Proton Mail đã giúp FBI xác định danh tính người biểu tình ‘Stop Cop City’ như thế nào

• Dịch vụ email chú trọng quyền riêng tư Proton Mail đã cung cấp dữ liệu thanh toán cho chính phủ Thụy Sĩ liên quan đến yêu cầu từ FBI của Mỹ, qua đó danh tính của một người biểu tình ẩn danh đã bị xác định
• Theo hồ sơ tòa án, Proton Mail đã chuyển thông tin thanh toán của tài khoản liên quan đến phong trào ‘Stop Cop City’ cho giới chức Thụy Sĩ, và chính phủ Thụy Sĩ đã chuyển tiếp dữ liệu này cho FBI
• Tài khoản nói trên có liên hệ với tổ chức Defend the Atlanta Forest (DTAF), và đã trở thành đối tượng điều tra với các cáo buộc phóng hỏa, phá hoại tài sản, công khai thông tin cá nhân (doxing)
• Phong trào ‘Stop Cop City’ là cuộc biểu tình phản đối việc xây dựng trung tâm huấn luyện cảnh sát ở Atlanta, trong đó một số người tham gia đã thực hiện nhiều hình thức hoạt động khác nhau như cắm trại trong rừng hoặc đệ đơn kiện
• Trường hợp này cho thấy dù Proton Mail nhấn mạnh mã hóa đầu cuối và việc chịu sự điều chỉnh của luật riêng tư Thụy Sĩ, công ty vẫn có thể cung cấp dữ liệu cho bên thứ ba khi có yêu cầu pháp lý

---

Proton Mail cung cấp dữ liệu và hợp tác với cuộc điều tra của FBI

• Theo hồ sơ tòa án, Proton Mail đã cung cấp dữ liệu thanh toán của một tài khoản email liên quan đến ‘Stop Cop City’ cho chính phủ Thụy Sĩ, sau đó FBI đã dùng dữ liệu này để xác định chủ tài khoản
  • Proton Mail được biết đến là một dịch vụ tập trung vào quyền riêng tư, và quảng bá rằng dịch vụ này chịu sự điều chỉnh của luật quyền riêng tư Thụy Sĩ
  • Tuy nhiên, vụ việc lần này xác nhận rằng thông tin thanh toán đã được chuyển cho bên thứ ba
• Vụ việc được nhắc đến như một ví dụ cho thấy Proton Mail có thể cung cấp những loại dữ liệu nào cho cơ quan bên ngoài

Điều tra liên quan đến ‘Stop Cop City’ và tổ chức DTAF

• Tài khoản Proton Mail được đề cập có liên hệ với Defend the Atlanta Forest (DTAF) và phong trào Stop Cop City
  • Giới chức đã điều tra các nhóm này với các cáo buộc phóng hỏa, phá hoại tài sản, công khai thông tin cá nhân (doxing)
• Phong trào ‘Stop Cop City’ là cuộc biểu tình phản đối việc xây dựng trung tâm huấn luyện cảnh sát gần Intrenchment Creek Park ở Atlanta,
  • trong đó một số người tham gia đã phản đối bằng nhiều cách khác nhau như cắm trại trong rừng hoặc đệ đơn kiện
  • sau đó các cáo buộc đối với hơn 60 người đã bị hủy bỏ

Chính sách quyền riêng tư của Proton Mail và những giới hạn

• Proton Mail nhấn mạnh mã hóa đầu cuối và việc tuân thủ luật pháp Thụy Sĩ, nhưng
  • vụ việc này cho thấy một số thông tin như dữ liệu thanh toán có thể được cung cấp khi có yêu cầu pháp lý
• Bài viết nêu đây là một trường hợp giúp hiểu rõ hơn những dữ liệu nào trên thực tế có thể được cung cấp cho bên thứ ba

Bối cảnh vụ việc và các diễn biến tiếp theo

• FBI đã dùng dữ liệu thanh toán do chính phủ Thụy Sĩ chuyển giao để xác định danh tính của tài khoản ẩn danh
• Việc Proton Mail cung cấp dữ liệu được ghi nhận là sự hợp tác theo thủ tục dựa trên lệnh của tòa án
• Bài viết không đề cập thêm đến các chi tiết pháp lý khác hoặc lập trường chính thức của Proton Mail

Ý nghĩa tổng quát

• Vụ việc này là một ví dụ cho thấy ngay cả dịch vụ email tập trung vào quyền riêng tư cũng có thể cung cấp thông tin người dùng khi có yêu cầu pháp lý
• Vấn đề cân bằng giữa độ tin cậy của Proton Mail và nghĩa vụ pháp lý một lần nữa trở thành tâm điểm chú ý
• Điều này cho thấy người dùng các dịch vụ mã hóa cần nhận thức rõ về phạm vi pháp lý và phạm vi dữ liệu có thể bị cung cấp

[GN⁺]

Ý kiến trên Hacker News

• Chia sẻ phản hồi chính thức nhận được từ đội ngũ Proton Mail
  Họ làm rõ rằng không trực tiếp cung cấp thông tin cho FBI
  Dữ liệu được Bộ Tư pháp Liên bang Thụy Sĩ thu thập thông qua quy trình MLAT (hiệp ước tương trợ tư pháp quốc tế)
  Proton chỉ tuân theo luật Thụy Sĩ và chỉ phản hồi khi có lệnh pháp lý từ cơ quan chức năng Thụy Sĩ
  Họ cho biết vụ việc này đáp ứng ngưỡng pháp lý vì liên quan đến trọng tội trong năm 2024, bao gồm chất nổ và nổ súng
  Thông tin được tiết lộ chỉ là mã định danh thanh toán của người dùng đã trả bằng thẻ tín dụng; không có nội dung email hay metadata nào được cung cấp
  Họ giải thích đây là ví dụ cho thấy thiết kế mã hóa đầu cuối của Proton thực sự khiến họ chỉ nắm giữ lượng dữ liệu hạn chế đến mức nào

  • Nói thêm rằng bài báo đã bao gồm toàn bộ các nội dung này

• Cho rằng bài báo này không hoàn hảo
  Proton đã hành động theo yêu cầu hợp pháp từ cơ quan chức năng Thụy Sĩ, và đây là quy trình được nêu rõ trong ToS (điều khoản dịch vụ)
  Việc người dùng thanh toán bằng thẻ tín dụng là một sai lầm bảo mật tác nghiệp (opsec)
  Proton cũng cung cấp địa chỉ Tor cho những người dùng cần ẩn danh
  Cuối cùng, cốt lõi của vấn đề nằm ở chính người dùng

• Nhắc đến đây là ví dụ cho thấy Proton Mail có thể cung cấp loại dữ liệu nào cho bên thứ ba theo luật Thụy Sĩ
  Nhớ là trước đây Proton từng nói không thể tin tưởng chính phủ Thụy Sĩ và đã định chuyển máy chủ ra ngoài Thụy Sĩ
  Nhưng trong vụ việc này, vị trí máy chủ không quan trọng vì chỉ cần thông tin thanh toán

  • Cũng từng có tin Proton muốn chuyển sang Đức, nhưng nói rằng về mặt quyền riêng tư thì còn có thể tệ hơn
  • Cũng có ý kiến cho rằng không thể hoàn toàn tin tưởng bất kỳ chính phủ nào
  • Mã hóa đầu cuối của Proton chỉ thực sự có ý nghĩa khi mọi người nhận đều dùng Proton; trong thực tế, phần lớn email vẫn bị lộ dưới dạng văn bản thuần. Cho rằng marketing đã phóng đại

• Không thấy bất ngờ vì từ năm 2021 đã từng có thông tin ProtonMail cung cấp dữ liệu người dùng cho cơ quan thực thi pháp luật và thay đổi TOS

  • Cho rằng lệnh khám xét/warrant không phải là một yêu cầu đơn thuần mà là mệnh lệnh pháp lý, nên nếu cảnh sát lấy được warrant thì có thể thu được dữ liệu

• Proton Mail chỉ chuyển giao lượng thông tin tối thiểu mà người dùng tự nguyện cung cấp, theo các yêu cầu mà về mặt pháp lý họ không thể từ chối
  Nếu muốn ẩn danh thì không nên dùng thẻ tín dụng hoặc kết nối Internet tại nhà
  Tiêu đề bài báo khiến người ta tưởng như Proton đã giúp FBI, nhưng thực tế không phải vậy

  • Đồng thời cũng có ý kiến rằng câu “Proton không giúp FBI” và câu “họ buộc phải đáp ứng theo yêu cầu pháp lý” cùng tồn tại song song

• Gửi lời cảm ơn đến đội ngũ 404 Media vì gần đây đã có rất nhiều bài đưa tin thực sự chất lượng

• Hỏi Proton lưu thông tin thanh toán trong bao lâu, và đối với thanh toán bằng tiền mã hóa thì có được lưu tương tự hay không

• Lập luận rằng ngày càng khó để tránh bị trừng phạt vì ‘tội tư tưởng (thought crime)’ trên Internet
  Giải thích rằng ngay cả khi kết hợp Tor, Mullvad VPN, TutaMail, Proton v.v. thì cũng khó đạt được ẩn danh hoàn toàn
  Bày tỏ sự thất vọng trước thực tế là giới kỹ thuật đang thúc đẩy công nghệ giám sát phát triển

  • Cũng có người nói cách dùng Tor Browser và Proton với xác thực bằng email dùng một lần là đủ an toàn
  • Cũng có ý kiến chất vấn trách nhiệm của các nhà phát triển, như “bạn có bỏ phiếu cho các dự luật bảo vệ quyền riêng tư không, có ủng hộ tiêu chuẩn đạo đức không, có cố gắng lập công đoàn kỹ sư không”
  • Cũng có người yêu cầu ví dụ cụ thể về những trường hợp thực sự khó bày tỏ quan điểm khác biệt trên mạng
  • Cũng có bình luận chỉ ra rằng lạm dụng Adderall làm suy giảm khả năng đồng cảm và khiến con người trở nên chai lì trước công nghệ giám sát hay dark pattern
  • Cũng có ý kiến phản biện rằng “ở các xã hội phương Tây đã thực sự có trường hợp nào bị trừng phạt vì tội tư tưởng chưa”

• Hỏi ngược lại rằng các dịch vụ email khác mỗi ngày đều cung cấp toàn bộ nội dung thư, metadata, cả thông tin thanh toán, vậy tại sao lại không có những bài báo về họ
  Nhấn mạnh rằng Proton vẫn là dịch vụ hiếm hoi vì cho phép thanh toán ẩn danh và không thể giải mã nội dung đã mã hóa

  • Giải thích rằng vì Proton đã marketing mạnh mẽ tới công chúng như một dịch vụ email “an toàn và riêng tư”, nên việc dữ liệu được chuyển từ chính phủ Thụy Sĩ sang chính phủ Mỹ mới trở thành tin tức
  • Dù Proton cho phép thanh toán ẩn danh, nhưng cũng có ý kiến nói rằng họ nhớ là vẫn cần đăng ký tài khoản