Selfie bí ẩn lúc nửa đêm

Seoul, tháng Tám. Jiyeon — tên đã được thay đổi — là người không tin vào chuyện ma quỷ. Cô học công nghệ thông tin, làm việc tại một công ty phần mềm, sống một mình trong căn hộ studio ở quận Mapo. Khi cô mở thư viện ảnh và thấy dozens bức ảnh selfie của một khuôn mặt xa lạ — được chụp trong bóng tối, góc nhìn từ ngay trên gương mặt đang ngủ của chính cô — phản ứng đầu tiên của cô không phải là sợ hãi. Đó là sự bàng hoàng hoàn toàn của người hiểu đủ về công nghệ để biết điều này không nên xảy ra.

Buổi Sáng Mọi Thứ Thay Đổi

Jiyeon, 29 tuổi, thức dậy vào một sáng thứ Sáu như mọi sáng khác. Cô tắt báo thức, mở điện thoại, định xem tin tức buổi sáng — và vô tình vuốt nhầm sang thư viện ảnh thay vì ứng dụng trình duyệt.

Ảnh mới nhất trong thư viện không phải ảnh cô chụp.

Đó là một khuôn mặt — khuôn mặt của cô — được chụp từ góc cao nhìn xuống, trong bóng tối gần như hoàn toàn chỉ được chiếu sáng bởi ánh đèn ngủ mờ nhạt. Mắt nhắm. Miệng hé. Tóc xòa trên gối. Bức ảnh có dấu thời gian: 2:47 sáng.

Cô vuốt tiếp. Bức ảnh tiếp theo: 2:47 sáng, góc hơi khác. Rồi 2:48. 2:48. 2:49.

Cô vuốt ngược lại xa hơn. Một tuần trước: cũng những bức ảnh như vậy, cũng lúc nửa đêm. Hai tuần trước. Ba tuần. Cô cuộn ngược về tận tháng trước và đếm được 340 bức ảnh mà cô chưa bao giờ chụp, tất cả đều là khuôn mặt cô trong khi ngủ, tất cả đều được chụp từ camera trước của điện thoại đặt trên đầu giường.

Cô ngồi trên giường, điện thoại trên tay, và không cử động trong mười lăm phút.

Người Cô Gọi Đầu Tiên Không Phải Cảnh Sát

Người đầu tiên Jiyeon gọi là đồng nghiệp thân thiết tên Sungho — lập trình viên backend có tiếng là người bình tĩnh nhất bộ phận. Cô đọc đọc đọc lại những gì mình vừa thấy và gửi ảnh chụp màn hình qua KakaoTalk.

Sungho gọi lại trong vòng ba phút. Giọng ông không còn bình tĩnh nữa.

“Mày có cài ứng dụng chỉnh ảnh nào mới gần đây không?”

Có. Khoảng sáu tuần trước, Jiyeon đã cài một ứng dụng tên FaceGlow từ một cửa hàng ứng dụng bên thứ ba — không phải Google Play chính thức mà là một nền tảng phân phối APK phổ biến trong giới dùng Android ở Hàn Quốc. Ứng dụng được quảng cáo là công cụ chỉnh sửa da mặt và ánh sáng cho ảnh selfie, có đánh giá tốt, giao diện đẹp, hoàn toàn miễn phí.

Sungho bảo cô đừng xóa gì. Đừng cập nhật gì. Đừng tắt nguồn điện thoại. Và gọi cho một người ông biết.

Người đó là Ha-eun Lim.

Thám Tử Kỹ Thuật Số

Ha-eun Lim, 38 tuổi, không phải thám tử tư theo nghĩa truyền thống. Bà từng làm phân tích bảo mật cho một tập đoàn viễn thông lớn trước khi mở văn phòng tư vấn độc lập chuyên về điều tra vi phạm quyền riêng tư số và các vụ liên quan đến thiết bị di động. Trong giới an ninh mạng Seoul, bà được biết đến là người có thể đọc một file APK như người khác đọc tiểu thuyết — nhanh, kỹ, và không bỏ sót chi tiết nào.

Khi Jiyeon đến văn phòng vào buổi chiều hôm đó, điều đầu tiên Ha-eun làm là đặt điện thoại vào một túi cách ly tín hiệu Faraday — loại túi chuyên dụng ngăn thiết bị kết nối với bất kỳ mạng nào — và bắt đầu sao lưu toàn bộ dữ liệu sang máy phân tích riêng.

“Cô đến đúng lúc,” Ha-eun nói. “Nhiều người trong trường hợp này xóa ứng dụng ngay khi phát hiện. Như vậy là mất bằng chứng.”

Jiyeon hỏi: “Liệu có ai đang xem ảnh đó không?”

Ha-eun không trả lời ngay. “Hãy để tôi tìm hiểu trước.”

Mổ Xẻ Ứng Dụng

Phân tích file APK của FaceGlow mất gần mười hai tiếng, trải qua hai buổi làm việc. Ha-eun và một cộng sự kỹ thuật ngồi với màn hình code, dịch ngược mã nguồn đã được obfuscate — kỹ thuật cố tình làm rối mã lập trình để che giấu logic thực sự của ứng dụng.

Những gì họ tìm thấy được Ha-eun sau này mô tả là “không phải phức tạp nhất tôi từng thấy, nhưng tinh vi nhất về mặt che giấu mục đích.”

Ứng dụng FaceGlow hoạt động hoàn toàn bình thường như một công cụ chỉnh ảnh: nó nhận ảnh đầu vào, áp dụng các bộ lọc làm mịn da, điều chỉnh ánh sáng, xuất ảnh đã chỉnh. Không có gì đáng ngờ ở lớp ngoài.

Lớp bên trong là câu chuyện khác.

Ẩn sâu trong mã nguồn là một module thứ hai hoàn toàn tách biệt khỏi tính năng chỉnh ảnh. Module này thực hiện ba tác vụ theo lịch trình cố định vào ban đêm:

Tác vụ một: Kiểm tra trạng thái thiết bị. Nếu màn hình tắt liên tục hơn 45 phút — tức là người dùng đang ngủ — module kích hoạt.

Tác vụ hai: Bật camera trước ở chế độ không hiển thị giao diện, không phát âm thanh chụp, không sáng đèn flash. Chụp một loạt ảnh liên tiếp trong khoảng hai đến bốn phút với tần suất mỗi 30 giây.

Tác vụ ba: Nén ảnh, mã hóa, và tải lên một server ở nước ngoài qua kết nối HTTPS ngụy trang dưới dạng traffic phân tích thông thường — loại traffic mà hầu hết người dùng và thậm chí nhiều hệ thống giám sát mạng sẽ bỏ qua.

“Đây không phải code của một kẻ nghiệp dư,” Ha-eun nói với Jiyeon khi trình bày kết quả. “Người viết cái này biết chính xác mình đang làm, biết cần che giấu điều gì và ở đâu, và đã thiết kế để tồn tại qua nhiều lần cập nhật ứng dụng mà không bị phát hiện.”

Server Ở Đâu? Dữ Liệu Đi Về Đâu?

Truy vết địa chỉ IP của server nhận dữ liệu là phần điều tra khó nhất. Server được đặt sau nhiều lớp proxy và sử dụng dịch vụ hosting익명 익명 익명 익명 익명 익명 익명 익명 익명 ẩn danh — loại cơ sở hạ tầng thường được dùng bởi cả các nhà nghiên cứu bảo mật lẫn những người muốn che giấu danh tính.

Ha-eun không thể xác định server thuộc về ai chỉ bằng công cụ kỹ thuật. Nhưng bà xác định được hai điều quan trọng hơn.

Thứ nhất: server không hoạt động đơn độc — dữ liệu từ FaceGlow được gửi đến cùng địa chỉ với dữ liệu từ ít nhất ba ứng dụng khác, tất cả đều là ứng dụng chỉnh ảnh miễn phí phân phối qua cùng nền tảng APK. Tức là Jiyeon không phải mục tiêu duy nhất — đây là một chiến dịch thu thập dữ liệu có hệ thống.

Thứ hai: cấu trúc dữ liệu được gửi đi bao gồm không chỉ ảnh thô mà còn metadata kèm theo — thời gian chụp, góc nghiêng khuôn mặt, ước tính khoảng cách từ camera đến mặt người, và nhãn phân loại biểu cảm khuôn mặt được gắn tự động bằng thuật toán nhận diện chạy ngay trên thiết bị. Nói cách khác: ứng dụng không chỉ chụp ảnh — nó còn phân tích ảnh trước khi gửi đi, và gửi đi dữ liệu đã qua xử lý.

Đây không phải hoạt động của một cá nhân muốn nhìn trộm ai đó ngủ. Đây là hoạt động thu thập dữ liệu huấn luyện cho hệ thống nhận diện khuôn mặt — cụ thể là ảnh khuôn mặt trong trạng thái ngủ, góc nhìn từ trên xuống, không có sự kiểm soát của người bị chụp. Loại dữ liệu mà không thể thu thập hợp pháp và không thể mua được ở bất kỳ đâu.

Tại Sao Ảnh Khuôn Mặt Lúc Ngủ Lại Có Giá Trị?

Ha-eun giải thích cho Jiyeon — và sau này cho các điều tra viên — bằng ngôn ngữ đơn giản nhất có thể.

Các hệ thống nhận diện khuôn mặt, đặc biệt là loại dùng để mở khóa thiết bị hoặc xác thực danh tính, cần được huấn luyện trên dữ liệu đa dạng: khuôn mặt ở nhiều góc độ, nhiều điều kiện ánh sáng, nhiều trạng thái. Khuôn mặt lúc ngủ — mềm cơ, không kiểm soát biểu cảm, ánh sáng yếu — là một trong những tập dữ liệu khó thu thập nhất và có giá trị nhất cho việc huấn luyện hệ thống “bypass” xác thực sinh trắc học.

Nói đơn giản hơn: ai đó đang xây dựng công cụ có khả năng qua mặt hệ thống nhận diện khuôn mặt — loại hệ thống bảo vệ điện thoại, tài khoản ngân hàng, cửa an ninh — và họ cần ảnh khuôn mặt người đang ngủ để làm điều đó.

Jiyeon im lặng nghe. Rồi hỏi một câu mà Ha-eun về sau nói là câu hỏi đúng nhất trong suốt vụ điều tra: “Ảnh của tôi đã bị dùng để mở khóa thiết bị của ai chưa?”

“Chúng tôi không thể biết,” Ha-eun trả lời thẳng. “Đó là điều đáng sợ nhất.”

Từ Điều Tra Tư Đến Vụ Án Hình Sự

Ha-eun không chỉ viết báo cáo cho Jiyeon. Bà liên hệ với Cục Bảo vệ Thông tin Cá nhân Hàn Quốc và Đội điều tra tội phạm mạng của Cảnh sát Quốc gia, đính kèm toàn bộ tài liệu kỹ thuật đã thu thập được.

Jiyeon đồng ý làm người tố cáo chính thức. Đây không phải quyết định dễ dàng — có nghĩa là cô phải thừa nhận công khai rằng hình ảnh của mình trong lúc ngủ đã bị thu thập mà không có sự đồng ý, và cô không biết dữ liệu đó hiện đang ở đâu hay đã được dùng để làm gì.

Vụ điều tra chính thức được mở. Nền tảng APK phân phối FaceGlow và các ứng dụng liên quan bị buộc gỡ xuống. Các nhà phát triển đứng sau ứng dụng — một nhóm nhỏ hoạt động dưới vỏ bọc công ty tư vấn công nghệ đăng ký tại một quốc gia Đông Nam Á — bị truy vết, dù quá trình này mất nhiều tháng và kết quả pháp lý cuối cùng vẫn còn phụ thuộc vào sự hợp tác quốc tế.

Ha-eun được mời làm nhân chứng kỹ thuật tại phiên điều trần trước Ủy ban Quốc hội về bảo vệ dữ liệu cá nhân — một trong những phiên điều trần hiếm hoi mà cả các đại biểu thuộc đảng bảo thủ lẫn cấp tiến đều không có bất đồng nào.

Điều Còn Lại Trong Căn Phòng Tối

Jiyeon thay điện thoại. Xóa tất cả ứng dụng từ nguồn bên thứ ba. Đặt điện thoại vào ngăn kéo trước khi đi ngủ thay vì để trên đầu giường.

Nhưng điều bà Ha-eun nói khi kết thúc vụ việc là điều Jiyeon nhớ lâu nhất:

“Điều đáng sợ không phải là ứng dụng này. Điều đáng sợ là trong ba năm nữa, hệ thống được huấn luyện bằng dữ liệu này có thể đang chạy ở đâu đó — trong một thiết bị bảo mật, một cửa tòa nhà, một máy ATM — và không ai biết rằng dữ liệu đầu vào của nó đến từ những khuôn mặt đang ngủ, được chụp mà không xin phép, trong bóng tối lúc nửa đêm.”

Jiyeon hỏi: “Vậy chúng ta có thể làm gì?”

Ha-eun im lặng một lúc. “Chúng ta đã làm rồi. Nhưng với một trường hợp. Còn bao nhiêu trường hợp khác không có người đủ tình cờ nhìn vào thư viện ảnh đúng buổi sáng đó — tôi không biết.”

Ghi Chú Kỹ Thuật

Vụ việc này phản ánh một lỗ hổng có thật trong hệ sinh thái ứng dụng di động: quyền truy cập camera được cấp một lần khi cài đặt và hiếm khi được người dùng kiểm tra lại. Trên hầu hết thiết bị Android, không có cơ chế nào ngăn ứng dụng đã được cấp quyền camera kích hoạt camera trong nền — trừ khi hệ điều hành phiên bản mới nhất được cài đặt và cài đặt quyền được xem xét kỹ lưỡng.

Một số biện pháp đơn giản có thể giảm thiểu rủi ro: chỉ cài ứng dụng từ kho chính thức, kiểm tra định kỳ danh sách ứng dụng có quyền truy cập camera và microphone, và tắt quyền camera của bất kỳ ứng dụng nào không cần thiết phải dùng camera theo chức năng chính của nó.

Tên nhân vật đã được thay đổi. Vụ việc phản ánh một kịch bản dựa trên các kỹ thuật tấn công quyền riêng tư đã được giới bảo mật ghi nhận. Nếu bạn phát hiện ảnh hoặc video không rõ nguồn gốc trên thiết bị của mình, hãy liên hệ với cơ quan bảo vệ dữ liệu hoặc chuyên gia bảo mật trước khi xóa bằng chứng.