu sử dụng, định kỳ gửi về máy chủ của Unicom qua HTTP thường, được mã hóa bằng một khóa sinh ra từ chính nội dung đó. Nó không có biểu tượng, không hiện trong danh sách ứng dụng và không có công tắc tắt. Một bản phân tích khác cho thấy nó vẫn đăng ký với Unicom ngay cả khi lắp SIM của China Mobile.

Không chỉ có Xiaomi. Thuộc tính hệ thống của vivo có nhắc tên gói này (một issue công khai trên GitHub), và trên vivo X200S bản Trung Quốc đại lục thì nhìn thấy được nó, nhưng nút “Gỡ cài đặt” và “Buộc dừng” bị làm mờ; nó cũng có trong danh sách ứng dụng cài sẵn của OPPO và realme. Chính mã nguồn của thành phần này liệt kê một loạt thương hiệu — Samsung, Motorola, Nubia, OnePlus, ZTE và một số hãng khác — nên điện thoại Samsung bản Trung Quốc đại lục cũng nằm trong phạm vi của nó, dù chưa ai công bố việc tìm thấy nó trong firmware của Samsung. Huawei và Honor không có trong danh sách.

Tác giả báo cáo lưu ý rằng mới chỉ thử trên một thiết bị và không đưa ra nhận định nào về ý định của nhà phát triển.

• “Thành phần bảo mật cứ vài giây lại quay màn hình rồi tải lên”: bài đăng phân tích ngược của một người dùng; báo cáo ở trên không thấy kiểu tải lên như vậy từ loại thành phần đó.
• “Điện thoại Samsung bản Trung Quốc đại lục đã cài sẵn nó”: hiện mới chỉ có danh sách thương hiệu trong mã của thành phần; chưa có bằng chứng từ firmware của Samsung.
• “Ai cài X hoặc Telegram thì bị công an gọi điện bảo gỡ”: lời kể qua người khác; không có cách nào xác minh rằng việc báo cáo của điện thoại là nguyên nhân.
• Chúng tôi không đưa những điều này ra như sự thật. Điều đó không có nghĩa là chúng sai; chỉ là mỗi điều vẫn còn thiếu một nguồn độc lập thứ hai.

VPN mã hóa lưu lượng giữa thiết bị của bạn và máy chủ, nên nhà mạng và tường lửa không thấy bạn vào trang nào. Nhưng hệ thống của điện thoại nằm ở phía đầu đường hầm của bạn: nó biết bạn cài ứng dụng VPN nào, mở lúc nào và dùng bao lâu. Năm 2023, trung tâm bảo mật của Xiaomi gắn cờ Telegram là “không vượt qua kiểm tra bảo mật” và chặn không cho cài.

Vì vậy, đường truyền dù tốt đến đâu cũng không sửa được những gì xảy ra ngay trên điện thoại. Điều có ích là để điện thoại biết về bạn ít hơn.

1. Giữ những thứ quan trọng trên một hệ thống không do nhà sản xuất Trung Quốc đại lục vận hành: iPhone, hoặc điện thoại Android chạy firmware bản quốc tế. Điện thoại Android bản Trung Quốc đại lục vẫn dùng tốt hằng ngày, chỉ đừng dùng cho bất cứ thứ gì bạn ngại bị người khác thấy.
2. Tắt “nhập liệu đám mây” hoặc “gợi ý đám mây” trong bàn phím, hoặc chuyển sang bàn phím chỉ hoạt động trên máy.
3. Rà lại quyền ứng dụng trong Cài đặt, tắt quyền truy cập vị trí, danh bạ và danh sách ứng dụng với mọi ứng dụng không cần đến; nếu được, tắt “phát hiện lừa đảo” hoặc “quét bảo mật” trong ứng dụng bảo mật hoặc trình quản lý điện thoại.
4. Đừng root hay flash lại máy để gỡ các thành phần cài sẵn; với đa số người, làm hỏng thì thiệt nhiều hơn được, mà các mô-đun chặn của cộng đồng đều cần root, có sự cố cũng không ai giúp.
5. Đừng cài ứng dụng VPN trên điện thoại: dùng router ở nhà đã cài sẵn đường truyền, điện thoại chỉ cần vào Wi-Fi là đã vượt tường lửa, còn hệ thống chỉ thấy một mạng Wi-Fi bình thường.

Những gì chúng tôi làm được: mã hóa lưu lượng mạng của bạn và không ghi lại bạn vào trang nào. Ứng dụng kết nối của chúng tôi là loại tiêu chuẩn (Cisco, OpenVPN, Hiddify, Tailscale), không chỉnh sửa. Và với cách dùng qua router thì trên điện thoại hoàn toàn không có ứng dụng VPN.

Những gì chúng tôi không làm được: ngăn hệ thống của chính điện thoại gửi báo cáo. Chỉ có đổi sang thiết bị khác, siết quyền ứng dụng và không để những thứ nhạy cảm trên firmware bản Trung Quốc đại lục mới giúp được việc đó.