Phần lớn quiz vui trên mạng xã hội kiếm lời từ dữ liệu hoặc lượt xem quảng cáo, không phải từ kết quả trắc nghiệm. Có loại yêu cầu đăng nhập bằng tài khoản mạng xã hội để lấy hồ sơ, danh sách bạn bè, ảnh; có loại hỏi những câu trùng với câu hỏi bảo mật dùng để khôi phục mật khẩu, như tên trường tiểu học, tên thú cưng đầu tiên, năm sinh của mẹ.
Kết quả "bạn là nhân vật cổ tích nào" chỉ là phần thưởng để bạn trả lời. Hiểu quiz kiếm lời bằng gì sẽ giúp bạn chơi những trò vô hại mà không đưa đi những thứ không lấy lại được.
Bốn loại quiz và thứ mỗi loại lấy đi
Cùng gọi là quiz nhưng cách hoạt động và rủi ro khác nhau khá xa. Nhìn vào bước bạn phải làm để thấy kết quả là biết mình đang ở loại nào:
| Loại quiz | Cách hoạt động | Thứ có thể mất |
|---|---|---|
| Quiz trên trang web đầy quảng cáo | Bấm qua nhiều trang, mỗi trang một câu hỏi, chen quảng cáo | Thời gian, dữ liệu duyệt web cho mạng quảng cáo; đôi khi quảng cáo dẫn sang trang độc hại |
| Quiz đòi đăng nhập bằng tài khoản mạng xã hội | Bấm "tiếp tục với tài khoản", cấp quyền cho ứng dụng bên thứ ba | Tên, ảnh, email, ngày sinh, trang đã thích, tuỳ quyền đã cấp; quyền có thể còn hiệu lực rất lâu |
| Bài đăng "trả lời ở bình luận" | Ảnh hoặc bài hỏi kiểu ghép tên với tháng sinh, "kể tên thú cưng đầu tiên" | Câu trả lời công khai trùng với câu hỏi bảo mật, thông tin để đoán mật khẩu hoặc mạo danh |
| Quiz dẫn sang ứng dụng hoặc nhóm chat | Muốn xem kết quả phải cài ứng dụng hoặc nhập số điện thoại | Số điện thoại bị đưa vào danh sách quảng cáo, đăng ký dịch vụ trừ tiền, quyền truy cập máy |
Loại thứ ba nguy hiểm theo cách ít ai ngờ: không có đường dẫn, không có ứng dụng, chỉ là một bài đăng vui. Nhưng người trả lời tự viết công khai đúng những gì kẻ gian cần, dưới tên thật của mình.
Bài học Cambridge Analytica: một quiz tính cách lấy dữ liệu của hàng chục triệu người
Vụ việc được nhắc nhiều nhất là ứng dụng trắc nghiệm tính cách "thisisyourdigitallife" do nhà nghiên cứu Aleksandr Kogan phát triển trên Facebook khoảng năm 2014. Khoảng 270.000 người cài ứng dụng và làm bài; nhưng vì giao diện lập trình của Facebook lúc đó cho phép ứng dụng đọc cả một phần dữ liệu bạn bè của người dùng, ứng dụng thu được hồ sơ của số người lớn hơn nhiều. Năm 2018, Facebook ước tính tới khoảng 87 triệu người có thể đã bị ảnh hưởng, phần lớn chưa từng làm bài trắc nghiệm.
Dữ liệu sau đó được chuyển cho công ty Cambridge Analytica để xây hồ sơ tâm lý phục vụ quảng cáo nhắm mục tiêu. Vụ việc dẫn tới các phiên điều trần, khoản phạt 5 tỷ đô la Mỹ mà Uỷ ban Thương mại Liên bang Mỹ (FTC) áp cho Facebook năm 2019 về vi phạm quyền riêng tư, và việc các nền tảng thắt chặt quyền của ứng dụng bên thứ ba.
Bài học cho người dùng hôm nay không phải "quiz nào cũng là Cambridge Analytica". Quyền đọc dữ liệu bạn bè đã bị hạn chế từ lâu. Bài học là: một trò vui tốn hai phút có thể là cửa thu dữ liệu quy mô rất lớn, người bấm "đồng ý" thường không đọc mình đang cho phép điều gì, và dữ liệu một khi đã ra khỏi nền tảng thì gần như không thể thu hồi.
Câu hỏi bảo mật trá hình: vì sao "tên thú cưng đầu tiên" không vô hại
Câu hỏi khôi phục tài khoản có rất ít kiểu. Nhiều dịch vụ, nhất là dịch vụ cũ, vẫn dùng câu hỏi bảo mật: tên trường tiểu học, tên thú cưng đầu tiên, họ thời con gái của mẹ, thành phố nơi bố mẹ gặp nhau, mẫu xe đầu tiên. Bài đăng "trả lời để biết…" đôi khi hỏi đúng những câu này dưới vỏ trò chơi.
Ghép với thông tin sẵn có là đủ dùng. Ngày sinh lấy từ hồ sơ, tên người thân từ ảnh gắn thẻ, quê quán từ bài đăng vị trí. Từng mảnh riêng lẻ vô hại; ghép lại thì đủ để đoán mật khẩu kiểu "tên con cộng năm sinh", trả lời câu hỏi bảo mật, hoặc gọi điện mạo danh người quen thuyết phục hơn.
"Tên bạn thời xưa" có công thức. Kiểu ghép chữ cái đầu tên với tháng sinh để "ra tên" bắt bạn tiết lộ tháng sinh, chữ cái đầu tên và đôi khi số cuối điện thoại. Nhiều bài vô hại thật, chỉ để câu tương tác, nhưng bạn không biết bài nào đang được ai thu gom lại.
Câu trả lời công khai và tồn tại lâu. Bình luận có thể được tìm lại sau nhiều năm. Mật khẩu thì đổi được, còn tên trường, tên người thân, tháng sinh thì không. Một câu trả lời hôm nay có thể bị dùng cho một tài khoản bạn mở năm năm sau.
Quiz đòi đăng nhập bằng tài khoản mạng xã hội: đọc màn hình cấp quyền
Nút "Tiếp tục với tài khoản…" tiện vì không cần tạo mật khẩu mới, nhưng mỗi lần bấm là bạn cho một ứng dụng bên ngoài đọc một phần dữ liệu. Trước khi bấm:
- Đọc danh sách quyền trên màn hình đồng ý. Quiz chỉ cần tên là đủ; quyền đọc ảnh, email, bài đăng, trang đã thích là quá mức.
- Dùng tuỳ chọn chỉnh quyền nếu có: bỏ chọn những mục không cần, chỉ để tên và ảnh hồ sơ công khai.
- Xem tên nhà phát triển hiển thị trên màn hình cấp quyền. Tên mơ hồ, không có trang chính sách quyền riêng tư là dấu hiệu nên dừng.
- Không bao giờ nhập mật khẩu mạng xã hội vào một ô nằm trên trang của quiz. Màn hình đăng nhập thật thuộc về nền tảng; quiz tự dựng ô đăng nhập là trang lừa lấy mật khẩu.
- Chơi xong thì vào phần cài đặt "ứng dụng và trang web" của tài khoản để gỡ quyền của quiz đó.
Mỗi năm một lần, mở danh sách ứng dụng đã được cấp quyền và gỡ những cái không còn dùng. Nhiều người ngạc nhiên khi thấy hàng chục quiz, trò chơi từ nhiều năm trước vẫn còn giữ quyền.
Dấu hiệu một quiz không chỉ là trò chơi
Một quiz đáng ngờ khi có từ hai dấu hiệu trở lên trong danh sách này:
- Muốn xem kết quả phải nhập số điện thoại, email hoặc mã gửi qua tin nhắn.
- Muốn xem kết quả phải chia sẻ bài hoặc mời một số bạn bè trước.
- Câu hỏi đi vào thông tin định danh: ngày sinh đầy đủ, tên người thân, trường học, nơi làm việc, biển số xe, số căn cước.
- Trang chạy quiz không có tên tổ chức, không có điều khoản hay chính sách quyền riêng tư.
- Kết quả chung chung đến mức khớp với bất kỳ ai, nhưng bước thu thông tin lại rất cụ thể.
- Quiz yêu cầu tải ứng dụng riêng từ đường dẫn ngoài kho ứng dụng chính thức.
- Sau khi chơi, tài khoản của bạn tự đăng bài hoặc nhắn tin mời bạn bè mà bạn không làm.
Chuyện kết quả "đúng quá" có tên trong tâm lý học: hiệu ứng Barnum, hay hiệu ứng Forer, theo thí nghiệm của nhà tâm lý Bertram Forer năm 1949. Người ta có xu hướng thấy một mô tả chung chung như "bạn bề ngoài vui vẻ nhưng bên trong hay lo nghĩ" là chính xác về mình. Hiệu ứng này giải thích vì sao người chơi muốn chia sẻ kết quả, và vì sao quiz lan nhanh như trend.
Quiz kiếm tiền thế nào, kể cả khi không lấy gì nguy hiểm
Không phải quiz nào cũng nhắm vào tài khoản. Rất nhiều quiz chỉ là sản phẩm của mô hình kiếm tiền từ lượt xem: mỗi câu hỏi nằm trên một trang riêng, mỗi trang chen vài ô quảng cáo, và người chơi phải bấm qua mười lăm, hai mươi trang mới thấy kết quả. Nhà làm quiz được trả tiền theo lượt hiển thị quảng cáo, nên quiz càng dài, càng gây tò mò, càng có lời. Với người chơi, cái giá là thời gian và dữ liệu duyệt web được các mạng quảng cáo ghi nhận.
Tầng thứ hai là dữ liệu tiếp thị. Câu trả lời về sở thích, độ tuổi, tình trạng hôn nhân, việc sắp mua nhà hay sinh con là thông tin có giá với người làm quảng cáo nhắm mục tiêu. Quiz kiểu "bạn hợp với căn nhà nào", "bạn là kiểu cha mẹ nào" có thể chính là một bảng khảo sát thị trường được trang trí lại. Điều này không phạm pháp nếu được nói rõ trong chính sách và có sự đồng ý, nhưng hiếm người chơi đọc tới đó.
Tầng thứ ba mới là những quiz có ý đồ xấu: thu số điện thoại để bán, lấy câu trả lời bảo mật, dẫn sang trang đăng nhập giả. Ba tầng này trông giống hệt nhau ở bề ngoài, nên thói quen chung là xem mình phải đưa gì để đổi lấy kết quả.
Chơi quiz an toàn: giữ niềm vui, bớt dữ liệu
Không cần bỏ hẳn quiz. Có thể giữ trò vui nếu đổi vài thói quen. Thứ nhất, chơi trên trang không đòi đăng nhập; nếu bắt buộc đăng nhập, bỏ qua. Thứ hai, với bài "trả lời ở bình luận", có thể đọc và cười mà không bình luận đáp án thật; nhiều người chọn trả lời đùa hoặc cố ý trả lời sai.
Thứ ba, xem lại các tài khoản quan trọng như email, ngân hàng, ví còn dùng câu hỏi bảo mật không. Nếu còn, chuyển sang xác thực hai lớp, hoặc trả lời câu hỏi bảo mật bằng một chuỗi không liên quan sự thật và lưu trong trình quản lý mật khẩu. Khi đó, dù câu trả lời thật có lộ qua quiz, nó cũng vô dụng với kẻ gian.
Thứ tư, nói với người lớn tuổi trong nhà. Ông bà, cha mẹ hay thích những bài "tên bạn thời xưa", "đoán tuổi qua câu hỏi", và cũng hay dùng ngày sinh, tên con cháu làm mật khẩu. Một cuộc trò chuyện ngắn, không phán xét, hiệu quả hơn mọi lời cảnh báo dài.
Cuối cùng, nhớ rằng quiz phát tán theo cùng con đường với trend: thấy bạn bè chơi, mình chơi theo. Mỗi lần chia sẻ kết quả là thêm một lời mời ngầm tới bạn bè. Khi một quiz đòi thông tin nhạy cảm, không chia sẻ cũng là cách bảo vệ người khác.
Câu hỏi thường gặp
Quiz trên mạng có thật sự đoán đúng tính cách không?
Phần lớn quiz giải trí không dựa trên công cụ đo lường đã được kiểm định. Kết quả thường được viết chung chung để ai đọc cũng thấy đúng. Muốn hiểu bản thân nghiêm túc, cần các thang đo có nghiên cứu xác nhận và người có chuyên môn giải thích, không phải một trò hai phút.
Đã lỡ đăng nhập quiz bằng tài khoản mạng xã hội nhiều năm trước thì làm gì?
Vào phần cài đặt bảo mật hoặc mục ứng dụng và trang web trong tài khoản, xem danh sách ứng dụng đang có quyền và gỡ những quiz, trò chơi không còn dùng. Dữ liệu đã bị lấy trước đó không thu lại được, nhưng gỡ quyền thì chặn được việc lấy thêm.
Trả lời "tên thú cưng đầu tiên" trong bình luận thì có bị hack ngay không?
Không ngay lập tức, và một câu trả lời riêng lẻ hiếm khi đủ. Rủi ro đến khi câu trả lời được ghép với thông tin khác về bạn và với một dịch vụ vẫn dùng câu hỏi bảo mật đó. Vì vậy cách bền nhất là đừng để tài khoản quan trọng phụ thuộc vào câu hỏi bảo mật.
Quiz trên ứng dụng của các nhãn hàng lớn có an toàn hơn không?
Thường có chính sách quyền riêng tư rõ hơn, nhưng mục đích vẫn là thu dữ liệu phục vụ tiếp thị. Đọc phần đồng ý để biết dữ liệu dùng vào việc gì, có được chia sẻ cho bên thứ ba không, và có tuỳ chọn từ chối nhận quảng cáo không.
Làm sao giải thích cho trẻ về quiz thu dữ liệu mà không làm trẻ sợ?
Có thể so sánh với việc người lạ hỏi địa chỉ nhà ở cổng trường: câu hỏi vui không có nghĩa người hỏi tốt. Cùng con chơi thử một quiz, chỉ cho con thấy chỗ nào đòi thông tin, và thống nhất rằng tên trường, địa chỉ, ngày sinh không đưa lên quiz.