Một nhà nghiên cứu đã thực hiện reverse-engineered (đảo ngược kỹ thuật) iOS SDK mà Bright Data tích hợp vào các ứng dụng tiêu dùng và ghi lại cách nó biến các thiết bị, bao gồm cả Smart TV luôn bật, thành các nút thoát (exit nodes) để chuyển tiếp lưu lượng web-scraping cho một doanh nghiệp kinh doanh dữ liệu mà Bright Data đang tiếp thị mạnh mẽ cho ngành công nghiệp AI.
Công ty này, tiền thân của Luminati, vận hành cái mà họ gọi là mạng residential proxy lớn nhất thế giới, được quảng cáo là có hơn 400 triệu IP dân cư. Một phần nguồn cung đó đến từ SDK này, được cài đặt bên trong các ứng dụng miễn phí sau màn hình chọn tham gia (opt-in) và được mô tả là một nhóm gồm hơn 150 triệu IP có nguồn gốc từ sự đồng ý của người dùng.
Các phát hiện được công bố vào ngày 5 tháng 6 bởi Include Security và nhà nghiên cứu độc lập Buchodi, là vấn đề đáng quan tâm vì việc thu thập dữ liệu (scraping) đến từ IP nhà riêng của người dùng chứ không phải của khách hàng. Rủi ro trước mắt không phải là một tài khoản bị hack hay dữ liệu bị đánh cắp; mà là kết nối gia đình và băng thông của bạn đang bị sử dụng làm hạ tầng thu thập dữ liệu cho người khác.
Một chiếc TV có kết nối mạng là lựa chọn lý tưởng cho việc này: thường xuyên được cắm điện, có kết nối tốc độ cao, hiệu quả về lưu lượng không giới hạn và thường không được giám sát.
Bằng chứng kỹ thuật sâu nhất đến từ iOS SDK; khả năng tiếp cận Smart TV dựa trên sự hỗ trợ nền tảng của Bright Data, danh sách đối tác công khai và các báo cáo trước đó. Nghiên cứu phát hiện ra rằng kênh ngang hàng truyền tải các tác vụ scraping không có xác thực thực sự và trên iOS, lưu lượng của nó còn bỏ qua cả VPN đã được cấu hình.
Bên trong đường hầm ngang hàng
Khi ứng dụng mở ra, SDK sẽ liên hệ với một trong các máy chủ của Bright Data, máy chủ này sẽ đưa ra các hướng dẫn mà không thực sự kiểm tra ai đang yêu cầu. Từ đó trở đi, máy chủ có thể yêu cầu thiết bị đi truy cập và lấy các trang web từ những trang web khác, sử dụng kết nối internet tại nhà của người dùng để thực hiện việc đó.
Nhà nghiên cứu nhận thấy kênh truyền tải các tác vụ đó không có bất kỳ bước kiểm tra an ninh thông thường nào và mô tả nó còn yếu hơn cả các biện pháp kiểm soát được tích hợp trong hầu hết các phần mềm độc hại (malware).
Trên iPhone, nhà nghiên cứu phát hiện ra rằng lưu lượng này lọt qua cả VPN và phần lớn những gì ứng dụng thực hiện không hiển thị trong các công cụ mà các nhóm bảo mật thường sử dụng để giám sát ứng dụng. Thiết bị cũng có thể tiếp tục chuyển tiếp dữ liệu ở chế độ chạy nền trong khi ai đó đang xem màn hình hoặc đang gọi điện, miễn là pin không ở mức thấp.
Khoảng cách về sự đồng thuận
Màn hình lựa chọn tham gia (opt-in) không khớp với những gì SDK thực sự cho phép. Trong một ứng dụng Roku có tên Petflix, màn hình cho biết nó sẽ sử dụng thiết bị và kết nối của bạn "thỉnh thoảng".
Tuy nhiên, các cài đặt mà SDK tải lên cho phép lưu lượng lên tới 200 GB mỗi tháng. Ở một số quốc gia, bao gồm Uzbekistan và Oman, các giới hạn được thiết lập cao hơn nhiều và thiết bị được phép tiếp tục hoạt động cho đến khi pin gần như cạn kiệt. SDK cũng có thể liên kết điện thoại và máy tính của một người chạy ứng dụng của cùng một công ty, coi họ như một người dùng duy nhất.
Bright Data công khai danh sách các đối tác ứng dụng của mình trên một trang web mà bất kỳ ai cũng có thể truy cập, bao gồm các nhà sản xuất ứng dụng Smart TV như PlayWorks Digital, CloudTV và Longvision. Nhà nghiên cứu lưu ý rằng việc có tên trong danh sách chỉ cho thấy một công ty đã từng làm việc với Bright Data tại một thời điểm nào đó, chứ không có nghĩa là ứng dụng của họ có chứa SDK vào ngày hôm nay. Mỗi ứng dụng sẽ cần được kiểm tra riêng lẻ.
Một mô hình cũ được thúc đẩy bởi nhu cầu AI
Không có điều gì trong số này là mới về hình thức, chỉ mới về quy mô. Bright Data là người kế nhiệm của Luminati, dịch vụ proxy trả phí phát triển từ Hola VPN. Vào năm 2015, Hola đã bị bắt gặp bán băng thông của người dùng miễn phí làm các exit nodes thông qua Luminati với giá 20 USD/GB. Mô hình tương tự hiện đang chạy trên chiếc TV luôn bật trong phòng khách của bạn.
Điều thay đổi là người mua. Các hệ thống phòng thủ chống bot từ Cloudflare, DataDome và các bên khác chặn các trình thu thập dữ liệu (scrapers) đến từ các IP của trung tâm dữ liệu (datacenter IPs), vì vậy các trình thu thập dữ liệu AI chuyển hướng qua các kết nối dân cư (residential connections) để thay thế.
Krebs đã báo cáo vào tháng 10 năm 2025 rằng các proxy từ các botnet như Aisuru đang thúc đẩy việc thu thập dữ liệu AI quy mô lớn, và Google đã triệt phá mạng lưới proxy tội phạm IPIDEA vào tháng 1. Những hoạt động đó chiếm quyền điều khiển thiết bị của người tiêu dùng; Bright Data cho biết các exit nodes của họ tham gia thông qua màn hình đồng thuận. Sự đồng thuận đó là ranh giới giữa hai bên, và liệu nó có ý nghĩa hay không vẫn là một câu hỏi mở.
Lowpass (được The Verge đăng tải lại) lần đầu tiên đưa ra góc nhìn về Smart TV vào tháng 2, và đây là bài phân tích kỹ thuật chi tiết. Google, Amazon và Roku kể từ đó đã hạn chế các proxy SDK chạy nền và Bright Data đã rút khỏi các nền tảng đó, mặc dù họ vẫn liệt kê Tizen của Samsung và webOS của LG.
Cách phòng tránh và ngăn chặn
Lưu lượng này rất dễ bị phát hiện và ngăn chặn. Trên mạng gia đình, bước đơn giản nhất là chặn các địa chỉ web mà SDK sử dụng để kết nối, bằng một công cụ cấp bộ định tuyến (router) như Pi-hole hoặc NextDNS.
Các địa chỉ chính bao gồm:
- proxyjs.brdtnet.com
- proxyjs.luminatinet.com
- proxyjs.bright-sdk.com
- clientsdk.bright-sdk.com
- clientsdk.brdtnet.com
Theo nghiên cứu, việc chặn các địa chỉ này sẽ khiến thiết bị ngừng hoạt động như một điểm chuyển tiếp mà không ảnh hưởng đến dịch vụ trả phí của Bright Data (vốn chạy trên các địa chỉ riêng biệt).
Các công ty quản lý điện thoại của nhân viên cũng có thể quét các ứng dụng có chứa SDK này. Có một lưu ý: trên kết nối di động, lưu lượng này sẽ lách qua Wi-Fi văn phòng, vì vậy việc chặn mạng đơn thuần không phải lúc nào cũng hiệu quả. Bright Data cũng có thể thay đổi cách SDK kết nối trong tương lai, điều này có nghĩa là bất kỳ danh sách chặn nào cũng cần được cập nhật thường xuyên.
