Американские правозащитники выступают против закона о киберданных и защиты информации

Американские правозащитники выступают против закона о защите информации

Поборники неприкосновенности частной жизни готовятся к новому раунду борьбы против принятия законопроекта об обмене информацией, который, по их мнению, позволит частным компаниям помогать правительству США шпионить за американскими гражданами.



Речь идет о Законе об обмене киберданными и защите киберинформации. В прошлом году он был принят Палатой представителей, но не получил одобрения Сената. Конгрессмены Майк Роджерс и Датч Рупперсбергер надеются, что в этом году он все же будет принят. На дискуссии, посвященной вопросам кибербезопасности, проходившей в среду в Вашингтоне, они сообщили, что вновь вносят законопроект на рассмотрение.

«Если Палата представителей хочет принять разумный проект о кибербезопасности, который также защищает частную жизнь, то нужно, чтобы эти программы контролировались гражданскими структурами»
Из заявления Американского союза гражданских свобод.

Сторонники этого закона считают, что он поможет правительству защищать частные компании и федеральные ведомства от кибератак из таких стран, как Иран и Китай, а также хакерских групп, подобных Anonymous.

«Американская промышленность подвергается атакам, что обходится нашей стране и экономике в миллиарды долларов и тысячи рабочих мест, – заявил Рупперсбергер. – Нам нужно сделать все, чтобы американские компании могли защищать себя от этих разрушительных кибератак. Именно в этом и состоит суть нашего законопроекта – он позволяет добровольно обмениваться информацией о критических угрозах при одновременном сохранении важных гражданских свобод», сообщает cybersecurity.ru.

Однако эти заявления убеждают не всех.

В Американском союзе гражданских свобод (АСГС) считают, что законопроект позволит компаниям передавать щепетильную информацию об интернет-активности граждан Агентству национальной безопасности и Министерству обороны, не предпринимая никаких разумных усилий для защиты их частной жизни.

Представитель некоммерческой организации «Конституционный проект» Шэрон Брэдфорд Франклин в интервью газете Washington Post заявила о «порочности» закона. Она выразила обеспокоенность характером той информации, которую компании могут передавать правительству, отметив, что «Конгресс должен также обратить внимание на очень реальную угрозу, которую несет этот законопроект правам на тайну частной жизни и гражданским свободам американцев».

АСГС призывает американских граждан на борьбу за право на сохранение конфиденциальности своей активности в Интернете.

«Если Палата представителей хочет принять разумный проект о кибербезопасности, который также защищает частную жизнь, то нужно, чтобы эти программы контролировались гражданскими структурами, объем персональной информации, которой будут обмениваться правительство и корпорации, был минимальным, а также обеспечивалась защита от нецелевого использования собранной информации», – говорится в заявлении АСГС.

В среду законопроект вызвал многочисленные критические комментарии в Twitter.

Напомним, что в свое время Обама подписал указ, позволяющий таким частным компаниям, как Google, передавать приватную информацию о пользователях правительственным органам.

По своему содержанию законопроект идентичен документу, принятому Палатой представителей в прошлом году. Он позволит федеральному правительству предоставлять компаниям секретную информацию о киберугрозах, разрешит компаниям обмениваться информацией о киберугрозах с правительством и другими компаниями, и предусматривает ответственность для компаний, которые делятся или получают такую информацию.

Повторное внесение законопроекта произошло через день после того, как президент Барак Обама подписал новый указ о кибербезопасности, который позволяет правительству обмениваться информацией о киберугрозах с частными компаниями, работающими в ключевых инфраструктурных сферах государства, таких как банковская система, связь, энергетика и транспорт.

Хотя этот указ очень похож на спорный законопроект, в АСГС весьма позитивно оценили инициативу президента.

«Указ президента по определению не может отменить меры по защите права на тайну частной жизни, предусмотренные действующим законодательством, – говорится в заявлении Союза. – Иными словами, указ не делает для компаний исключения из существующих положений о конфиденциальности и не позволяет правительству собирать новую информацию. Он предполагает только изменение политики и практики в рамках существующих полномочий».

Тем не менее, Палата представителей и Сенат могут все же одобрить спорный законопроект. Тогда президент может воспользоваться правом вето, как он обещал в прошлом году, когда документ начал свое движение в Конгрессе.

Миллионы пользователей браузеров стали жертвами расширений-шпионов

Исследователи из Koi Security рассказали о масштабной кампании с использованием расширений для браузеров, за которой, по их оценке, стоит китайская кибергруппа. Новая операция получила название DarkSpectre и затронула около 2,2 млн пользователей Chrome, Edge и Firefox.

Если учитывать более ранние кампании той же группы — ShadyPanda и GhostPoster, — общее число пострадавших превышает 8,8 млн человек за последние семь лет.

Ранее Koi уже связывала DarkSpectre с ShadyPanda — серией расширений, маскировавшихся под полезные инструменты и занимавшихся кражей данных, подменой поисковых запросов и мошенничеством. Тогда речь шла о 5,6 млн пользователей, включая более 100 расширений, часть из которых «просыпалась» только спустя годы после публикации.

Одно из таких расширений для Edge, например, активировало скрытую логику лишь через три дня после установки — очевидно, чтобы спокойно пройти модерацию в магазине. При этом исследователи обнаружили десятки так называемых «спящих» аддонов: сейчас они ведут себя безобидно, набирают аудиторию и положительные отзывы, но могут получить опасные функции с очередным обновлением.

Вторая кампания, GhostPoster, была в основном нацелена на пользователей Firefox. Под видом утилит и VPN-расширений они внедряли JavaScript-код для подмены партнёрских ссылок, трекинга и рекламных махинаций. Среди находок есть даже расширение «Google Translate» для Opera, набравшее практически миллион установок.

Самая свежая и, пожалуй, самая тревожная часть истории — так называемый Zoom Stealer. Это набор из 18 расширений для Chrome, Edge и Firefox, замаскированных под инструменты для Zoom, Google Meet и GoToWebinar. Их задача — собирать корпоративную информацию: ссылки на встречи (включая пароли), ID конференций, темы, описания, расписание и статус регистрации. Данные передаются в реальном времени через WebSocket-соединения.

Причём на этом сбор не заканчивается. Расширения вытягивают сведения о спикерах и организаторах вебинаров — имена, должности, биографии, фотографии, названия компаний, логотипы и рекламные материалы. Всё это происходит каждый раз, когда пользователь просто заходит на страницу регистрации мероприятия.

По словам исследователей, эти дополнения запрашивают доступ сразу к 28 платформам видеосвязи, включая Zoom, Microsoft Teams, Cisco WebEx и Google Meet — даже если расширению такой доступ вообще не нужен.

 

«Это не потребительское мошенничество, а инфраструктура корпоративного шпионажа, — подчёркивают специалисты Koi Security. — Пользователи действительно получали обещанную функциональность, доверяли расширениям и ставили им высокие оценки. А наблюдение шло тихо и незаметно».

Собранные данные могут использоваться для шпионажа, сложных схем социальной инженерии и масштабных операций по подмене личности. Связь кампаний с Китаем исследователи подтверждают сразу несколькими признаками: использованием серверов Alibaba Cloud, регистрациями в китайских провинциях, фрагментами кода с китайскими комментариями и мошенническими схемами, ориентированными на JD.com и Taobao.

В Koi Security считают, что это далеко не конец истории. По их словам, у DarkSpectre могут уже быть новые расширения, которые пока выглядят полностью легитимными — они «копят доверие» и просто ждут своего часа.

RSS: Новости на портале Anti-Malware.ru