Phân tích kỹ thuật: Claude Code và vấn đề lưu trữ dữ liệu ảnh đã xóa trên Android

• Phát hiện kỹ thuật: Công cụ Claude Code đã truy xuất được hơn 214.000 tệp tin từ thư mục ẩn DCIM/.thumbnails trên thiết bị Google Pixel.
• Bản chất dữ liệu: Phần lớn các tệp tin này là bản sao nén (thumbnail) thay vì tệp gốc, tuy nhiên vẫn tiềm ẩn rủi ro lộ lọt thông tin nhạy cảm.
• Cơ chế Android: Hệ thống quản lý tệp tin của Android sử dụng bộ nhớ đệm để tối ưu hóa hiển thị, dẫn đến việc dữ liệu không bị xóa hoàn toàn khỏi phân vùng lưu trữ ngay lập tức.
• Khuyến nghị bảo mật: Người dùng cần kiểm soát chặt chẽ quyền truy cập tệp tin của ứng dụng và hiểu rõ cơ chế lưu trữ của hệ điều hành.

Tổng quan về sự cố phát hiện dữ liệu ẩn

Gần đây, một người dùng có tên Cooler (@coolerwave) đã công bố kết quả thử nghiệm sử dụng công cụ Claude Code để quét thiết bị Google Pixel, qua đó phát hiện hơn 214.856 tệp tin liên quan đến ảnh và video đã bị xóa trước đó. Sự việc này đã làm dấy lên những cuộc thảo luận sôi nổi trong cộng đồng an ninh mạng về cách thức Android quản lý dữ liệu người dùng và các rủi ro tiềm ẩn liên quan đến quyền riêng tư.

Theo báo cáo, người dùng đã kết nối thiết bị Pixel với MacBook và yêu cầu Claude Code thực hiện truy vấn các tệp tin media còn sót lại. Kết quả trả về cho thấy sự tồn tại của thư mục ẩn DCIM/.thumbnails, nơi lưu trữ các bản xem trước (preview) của hình ảnh. Mặc dù các tệp tin gốc đã được xóa khỏi thư viện ảnh và MediaStore, các bản sao nén này vẫn tồn tại trong hệ thống tệp tin.

Phân tích kỹ thuật về cơ chế lưu trữ của Android

Để hiểu rõ tại sao dữ liệu vẫn tồn tại, cần xem xét cách Android xử lý tệp tin media. Hệ điều hành Android sử dụng cơ chế tạo thumbnail để tăng tốc độ hiển thị trong các ứng dụng thư viện ảnh. Khi một tệp tin được xóa, hệ thống thường chỉ đánh dấu không gian đó là trống trong bảng mục lục tệp (file index), nhưng dữ liệu thực tế trong các thư mục cache hoặc thumbnail có thể chưa bị ghi đè ngay lập tức.

Phân biệt giữa Thumbnail và tệp gốc

Cần lưu ý rằng việc tìm thấy một tệp tin trong thư mục .thumbnails không đồng nghĩa với việc khôi phục thành công tệp tin gốc. Các tệp tin này thường là phiên bản nén, có độ phân giải thấp hơn nhiều so với ảnh gốc. Tuy nhiên, trong một số trường hợp, các tệp tin này vẫn chứa đủ thông tin để nhận diện nội dung nhạy cảm như ảnh hộ chiếu, ảnh chụp màn hình ngân hàng hoặc các thông tin cá nhân khác.

Đánh giá về quyền truy cập và rủi ro bảo mật

Một trong những lo ngại lớn nhất được nêu ra là liệu bất kỳ ứng dụng nào có quyền truy cập bộ nhớ cũng có thể đọc được các tệp tin này hay không. Trên thực tế, Android đã áp dụng cơ chế Scoped Storage từ phiên bản Android 11 trở đi, giúp giới hạn quyền truy cập của ứng dụng vào các thư mục cụ thể thay vì toàn bộ hệ thống tệp tin.

Tuy nhiên, các ứng dụng được cấp quyền MANAGE_EXTERNAL_STORAGE (All files access) vẫn có khả năng truy cập vào các phân vùng lưu trữ chia sẻ. Điều này tạo ra một bề mặt tấn công nếu người dùng vô tình cấp quyền này cho các ứng dụng độc hại. Các chuyên gia an ninh mạng khuyến cáo người dùng nên thực hiện các bước sau để tăng cường bảo mật:

• Kiểm tra quyền ứng dụng: Truy cập vào Settings > Apps > Special app access > All files access để rà soát và thu hồi quyền của các ứng dụng không cần thiết.
• Sử dụng tính năng chia sẻ ảnh chọn lọc: Trên Android 14, hãy ưu tiên sử dụng tính năng chỉ chia sẻ các ảnh cụ thể thay vì cấp quyền truy cập toàn bộ thư viện.
• Quản lý sao lưu đám mây: Sử dụng tính năng "Free up space" của Google Photos để đảm bảo các bản sao cục bộ được xóa bỏ một cách an toàn sau khi đã đồng bộ lên đám mây.

Sự việc này một lần nữa nhấn mạnh tầm quan trọng của việc hiểu rõ kiến trúc lưu trữ trên thiết bị di động. Việc sử dụng các công cụ AI như Claude Code để kiểm tra hệ thống là một xu hướng mới trong việc săn tìm các dấu vết dữ liệu (digital forensics), nhưng kết quả cần được kiểm chứng độc lập để tránh các suy diễn sai lệch về mức độ nghiêm trọng của lỗ hổng.