Da asporto chiave
- I ricercatori hanno trovato migliaia dei migliori siti Web che acquisiscono e condividono i dati dei moduli anche prima che gli utenti premessero il pulsante Invia.
- La raccolta non è sempre a scopo pubblicitario, suggeriscono esperti di privacy.
- Molti siti web hanno posseduto e corretto gli errori, ma molti continuano a sfidare le regole.
I siti web stanno diventando più furbi nel raccogliere e condividere le tue informazioni.
Uno studio approfondito sui primi 100.000 siti Web ha rivelato che molte informazioni trapelate che le persone hanno inserito nei moduli del sito a tracker di terze parti prima ancora che le persone premessero il pulsante di invio. Ha trovato migliaia di tali siti Web che trapelavano di tutto, dagli indirizzi e-mail alle password, anche se per fortuna molti hanno risolto i problemi una volta che i ricercatori li hanno contattati.
"È preoccupante vedere siti Web che perdono password", ha detto a Lifewire Rick McElroy, Principal Cybersecurity Strategist di VMware, rispondendo alla ricerca. "Sono felice di vedere che, una volta notificata, le organizzazioni hanno apportato modifiche al loro codice per interrompere tale pratica."
Entra in perdita
Lo studio è stato condotto per determinare se i tracker online abusano dell'accesso ai moduli web. I ricercatori indicano un sondaggio in cui l'81% degli intervistati ha ammesso di aver abbandonato i moduli online a un certo punto.
"Riteniamo che sia fortemente contrario alle aspettative degli utenti raccogliere dati personali dai moduli Web a fini di tracciamento prima di inviare un modulo", hanno osservato i ricercatori. "Volevamo misurare questo comportamento per valutarne la prevalenza."
In tutto, hanno testato 2,8 milioni di pagine sui siti con le classifiche più alte del mondo. Di questi, 1.844 siti Web hanno consentito ai tracker di esfiltrare gli indirizzi e-mail prima dell'invio, se visitati dall'Europa. Se visitati dagli Stati Uniti, il numero di siti che raccolgono informazioni prima dell'invio è aumentato a 2.950.
I ricercatori osservano che le fughe di dati sono state apparentemente non intenzionali in alcuni casi, con la raccolta accidentale di password su 52 siti Web risolta grazie ai risultati dello studio.
"Alcuni siti web ci hanno detto di non essere a conoscenza di questa raccolta di dati e hanno corretto il problema sulle nostre rivelazioni", hanno scritto i ricercatori, che presenteranno le loro scoperte al prossimo USENIX Security Symposium, a Boston, Massachusetts.
Stai al sicuro
Chris Hauk, campione della privacy dei consumatori presso Pixel Privacy, ha affermato che mentre le fughe di dati provengono dai siti Web, ci sono un paio di cose che le persone possono fare da parte loro per almeno rallentare le fughe di dati.
"Gli utenti possono visitare il sito Web Cover Your Tracks della Electronic Frontier Foundation per determinare in che modo i tracker di siti Web vedono il tuo browser, rivelando come i siti possono tracciarti mentre sei online e cosa puoi fare per prevenirlo almeno in parte", ha suggerito Hauk di Lifewire via e-mail.
I dati personali e il loro valore costituiscono il modello di business di molte moderne imprese digitali negli ultimi 20+ anni…
Il solito consiglio di utilizzare una VPN per coprire le tue tracce online non sarà di grande utilità per prevenire questo tipo di fuga di notizie. Hauk suggerisce di utilizzare un indirizzo e-mail usa e getta, separato dal tuo solito account e-mail personale, da utilizzare su siti Web che richiedono tali informazioni.
McElroy ha chiesto alle persone di utilizzare un browser web creato per la privacy come Brave, o di installare componenti aggiuntivi per la privacy, come Privacy Badger, sul proprio browser normale. Ha anche sostenuto l'autenticazione a più fattori per ridurre al minimo i danni delle perdite di password.
Inoltre, i ricercatori hanno sviluppato un componente aggiuntivo del browser proof-of-concept chiamato Leak Inspector che avverte e protegge dall'esfiltrazione dei dati.
Economia dei dati
Esprimendo la sua sorpresa per l'entità della raccolta, McElroy ha affermato che le persone devono capire che i dati generati dall'uomo sono una merce che verrà raccolta, condivisa, analizzata e utilizzata per molteplici scopi.
"Il più delle volte questi scopi non sono necessariamente dannosi (come la condivisione di dati con un inserzionista di terze parti), tuttavia il flusso tra e tra i sistemi con vari livelli di sicurezza rende tutti i consumatori vulnerabili e crea un panorama maturo per attaccanti da sfruttare", ha spiegato McElroy.
David Rickard, CTO North America presso Cipher, una società di Prosegur, pensa che le persone dovrebbero presumere che ogni modulo che compilano su Internet stia salvando dati mentre è in corso l'inserimento dei dati e ogni modulo che compilano diventa di proprietà del sito Web e rivenduto a terzi.
"I dati personali e il loro valore costituiscono il modello di business di molte moderne imprese digitali negli ultimi 20 anni, anche se le loro politiche sulla privacy affermano esplicitamente che non raccolgono PII [Informazioni di identificazione personale] e non le vendono, " Rickard ha detto a Lifewire via e-mail.
Ha affermato che gli aggregatori di dati aggirano le normative sulla privacy raccogliendo diversi set di dati che potrebbero non includere nome, indirizzo, ecc., che non sono PII in quanto tali, ma se confrontati con centinaia di punti dati aggiuntivi da altri set di dati, può identificare individui con una percentuale di successo superiore al 90%.
"Questo dà origine a servizi che sono qualcosa come tabelle attuariali (o che si ritiene siano effettivamente tabelle attuariali) che indicano solvibilità, assicurabilità, occupabilità, probabilità di diverse dipendenze, probabili affiliazioni politiche e religiose, lo chiami, " disse Rickard.
