Правозащитная организация Electronic Frontier Foundation выпустила седьмой по счету доклад «Кто прикрывает вашу спину?» о том, как крупнейшие технологические компании США заботятся о приватности персональных данных своих клиентов. Исследовались только американские компании, однако их сервисы популярны по всему миру.
В этом году EFF включила в свое исследование 26 фирм. Каждую оценивали по пяти критериям:
Наличие прозрачной отчетности о взаимодействии с государством (публикация в открытом доступе информации о необходимости предоставления властями соответствующих ордеров, о количестве запросов властей и о том, как компания отвечает на эти запросы);
Наличие предупреждения пользователей о том, что их данные могут быть переданы властям;
Гарантия того, что данные клиентов не попадут к властям через третьих лиц;
Проверка законности секретных запросов правительства США;
Противостояние слежке за гражданами.
Соответствие одному критерию давало компании одну звезду в рейтинге. В итоге максимальные 5 звезд получили 9 фигурантов исследования, 4 звезды — 7, 3 звезды — 4, 2 звезды — 2, а минимальную одну звезду — 4 компании.
В четверку худших вошли телекоммуникационные гиганты AT&T, Comcast, T-Mobile и Verizon. Как отмечается в докладе, если перед ними встает выбор между приватностью данных пользователей и удовлетворением запросов правительства, они выбирают последнее,
Две звезды у онлайн-магазина Amazon и мессенджера WhatsApp говорят о том, что эти компании, пользующиеся большой популярностью в России, не особо заботятся о приватности данных пользователей. Онлайн-ритейлер хоть и отчитывается о своих взаимодействиях с правительством США, но не уведомляет пользователей заранее о том, что их личная информация может быть передана властям, и удовлетворяет все ордеры, отвечающие требованиям законодательства.
Что касается WhatsApp, то он также не информирует пользователей о передаче данных властям. В его правилах вообще не записано, как компания удовлетворяет «секретные запросы». К тому же он не гарантирует, что данные не будут проданы третьим лицам.
Интересно, что Facebook, которая владеет WhatsApp, получила от составителей доклада четыре звезды. Столько же у Apple, Google, Linkedin, Microsoft, Yahoo! и Slack.
Три звезды набрали Snap, Tumblr, Twitter и Airbnb.
Требованиям всех пяти критериев отвечают Adobe, Dropbox, Lyft, Uber, Pinterest, Credo, Sonic, Wickr и Wordpress. В 2013 году все возможные звезды собрали только две компании.
«С тех пор как Electronic Frontier Foundation начала публиковать свои исследования семь лет назад, крупные технологические компании стали более открыто предоставлять информацию о том, как и когда они предоставляют наши данные правительству», — отмечается в докладе. Авторы считают, что публикация данных разведки США Эдвардом Сноуденом и последующая общественная реакция о приватности в интернете послужили основным катализатором глобальных изменений, которые произошли в политике крупных компаний.
Злоумышленники могут выяснять имена корпоративных учётных записей, проверяя адреса OneDrive и SharePoint. Microsoft признаёт возможность такой разведки, но относит её к низкому риску: сам по себе найденный логин не позволяет обойти аутентификацию.
Позицию компания объяснила в своём техническом блоге. Речь идёт об определении UPN — имени пользователя в корпоративной инфраструктуре.
Проверяя URL, атакующий может установить существующие учётные записи и использовать результат для адресного фишинга, перебора паролей или попыток входа с ранее украденными комбинациями.
Есть ещё нюанс, что такие проверки не отражаются в журналах входа Microsoft Entra и Microsoft Purview. Прямых уведомлений о том, что кто-то выявляет пользователей организации этим способом, тоже нет.
Microsoft ограничивает чрезмерные запросы к несуществующим сайтам OneDrive. Это затрудняет массовый сбор, но полностью возможность определения логинов не устраняет.
Компания рекомендует многофакторную аутентификацию, условный доступ, политики риска входа и защиту от фишинга. Логика понятна: найденное имя не должно превращаться в доступ к аккаунту.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
