Таможенная служба США вторгается в частную жизнь путешественников

Таможенная служба США вторгается в частную жизнь путешественников

На администрацию президента Барака Обамы подан иск в суд за вторжение в частную жизнь людей. Сотрудники таможенной и пограничной службы США изымают у законопослушных граждан ноутбуки, сотовые телефоны и другие устройства хранения информации и копируют их содержимое.

Как сообщается, в мае, 26-ти летний докторант, подданный двух стран США и Франции, Паскаль Абидол, путешествовал поездом из Монреаля в Нью-Йорк. Сотрудники таможенной службы США учинили обыск в его ноутбуке. Обнаружив там фотографии с митинга исламистских групп Хамаз и Хейзбола, задержали его на несколько часов и изъяли компьютер, который впоследствии продержали у себя 11 дней.

После того как Абидолу отдали ноутбук, пострадавший обнаружил, что просматривались его частные фотографии, переписка с девушкой, письма электронной почты и записи. Как сообщается в иске, из-за учиненного обыска, г-н Абидол вынужден сообщить своим источникам, предоставивших ему информацию, необходимую для работы, что копии документов могут быть у таможенников. И теперь, он опасается, что этот инцидент может подпортить его репутацию, и информация может быть теперь недоступна, поскольку коллеги не будут предоставлять ему данные.

По данным Американского союза по борьбе за гражданские свободы, в период с октября 2008 по июнь 2010 года, таможенники обыскали 6671 человек, среди которых 45% - граждане США. 

В связи с этим, во вторник Американский союз по борьбе за гражданскую свободу и Национальный союз адвокатов по уголовным делам подали иск в окружной суд Нью-Йорка, под которым подписались пострадавшие от произвола. В иске защитники, ссылаясь на Первую и Четвертую поправки к Конституции США, заявили, что обыск и изъятие электронных устройств являются не правомерными, поскольку данные, содержащиеся на электронных устройствах хранения информации являются сугубо личными, и не подлежат изъятию, копированию или запрету.

Согласно Четвертой поправке Конституции США, информация, содержащаяся на электронных устройствах хранения информации принадлежащие частным лицам, является сугубо личной и не подлежит изъятию. Первая поправка к Конституции защищает свободу слова, под определение данных, не подлежащих изъятию или копированию, подпадают фотографии или информация, которая была собрана, например, учеными или журналистами, но еще не была опубликована.

OnePlus 13R отдаёт токен аккаунта любому приложению с нужной строчкой

Исследователи из Doyensec обнаружили в предустановленном ПО OnePlus 13R уязвимость, позволяющую стороннему приложению похитить токен облачной сессии. Пользователю достаточно один раз установить вредонос, дальше тот работает без дополнительных запросов и подтверждений.

Проблема находится в приложении com.oneplus.account, которое управляет аутентификацией в сервисах производителя.

Его открытый компонент OPAccountProvider защищён специальным разрешением com.oneplus.account.READ_ACCOUNT_INFO. Однако разработчики не назначили ему уровень protectionLevel="signature", который ограничил бы доступ приложениями, подписанными OnePlus.

В результате любое стороннее приложение может просто указать нужное разрешение в своём манифесте и обратиться к провайдеру. Тот по определённой команде возвращает токен действующей сессии OnePlus Cloud. Никаких всплывающих окон, пугающих предупреждений и торжественного согласия владельца не требуется.


В первоначальной демонстрации исследователи использовали украденный токен для обращения к OnePlus Cloud API и изменения персональных данных жертвы. Для подготовки PoC они также разобрали механизм подписи и шифрования запросов, но не стали публиковать его реализацию.

Doyensec сообщила об уязвимости производителю 30 декабря 2025 года. OnePlus признала проблему, оценила её опасность как высокую и в марте 2026 года выплатила исследователям $720.

С исправлением вышло менее бодро. В сентябре специалисты повторно проверили OnePlus 13R с прошивкой CPH2691_16.0.10.500(EX01) и подтвердили, что недоверенное приложение по-прежнему может получить токен, а региональный API его принимает.

При этом полностью воспроизвести изменение данных для аккаунтов США и региона EMEA уже не удалось из-за изменений на стороне сервиса. То есть утечка токена осталась, но полный захват аккаунта на свежей версии пока не подтверждён.

Пользователям рекомендуют не устанавливать приложения из сомнительных источников и следить за обновлениями. OnePlus же осталось добавить к разрешению одно слово — signature.

RSS: Новости на портале Anti-Malware.ru