Лични данни

  • Внимание: Скрити камери дебнат в Airbnb обекти

    През последните няколко години чуваме за реални случаи на скрити камери във ваканционни жилища под наем. Това твърдят и 11% от участниците в проучване от 2019 г. на фирма за услуги в областта на недвижимите имоти.

    Политиката на Airbnb по въпроса е недвусмислена: Камерите за сигурност и устройствата за наблюдение на шума са разрешени, „стига да са ясно разкрити в описанието на обявата и да не нарушават поверителността на други лица“.

    Тъй като става въпрос за вашия личен живот, ето какво можете да направите:

    • Проверете внимателно обявата: Споменава ли се в нея наличието на камери.
    • Проверете физически стаята: Има ли стикери, уведомяващи за видеонаблюдение. После потърсете в часовници, детектори за дим, високоговорители или други устройства, насочени към легла или душове.
    • Използвайте фенерче: Лещите на камерата са направени от стъкло и ще отразят светлината.
    • Изключете осветлението и огледайте за сигналните червени или зелени светодиоди на камерите за нощно виждане.
    • Следете за това приложение, което използва Time-of-Flight сеонзра на (ToF) на телефона, за да открие скрити камери, скрити в ежедневни предмети.
    • Позвънете на приятел, докато се разхождате из имота. Скритата камера може да попречи на сигнала на телефона ви, ако използва радиочестоти (RF) за свързване към скрита мрежа.

    Не изпадайте в параноя, просто имайте едно на ум, когато се намирате в обект под наем.

  • TikTok ви наблюдава – дори и да нямате акаунт

    Сърфирането без акаунт не ви прави анонимни, споделя в материал за VICE фрийлансърът Riccardo Coluccini.

    Обект на експеримента е платформата TikTok, която авторът е използвал в продължение на два месеца, но без да си създава профил.

    Възползвайки се от Общия регламент за защита на данните (GDPR) на ЕС, той е поискал от TikTok да му изпрати всички данни, събрани за него.

    Отговорът е представлявал таблица с близо 16 хил. реда и 24 колони, съдържаща над 381 хил. единици данни. Освен подробен запис на всички действия, платформата знае: типа на устройството, от което се достъпва и разделителната способност на екрана, телефонния оператор, операционната система, IP адреса и идентификационен код на устройството.

    Всеизвестно е, че всички социални медии разполагат с огромни бази данни за вашата дейност.

    ТУК може да прочетете как да поемете контрола върху дигиталния си отпечатък.

  • Германски регулатор забрани на Facebook да обработва данни от WhatsApp

    Комисарят на Хамбург за защита на данните и свобода на информацията (HmbBfDI) е издал заповед, с която забранява на Facebook да обработва лични данни от WhatsApp на германски граждани. Facebook обмисля как да обжалва.

    HmbBfDI мотивира решението си с това, че масовото профилиране може да бъде опасно за гражданите и да се използва за манипулиране на демократични решения. Пример: скандалът с Cambridge Analytica и изтичането на данни, засегнали над 500 млн. потребители на Facebook.

    Ръководителят на HmbBfDI, Johannes Caspar, призовава регулаторите на останалите страни от Европейския съюз да последват примера на Германия, така че забраната да се приложи за всичките 27 държави-членки на ЕС.

    Още през февруари 2021 г. потребителите на WhatsApp по целия свят бяха поканени да се съгласят с нови условия за използване и поверителност, включващи съгласие за споделяне на данните им с Facebook. Това предизвика масово недоволство и провокира хората да се обърнат към други приложения (Signal, Telegram). В резултат, собственикът Facebook отложи промените до днес – 15 май 2021 г.

  • Кои компании събират най-много информация за вас онлайн

    Всичко, което споделите за себе си в сайта на дадена компания се запазва, с цел да бъде използвано за целенасочена реклама: пол, име, дата на раждане, имейл адрес, IP адресът ви и тези на всички свързани устройства (лаптопи, телефони и др.). Към това се добавя и информация спрямо вашето поведение – хобита, тегло, домашни любимци и т.н. Компаниите съхраняват банковата ви информация, връзките към акаунтите ви в социалните мрежи и данните, които споделяте в тях.

    Кои компаниите знаят най-много за вас и какво точно

    Социалните медии събират повече данни от всички други онлайн. Според проучване на Clario на първо място в списъка с компаниите за събиране на данни е Facebook. Социалната мрежа разчита на вашите данни, за да ви препоръча приятели, да информира, че имате рожден ден, да ви предложи групи, към които да се присъедините и най-важното – да ви показва реклами. От всички данни, които бизнесът може законно да получи за вас, Facebook събира 70,59%.

    Следва Instagram (58,82% от всички налични данни) – хобита, височина, тегло, сексуална ориентация. Подобно на собственика си (Facebook), използва тази информация за реклама и за препоръчване на акаунти, които да следвате.

    Приложението за запознанства Tinder събира 55,88% от наличните данни, за да ви помогне да се срещнете с вашия перфектен партньор: възраст, ръст, сексуална ориентация, интереси, притежавате ли домашен любимец. Освен това съхранява банковите ви данни (за продажба на премиум опцията – Tinder Plus).  Приложението проследява как използвате профилите си в останалите социални мрежи, когато свързвате акаунтите си. Също така съхранява всички съобщения, които изпращате, което означава, че всички ваши чатове могат да бъдат използвани за таргетиране на реклами.

    Търговецът на дребно Amazon събира най-малко данни – едва 23,53%. Освен най-необходимото за осъществяване на продажба и доставка (име, имейл, пощенски адрес и банкови данни), платформата  проследява как използвате сайта. Следи продуктите, които разглеждате, направените покупки и оставените рецензии, и ги използва, за да ви рекламира нови продукти.

    Сайтът за музика, Spotify събира 35,29% от вашите данни, споделени онлайн, като влиза в профилите ви в социалните медии, за да разбере вашите интереси и хобита. Ако някога сте били на концерт и сте споделили снимка от него в Instagram, скоро Spotify ще включи изпълнителя в предложенията си към вас. Плейлистите, които платформата насочва към вас, са базирани на проследяване на музиката, която слушате.

    По същия начин Netflix (26,47%) проследява вида на предаванията, които гледате, за да може да ви препоръча подобни заглавия. Целта е да ви осигури по-добро потребителско изживяване, за да си гарантира, че ще се връщате отново и отново.

    Прочетете още: 13 начина да изчистите излишната информация за вас в интернет

    Как да се предпазите от злонамерено събиране на лична информация

    Описаните до тук са примери за събиране на данни, за които вие сте се съгласили. В повечето случаи те се използват за може съответната платформа да задоволи вашия вкус.

    Не забравяйте обаче, че събирането на ваши данни може да има и друга, по-тъмна страна – кражба на лична информация от различни злонамерени лица, т.нар. хакери. При това, те се целят много по-високо: вместо навици за пазаруване или пощенски адрес, те се интересуват от данните от кредитните ви карти.

    За да се предпазите е нужно да спазвате стриктна „хигиена“ в интернет:

    1. Използвайте силни пароли

    Най-добрата парола (поне 14 символа ) е тази, която можете да запомните, но която ще бъде трудна за отгатване от други хора или злонамерени програми, които изпробват произволни комбинация. Кратко изречение е по-добро от една дума с вмъкнати цифри и символи. Можете да използвате приложение за управление на пароли (Password Manager), за генериране и съхранение на  вашите пароли. Мениджърът на пароли също може да ви помогне да генерирате уникални пароли за всеки от вашите онлайн акаунти. За допълнителна сигурност сменяйте паролите си няколко пъти годишно.

    1. Използвайте двуфакторна автентикация (2FA, MFA)

    Двуфакторната автентикация изисква да потвърдите самоличността си, след като сте влезли с потребителско си име и парола. Ще бъдете помолени да потвърдите самоличността си, като въведете код, изпратен чрез съобщение на телефона или по имейл. Двуфакторното удостоверяване може да ви отнеме няколко допълнителни секунди, за да влезете във вашите акаунти, но ще намали вероятността и други хора да могат да влязат в тях.

    1. Избягвайте използването на незащитени Wi-Fi мрежи

    Ако все пак ви се наложи да използвате обществена мрежа, избягвайте да споделяте поверителна информация, напр. финансова. У дома използвайте VPN, за да сърфирате – така данните, които изпращате и получавате, ще са шифровани, което значително затруднява прихващането им.

    1. Използвайте антивирусен софтуер

    Наличието на добра антивирусна защита свежда до минимум риска от заразяване на компютъра ви и причиняване на повече проблеми. Защитете инсталацията и настройките с допълнителна парола.

    Интересно по темата: Защо не ви трябва повече от един антивирус на един компютър?

    1. Винаги използвайте актуални версии на приложенията и операционните системи

    Актуализациите често включват корекции на пробойни в сигурността, които може да са налични в използваните от вас програми или устройства.

  • ФБР има достъп до криптираните съобщения в Signal

    Доскоро Signal беше смятан за един от най-сигурните и поверителни начини за комуникация. Дали това продължава да е така?

    Данни от изтекли съдебни документи сочат, че Федералното бюро за разследвания (ФБР) разполага с инструмент, който позволява достъп до криптирани съобщения в приложението Signal.

    Според информация, оповестена от Forbes, шифрованите съобщения могат да бъдат прихващани върху iPhone устройства, когато те са в режим на „частичен AFU“ т.е. „след първо отключване“.

    Предполага се, че ФБР използва много усъвършенстван подход, като се възползва хардуерни уязвимости за извличане на чувствителна информация – един от спряганите инструменти е GrayKey.

    Израелската компания Cellebrite също се споменава като вероятен разработчик на инструментите за разбиване на криптирани съобщения в Signal. Твърди се, че компанията е добавила и възможност за прескачане на началния екран в операционната система Android. По този начин се дава възможност за работа върху устройството без да е нужно преминаването през проверка на ПИН или биометрика.

    Signal е платформа за обмен на съобщения и медия, която бързо набра популярност сред потребителите, които бранят личното си пространство.

    Последни данни обаче сочат, че платформата може да е уязвима и да има „пролуки“, които подкопават защитата на поверителността, предоставена чрез услугата за криптирани съобщения. Дори се допуска, че може да не става дума за недостатък в дизайна, а по-скоро за умишлена задна врата, която позволява на властите да имат достъп до лични съобщения.

    Не е трудно да предположим, че след като съобщенията в Signal могат да бъдат прихванати от федералните власти, то и потенциално враждебни интереси биха могли да се възползват.

  • Лични данни на милиони хора са изтекли от сайт за запознанства

    Данните на 2,28 млн. потребители на сайта за запознанства MeetMindful.com са изтекли онлайн в резултат на хакерска атака.

    1,2 GB информация, включително истински имена, токени за акаунти във Facebook, имейл адреси, геолокация и др., е споделена за безплатно изтегляне в публично достъпен хакерски форум.

    Изтеклите данни могат да бъдат използвани за проследяване на профилите на засегнатите лица обратно до истинската им самоличност.

    Препоръка

    Ако личните ви данни бъдат компрометирани по подобен начин, трябва да предприемете незабавни мерки:

    • Да ресетнете паролата си за достъп до сайта/приложението
    • При възможност, да активирате двуфакторно удостоверяване
    • В следващите месеци, да внимавате за подозрителна кореспонденция, идваща от компрометирания сайт
  • HTTP Cookies: Компромис между удобство и сигурност

    Последен ъпдейт на 16 януари 2021 в 03:55 ч.

    Така наречените “бисквитки” (HTTP cookies) са съществена част от Интернет, такъв какъвто го познаваме днес. Те позволяват на уеб страниците да ви „помнят“ като потребител: какво имате в пазарската си количка, какви страници посещавате, какви теми ви интересуват и т.н. Всичко това обаче ги прави ценен източник на лична информация, от който недоброжелатели могат да се възползват.

    Какво точно са бисквитките и къде се съхраняват

    HTTP бисквитките представляват текстови файлове, съдържащи информация за потребителско име и парола. Те се използват за идентифициране на компютъра ви в мрежата. Маркират се с уникално ID, отнасящо се точно за вас. Изпращат се от сървъра, където е разположен достъпвания от вас сайт, до компютъра ви.  Когато компютър и сървър си обменят бисквитка, сървърът прочита съдържащото се в нея ID и вече ви „познава”.

    HTTP бисквитките се създават, когато посетите даден сайт за първи път. Те пазят информация за сесиите ви – времето, прекарано в сайта.

    Форматът на бисквитката представлява двойка “поле-стойност”. Уеб сървърът, изпраща кратък поток от идентификационни данни към браузъра ви, които той да запази.  Тук възниква въпросът – къде се пазят тези бисквитки? Отговорът е – локално в браузъра, тъй като е нужно той да помни двойката “поле-стойност”, която ви идентифицира като потребител. По този начин, когато отново посетите същия сайт, браузърът ви ще изпрати запазената бисквитка към уеб сървъра му, който пък ще възстанови данните от предходните ви сесии.

    За да си представите по-лесно процеса по генериране и използване на бисквитки, можем да го сравним с използването на гардероб в театър:

    1. Предавате палтото си на гардеробиера – това е еквивалентно на момента, в който за първи път се свързвате с уеб сървъра на посещавания сайт. Създава се запис за тази връзка, който може да включва информация за личния ви акаунт, кои категории сте посетили, какво сте пазарували от сайта и др.
    2. Получавате номерче, което ви идентифицира като собственик на точно това палто – именно това е бисквитката за дадения уеб сайт, която се съхранява в браузъра. Тя притежава уникално ID за всеки потребител.
    3. Ако решите да си вземете палтото, за да излезете по време на антракта, и после пак да го върнете, използвате същото номерче – така е и когато посетите уеб сайт отново – браузърът му предоставя запазената бисквитка (ако не сте я изчистили). Сървърът прочита ID-то в нея и свързва данните за активността ви от предходни посещения в този сайт.

    Да позволите или да забраните бисквитките

    Безспорно бисквитките улесняват сърфирането в интернет, но от друга страна представляват риск за конфиденциалността на данните и браузър историята ви като потребител.

    Бисквитките не могат да заразят компютъра ви с вируси. Недоброжелатели обаче могат да ги “откраднат” и да си осигурят достъп до браузър сесиите, които съдържат информация за вас.

    Забраната на всички бисквитки на браузъра може да затрудни навигацията в някои уебсайтове. Все пак можете да зададете настройки, които контролират или ограничават бисквитки на трети страни и проследяване. Така ще защитите поверителността ви, докато пазарувате или сърфирате онлайн.

    Бисквитките се настройват по различен начин във всеки баузър, но логиката е сходна – обикновено се намират в менюто Настройки -> Поверителност и сигурност. Напр. в Google Chrome: От менюто навигирайте до Settings -> Privacy and security -> Cookies and other data -> See all cookies and site data.

    Как бисквитките помагат на вас и на собствениците на сайтове

    Благодарение на бисквитките, уеб сайтовете ви „разпознават“ и ви представят релевантна информация, съобразно предпочитанията ви – напр. спортни новини, вместо политически. Показването на персонализирани реклами става именно заради бисквитките – на база разглежданите до момента от вас продукти, се подбират свързани реклами и материали, които да ви се визуализират.

    Онлайн магазините използват бисквитките, за да следят продуктите, които сте разглеждали, и да ви предлагат сходни. Бисквитките са тези, които помагат покупките в количката ви да се запазят, дори ако неволно затворите уеб страницата. Не може да отречете, че всичко това ви улеснява като потребител!

    Колко дълго се съхраняват бисквитките

    Съществуват два типа бисквитки: сесийни и постоянни (persistent). Сесийните се използват за навигация в сайтовете – например за работата на бутона „назад“. Те се пазят в RAM паметта и след като приключите сесията, се изтриват автоматично. За разлика от тях, постоянните бисквитки се пазят за неопределено време, освен ако изрично не е зададен срок за съхранение. Точно те се използват за автентикирането ви като потребител (следят дали сте логнат и с какво име) и пазят информация за повторните ви посещения.

    Под ваш контрол ли е генерирането на бисквитки

    First-party бисквитките се създават директно от уеб сървъра на сайта, който използвате в момента. Като цяло са безопасни, стига самият уеб сайт да е безопасен и да не е бил компрометиран.

    Бисквитките на трети страни (third-party) изискват по-голямо внимание, защото те се създават от сайтове, различни от този, на който се намирате в момента – те обикновено са свързани с рекламите, които се визуализират на сайта. Посещението на страница с десет появяващи се реклами може да генерира десет различни бисквитки, дори и да не кликате върху рекламите. Този тип бисквитки позволяват на рекламните компании да следят историята от сърфирането ви из цялото интернет пространство, стига да посещавате страници с техни реклами.

    Можете да повишите нивото на сигурност на бисквитките

    Бисквитките, респективно потребителските данни, които се съхраняват в тях, могат да бъдат една идея по-защитени чрез допълнителни флагове и атрибути.

    Пример за такъв е Secure флагът. Бисквитка с този флаг може да бъде транспортирана единствено по криптиран канал, или с други думи не може да бъде предавана по HTTP, а само по HTTPS. По този начин, дори да бъде компрометирана връзката, вероятността бисквитката да бъде “открадната” е по-малка, тъй като комуникацията е криптирана.

    Друг флаг, който може да бъде добавен към бисквитката, е HttpOnly. Той указва на браузъра, че точно този тип бисквитка може да бъде предоставена само на сървъра, но не и на локалните API интерфейси, което я прави неподатлива на кражба чрез cross-site scripting (XSS) атака. Все пак такава бисквитка все още може да е предмет на CSRF атаки.

    Бисквитките се създават от страна на сървъра чрез HTTP хедъра Set Cookie. Примерен синтаксис е:

    Бисквитките се създават от страна на сървъра чрез HTTP хедъра Set Cookie

     

    Expire атрибута оказва до кога ще бъде валидна тази бисквитка, т.е. кога да бъде изтрита от браузъра. Флаговете (HttpOnly, Secure) не приемат стойности, а тяхното наличие оказва, че са приложени.

    Бисквитка без HttpOnly флаг
    Бисквитка без HttpOnly флаг

    Предпазването от CSRF атаки се задава с атрибута SameSite, който може да приема три стойности – Strict, Lax или None. Напр. бисквитка със зададен артибут SameSite=Strict браузърът ще изпраща в отговор на заявки, идващи от домейн, съвпадащ с таргет домейна.

    Бисквитка с флаг HttpOnly и атрибут SameSite=Strict
    Бисквитка с флаг HttpOnly и атрибут SameSite=Strict
  • noyb: Apple следи потребителите на iPhone без тяхното съгласие

    Apple нарушава законодателството на ЕС, като позволява потребителите на iPhone да бъдат проследявани без тяхното съгласие. Това твърди noyb, организация с идеална цел, основана от активиста за защита на личните данни Max Schrems, в жалба до германските и испанските регулатори.

    Уникалният код за проследяване, генериран от всеки iPhone – IDFA (идентификатор за рекламодатели) – позволява на Apple и всички разработчици на приложения за iPhone да видят как се държат потребителите, без тяхното знание или съгласие.

    Още повече, IDFA дава възможност на трети страни да идентифицират потребителите в различни приложения и дори да свързват онлайн и мобилно поведение (cross device tracking).

    През юни 2020 г. Apple заяви, че с въвеждането на най-новата си операционна система iOS 14, приложенията ще трябва да поискат разрешение, преди да получат достъп до IDFA на телефона. През септември обаче стана ясно, че промените ще се забавят до началото на 2021 г.

  • Резервирате ли през Booking.com или Expedia? Данните ви може да са изложени на риск

    Чувствителни данни от кредитните карти (номера, CVV, пълни имена, адреси) на потребители на booking.com, Expedia и др. са оставени публично видими в продължение на години. Те са били съхранявани в неправилно конфигуриран сторидж (S3) в облачната услуга на Amazon Web Services (AWS). Това представлява нарушение на Стандарта за сигурност на данните, приложим за разплащане с кредитни карти. Грешката е на Prestige Software – компанията, отговорна за системата за хотелски резервации.

    Уязвимостта е открита от разследващ екип на Website Planet. Засега няма доказателства за извършени киберпрестъпления с изложените данни.

    Въпреки това всеки, който е правил резервации през засегнатите платформи от 2013 г. насам, е потенциално изложен на риск. Засегнатите данни се съдържат в над 10 млн. отделни log файла (24.4 GB). Te могат лесно да бъдат използвани от киберпрестъпници за предприемане на вторични фишинг атаки, извършване на измами или кражба на самоличност в бъдеще.

    Потребителите на засегнатите платформи могат да се свържат директно с компанията – собственк, за да определят какви стъпки се предприемат за защита на техните данни, съгласно изискванията на GDPR.

    Препоръки:

    • Подсилете сигурността на акаунта си с многофакторно удостоверяване (MFA)
    • Следете извлеченията на кредитната си карта за необичайна дейност през следващите няколко месеца; активирайте известяването за извършени трансакции с вашата карта
    • Бъдете нащрек за фишинг съобщения, особено ако те са свързани с хотелска резервация
    • Внимавайте за внезапни, неочаквани промени в предстоящите ви хотелски резервации
  • Marriot: Сагата с източените данни продължава с дела от засегнати потребители

    Какви може да са последиците за бизнеса на една организация в случай на успешно източени лични данни на потребители? Двата случая с източените от хотелската верига Marriot лични данни се превръщат в пример за това. След рекордните глоби от регулаторите, сега на дневен ред са исковете от засегнатите потребители.

    Според публикации в местната преса, Marriott International е обект на съдебно дело в Обединеното кралство, заведено от милиони бивши гости. Те търсят обезщетение за компрометирането на личните им данни.

    Делото идва в отговор на инцидент със сигурност, при който хакери са откраднали информация за повече от 300 млн. души между юли 2014 г. и септември 2018 г.

    Нарушението, разкрито за първи път през 2018 г., включва данни като имейл адреси, телефонни номера, данни за кредитни карти и паспортни данни на хората, които са направили резервации през веригата Starwood Hotels, собственост на Marriott.

    През февруари 2020 г. последва втора атака, която, макар и по-малка по мащаб на пораженията от предходната, показва, че хотелската верига има сериозен проблем със сигурността.

    Точно това е и основният мотив на живеещия във Великобритания Martin Bryant – инициатор на масовото съдебно преследване. В изявление той казва, че е завел делото, защото хотелските оператори не са „предприели адекватни стъпки за гарантиране на сигурността на личните данни на гостите и за предотвратяване на неразрешено и незаконно обработване на тези данни“.

    Във Великобритания все още тече паралелно дело срещу Marriott International, по което през 2019 г. беше предложено налагането на 99.2 млн. GBP глоба (133 млн. USD по това време) във връзка с нарушение, което компрометира данните за около 7 млн. жители на кралството.

Back to top button