Khi iPhone ‘tự đóng cửa’: vì sao hàng loạt máy bị tịch thu đồng loạt khởi động lại và hệ quả với pháp y kỹ thuật số

Một buổi sáng tại kho lưu trữ bằng chứng của sở cảnh sát Detroit đã đánh dấu một tình huống khó tin: những chiếc iPhone bị tịch thu, đặt trong két an toàn, đồng loạt khởi động lại mà không có ai chạm vào. Sự việc gây ra không chỉ hoảng hốt tức thì mà còn đặt ra câu hỏi về cách dữ liệu trên thiết bị di động được bảo vệ—và làm sao điều đó ảnh hưởng đến công tác điều tra.

Sự kiện đã xảy ra: những thiết bị ‘im lặng’ bỗng sống dậy

Theo mô tả của các điều tra viên, mặc dù kho bằng chứng không có sóng và một số máy nằm trong hộp Faraday chuyên dụng để chặn mọi tín hiệu, hàng loạt iPhone vẫn khởi động lại trong đêm. Hiện tượng xuất hiện với nhiều thiết bị khác nhau, bao gồm cả chiếc được để trong hộp chặn sóng hoàn toàn, khiến các chuyên viên pháp y lo ngại khả năng tiếp cận bằng chứng kỹ thuật số sẽ bị ảnh hưởng.

Phía pháp y: tại sao một lần khởi động lại lại quan trọng đến vậy?

Một khái niệm then chốt trong tình huống này là trạng thái Before First Unlock (BFFU) — nghĩa là iPhone sau khi khởi động lại chưa từng được mở khóa kể từ khi bật nguồn. Ở trạng thái đó, các khóa mã hóa chưa được nạp vào bộ nhớ, khiến dữ liệu trên máy gần như không thể tiếp cận bằng các công cụ pháp y truyền thống.

Các cơ quan thực thi pháp luật thường sử dụng những thiết bị chuyên dụng có giá trị hàng chục nghìn USD, như Cellebrite hay GrayKey, để lấy dữ liệu từ iPhone. Tuy nhiên, hiệu quả của những công cụ này phụ thuộc vào việc thiết bị mục tiêu đã từng được mở khóa ít nhất một lần kể từ khi bật—điều mà một lần khởi động lại ngoài ý muốn có thể phá hủy hoàn toàn lợi thế đó.

Giả thuyết ban đầu và phản ứng trong cộng đồng pháp y

Sau sự cố, tài liệu nội bộ của sở cảnh sát đề cập đến một giả thuyết gây chú ý: các chiếc iPhone trong két có thể đã kích hoạt lẫn nhau, hoặc một thiết bị mang vào phòng lab đã vô tình khởi động một phản ứng dây chuyền. Thông tin lan nhanh trong cộng đồng pháp y kỹ thuật số và cảnh báo được gửi tới nhiều phòng lab, đề nghị rà soát kho thiết bị đang lưu trữ bằng chứng.

Điều tra mã nguồn hé lộ cơ chế tự bảo vệ

Một kiến trúc bảo mật được phát hiện trong mã nguồn trên GitHub do nhà nghiên cứu độc lập Jiska Naehrdine xác nhận cho thấy Apple đã triển khai một tính năng có tên Inactivity Reboot trong phiên bản iOS 18.1. Theo đó, nếu một iPhone không được mở khóa trong vòng 72 giờ liên tiếp, thiết bị sẽ tự khởi động lại và trở về trạng thái niêm phong — tức BFFU.

Điều mấu chốt là cơ chế này hoạt động độc lập với bất kỳ tín hiệu bên ngoài nào: không cần kết nối mạng, không cần giao tiếp với thiết bị khác. Vì vậy, ngay cả khi điện thoại nằm trong hộp Faraday, đồng hồ đếm ngược nội bộ trong máy vẫn có thể hoàn tất và kích hoạt khởi động lại tự động.

Tác dụng và động cơ của tính năng

Theo những phân tích được chia sẻ rộng rãi trong cộng đồng bảo mật, Inactivity Reboot đem lại lớp bảo vệ bổ sung cho người dùng trong hai tình huống rõ ràng: ngăn cán bộ pháp y truy cập dữ liệu khi thiết bị đã bị tịch thu mà chủ sở hữu không mở khóa, và làm khó việc lấy dữ liệu khi kẻ trộm giữ máy nhưng không thể truy cập mật khẩu. Nhà nghiên cứu Naehrdine gọi đây là một biện pháp bảo vệ vừa rẻ vừa hiệu quả.

Một dòng phản hồi từ giới học thuật — trong đó có giáo sư Matthew Green của Đại học Johns Hopkins — mô tả ý tưởng trên là ‘xuất sắc’, đồng thời bày tỏ sự bất ngờ nếu Apple đã công bố chủ đích đó trước công chúng. Lưu ý rằng Apple không phát đi thông báo chính thức nào về tính năng này tại thời điểm xảy ra sự kiện.

Biện pháp tức thời cho người dùng và phòng thí nghiệm

Người dùng muốn chủ động đưa thiết bị về trạng thái niêm phong mà không cần chờ 72 giờ có thể thực hiện ngay: giữ đồng thời nút nguồn và nút tăng/giảm âm lượng, trượt để tắt máy, sau đó bật lại nhưng không nhập mật khẩu. Hành động này sẽ khiến iPhone vào trạng thái Before First Unlock ngay tức thì, tương tự như kết quả của tính năng tự động.

Với phòng thí nghiệm pháp y hoặc kho lưu trữ bằng chứng, sự kiện này đặt ra yêu cầu kiểm soát mới: cần rà soát quy trình lưu trữ, môi trường kiểm nghiệm và cách thức quản lý thiết bị bị niêm phong. Việc một chiếc điện thoại dù nằm trong hộp Faraday vẫn có thể ‘tự đóng cửa’ nghĩa là các bước bảo quản bằng chứng phải tính đến hành vi nội tại của hệ điều hành, không chỉ dựa vào tắt sóng hay cách ly vật lý.

Những hệ quả pháp lý và thực tiễn

Hậu quả của hiện tượng khởi động lại tự động có thể rộng hơn mức tưởng tượng. Khi một thiết bị chuyển sang BFFU, quyền truy xuất dữ liệu bằng công cụ kỹ thuật chuyên dụng trở nên gần như không thể trừ khi có mật khẩu. Điều này ảnh hưởng trực tiếp tới khả năng thu thập bằng chứng điện tử trong các vụ án, có thể làm chậm quy trình điều tra, và buộc các cơ quan phải cân nhắc chi phí cho các phương án khác—từ việc xin lệnh toà để buộc cung cấp mật khẩu (nếu pháp lý cho phép) tới việc điều chỉnh quy trình thu giữ và lưu trữ thiết bị.

Tuy nhiên, cần nhấn mạnh: thông tin về cơ chế Inactivity Reboot dựa trên bằng chứng mã nguồn do nhà nghiên cứu chia sẻ và phản ứng của cộng đồng chuyên môn; Apple chưa phát hành thông tin chính thức giải thích chi tiết cách thức hoạt động hay các tùy chọn cấu hình cho tính năng này. Vì vậy các cơ quan và người dùng nên tiếp cận vấn đề với tinh thần thận trọng, đồng thời cập nhật hướng dẫn nội bộ khi có thông tin chính thức từ nhà sản xuất.

Gợi ý thực hành dành cho các bên liên quan

• Đối với phòng lưu trữ bằng chứng: rà soát quy trình tiếp nhận, lưu trữ và theo dõi thời gian không mở khóa để tránh bất ngờ khi cần khai thác dữ liệu.
• Đối với điều tra viên: cân nhắc thủ tục ghi nhận trạng thái khóa/mã của thiết bị ngay khi tịch thu và lưu trữ nhật ký thời gian chính xác.
• Đối với người dùng bình thường: nếu lo ngại về việc thiết bị bị truy cập trái phép, thủ thuật tắt nguồn rồi khởi động lại mà không nhập mật khẩu là cách nhanh để đưa máy về trạng thái niêm phong.

Câu hỏi còn mở

Một số điểm vẫn chưa có câu trả lời rõ ràng từ nguồn dữ liệu hiện có: liệu Inactivity Reboot có thể cấu hình hay vô hiệu hoá bởi người dùng hay quản trị viên; cách xử lý khi bằng chứng kỹ thuật số là yếu tố duy nhất quan trọng trong một vụ án; và những hệ quả pháp lý liên quan đến quyền tiếp cận dữ liệu trên thiết bị cá nhân. Những câu hỏi này đòi hỏi thông tin bổ sung từ Apple hoặc các tài liệu chính thức hơn.

Kết luận

Sự kiện iPhone tịch thu ‘tự khởi động lại’ tại Detroit đã phơi bày một mảng mới trong mối quan hệ giữa bảo mật cá nhân và nhu cầu thu thập bằng chứng. Tính năng Inactivity Reboot, theo nguồn mã được công bố, là minh chứng cho việc nhà sản xuất có thể ưu tiên bảo vệ quyền riêng tư theo cách rất chủ động — nhưng đồng thời cũng tạo ra thách thức thực tiễn cho các quy trình pháp y. Trong bối cảnh đó, cả ngành thực thi pháp luật lẫn người dùng đều cần điều chỉnh hành vi và chính sách để cân bằng giữa hai mục tiêu: bảo vệ dữ liệu cá nhân và bảo đảm khả năng truy cứu pháp luật khi cần.

Lưu ý: thông tin về cơ chế Inactivity Reboot và mốc iOS 18.1 dựa trên xác nhận của nhà nghiên cứu Jiska Naehrdine và thông tin cộng đồng bảo mật; Apple chưa phát hành tuyên bố chính thức khi bài viết này ra đời.

Để tìm hiểu thêm về bối cảnh phát triển của smartphone tại Việt Nam, bạn có thể đọc phân tích sâu về hành trình và tác động của dòng máy phổ biến: hành trình 10 năm của dòng REDMI Note, bài viết cung cấp góc nhìn về cách một serie sản phẩm thay đổi kỳ vọng người dùng và tiêu chuẩn bền bỉ trên thị trường.

Nếu bạn quan tâm đến chiến lược sản phẩm của Apple và lý do một mô hình kinh doanh tưởng chừng ổn định lại đang gặp thử thách, hãy tham khảo bài phân tích chiến lược bán hàng: thực trạng chiến lược bốn mẫu iPhone, nơi đề cập những khó khăn và thử nghiệm gần đây trong cách phân khúc sản phẩm.

Và nếu bạn muốn biết cảm nhận ban đầu của người dùng với thiết kế gập trên các sản phẩm cao cấp, bài tổng hợp trải nghiệm người dùng về Galaxy Z Fold8 có thể hữu ích: cảm nhận người dùng về Galaxy Z Fold8, nơi tập trung phản hồi về thiết kế và trải nghiệm hiển thị.