Nếu tin tức nhà mạng bán dữ liệu vị trí cho săn tiền thưởng (bounty hunters) làm bạn ngạc nhiên, bạn cần cập nhật tin tức privacy vài năm qua. Nếu bạn vốn dĩ hoài nghi nơi thu thập dữ liệu – chúc mừng, bạn đúng (lại). AT&T, Sprint, T-Mobile, Verizon bị kiện tập thể vì bán dữ liệu vị trí real-time cho data broker, sau đó bán lại cho người muốn tìm bạn – đặc biệt "quan chức bán chuyên nghiệp" như người bảo lãnh tù, săn tiền thưởng.
Tóm Tắt Vụ Việc
Luật sư ZLaw Firm (Maryland) kiện 4 nhà mạng lớn Mỹ ngày 2/5/2019 thay mặt khách hàng bị ảnh hưởng. Kiện cáo: cung cấp dữ liệu vị trí real-time cho công ty không nên có quyền truy cập. Thời gian ~4 năm (2015-2019), không có nghĩa là chỉ giới hạn trong khung này.
Bạn có thể chấp nhận NSA theo dõi, nhưng rùng mình khi phát hiện "một anh chàng có súng taser và laptop" cũng làm được. Vice's Motherboard (phá vụ này) trả $300 cho săn tiền thưởng định vị điện thoại họ – nhờ chuỗi data broker chuyển dữ liệu từ nhà mạng.
Vụ kiện tập thể → người bị ảnh hưởng có thể được bồi thường (chi tiết sau). Mục tiêu thực: buộc nhà mạng ngừng bán dữ liệu nhạy cảm – hoặc ít nhất cẩn trọng hơn.
Thực Tế Đã Xảy Ra Gì?
2018: Scandal Securus (công nghệ nhà tù) cấp quyền truy cập vị trí hầu như mọi điện thoại trên các carrier lớn cho cảnh sát cấp thấp. Mức giám sát này thường cần lệnhbring (warrant) tại Mỹ, nhưng Securus dùng trung gian LocationSmart – ai cũng đăng ký dùng thử miễn phí được → truy cập vị trí hầu hết điện thoại Mỹ.
Dữ liệu ở đây không phải GPS – là vị trí ước lượng qua cường độ tín hiệu tháp sóng (cần thiết để cung cấp dịch vụ). Nhưng đôi khi dữ liệu cho săn tiền thưởng có GPS → định vị chính xác vài mét.
Sau scandal 2018 (kể cả Securus bị hack – công cụ theo dõi real-time có thể rơi tay ai đó), mọi carrier cam kết khóa lỗ hổng, ngừng chia sẻ dữ liệu nhạy cảm cho bên thứ 3 đáng ngờ. Nhưng Motherboard vẫn truy vết được luồng dữ liệu → cam kết không được thi hành.
Quy trình vận hành:
- Data aggregator (Zumigo) mua dữ liệu khách hàng từ carrier. Dùng cho phòng chống gian lận, marketing...
- Zumigo bán lại cho dịch vụ khác, trong đó Microbilt – dùng truy cập mua từ Zumigo bán dịch vụ: background check, credit check, theo dõi người vi phạm bảo lãnh. Microbilt có bảng giá dịch vụ này.
- Người dùng dịch vụ (săn tiền thưởng, chủ nhà cho thuê...) trả tiền → dùng dữ liệu vị trí của bạn.
Quá trình rườm rà nhưng dữ liệu xuất phát từ carrier. Nếu carrier chặn truy cập bên thứ 3 lạm dụng → không còn vấn đề. Nhưng dường như họ không làm.
Săn Tiền Thưởng Không Nhắm Vào Tôi, Sao Phải Lo?
Bạn không phải Han Solo, dữ liệu vị trí có thể không bị ai kéo cụ thể. Nhưng đã có trường hợp người có quyền truy cập dùng công cụ cho mục đích "ngoài giờ": theo dõi người yêu. Không phổ biến với đại chúng, nhưng thực tế: công cụ cho phép một số người tìm bạn ở đâu đấy – nhà tuyển dụng check tần suất đi tâm lý, marketing xây profile bạn.
Không chỉ theo dõi cá nhân: dữ liệu vị trí tổng hợp phân tích xu hướng di chuyển. Thu thập ẩn danh, dùng đúng → thiết kế hệ thống tốt. Nhưng "phun" dữ liệu ra ngoài không kiểm soát tay ai → vi phạm niềm tin, ý tưởng tồi.