Скрытый доступ Chrome-плагинов к профилям Facebook грозит новыми утечками

Скрытый доступ Chrome-плагинов к профилям Facebook грозит новыми утечками

Многие расширения Chrome, облегчающие взаимодействие с Facebook, используют сеансовые токены пользователя для доступа к нужной информации через Graph API соцсети. Как оказалось, некоторые из этих плагинов отсылают данные из профиля на свой сервер без согласия и ведома пользователя, а также в нарушение политик Meta.

Подобная возможность создает риск массовой утечки данных фейсбукеров, и в случае злоупотребления доступом к Graph API соцсеть может вновь оказаться в центре скандала, как это уже было в 2018 году (весна, Cambridge Analytica, и осень, кража токенов через функцию View As).

На прошлой неделе компания Brave заблокировала в своем браузере загрузку расширения L.O.C. из Chrome Web Store. Плагин, помогающий юзерам автоматизировать некоторые задачи в Facebook, пользуется популярностью — его скачали из магазина Google около 700 тыс. раз, однако в Brave сочли, что он ставит под угрозу конфиденциальность пользователей.

Как выяснил The Register, используемые L.O.C. токены доступа (текстовая строка из 192 букв и цифр) можно легко получить обращением к Creator Studio — это веб-приложение Facebook отдает их в ответ на запрос GET. Свидетельств того, что плагин злоупотребляет доступом к данным в соцсети, не обнаружено, однако разработчику все же пришлось вместе с Brave заняться приведением его в соответствие с нормами безопасности и приватности.

В Chrome Web Store имеются еще несколько расширений, использующих Creator Studio для получения токенов доступа к данным в Facebook:

  • J2TEAM Security (200 000 загрузок), 
  • MonokaiToolkit (10 000), 
  • FBVN (80 000), 
  • KB2A Tool (50 000).

Все эти продукты — результат работы Facebook-группы, популярной у разработчиков, говорящих на вьетнамском языке. Они используют сеансовые токены соцсети для предоставления услуг, отсутствующих в ее ассортименте, но пользователей при этом не ставят в известность об обработке их данных.

В ответ на запрос The Register о комментарии представитель Meta заявил, что таким расширениям Chrome обычно недоступны данные сверх тех, которыми может оперировать владелец Facebook-аккаунта. Тем не менее, в компании признают наличие рисков и факт нарушения правил соцсети.

Бороться с такими проблемами без помощи Google невозможно, и Meta, как сказано в ответном письме, неоднократно просила создателя Chrome удалить провинившиеся плагины из загрузок. Разработчику L.O.C. было направлено письмо-претензия; ему даже запретили пользоваться платформой, но все эти меры не могут деактивировать плагин в браузерах фейсбукеров.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Суток мало: бизнес просит дать операторам ПДн 3 дня на разборку с утечками

Речь идет о поправках в ФЗ-152. Если их примут, сообщать о потере ПДн в Роскомнадзор придется в течение суток. В РСПП сомневаются в реальности выполнить требование. Внести “поправки в поправки” нужно успеть до второго чтения в Госдуме.

Законопроект о персональных данных был принят в первом чтении в конце мая. Поправки депутатов фактически засекречивают сведения из ЕГРН, собирать биометрические данные можно будет только с 18 лет, а у всех, кто имеет отношение к персданным, будет всего 24 часа для полного отчета перед Роскомнадзором. 

Документ сразу вызвал много вопросов. В середине июня ЦБ согласился с банками, которые считают избыточным запрет собирать данные детей с 14 до 18 лет. На этой неделе стало известно, что поправки обойдутся бизнесу в 33 млрд рублей в год. 

И вот теперь озабоченность высказали в Российском союзе промышленников и предпринимателей. Как пишут “Ведомости”, РСПП раскритиковал четыре момента: 

  • Закрытие доступа к персональным данным в Едином госреестре недвижимости (ЕГРН). Ограничение доступа «усложнит оборот объектов недвижимости и может привести к увеличению случаев мошенничества». В РСПП считают, владельцам недвижимости лучше дать право подавать в ЕГРН заявление не о разрешении на предоставление данных, а о запрете на него. Сейчас поправки автоматически закрывают доступ к реестру. Сведения можно будет получить только по согласию собственника или запросу нотариуса.
  • Еще одно новое требование касается операторов ПДн. Они должны будут уведомить Роскомнадзор об утечках в течение 24 часов. За сутки нужно выяснить причину потери данных, оценить предполагаемый вред и озвучить принятые меры. В РСПП назвали эти требования практически невыполнимыми. Оператор может сам узнать об утечке не сразу. РСПП предложил увеличить срок “отчетности” в РКН до 72 часов и отсчитывать его «с момента выявления инцидента».
  • РСПП предложил исключить из законопроекта требование уведомлять Роскомнадзор о передаче данных в другие страны. Поправка прибавит проблем маркетплейсам (“Яндекс.Маркет”, Wildberries, Ozon, AliExpress). Они работают с зарубежными продавцами.
  • Крупный бизнес, как и ЦБ, не поддерживает идею запретить сбор биометрические данные подростков с 14 до 18 лет. В РСПП объяснили: высокая возрастная планка ограничит подростков в праве получать финансовые услуги дистанционно.

РСПП направил свои замечания главе комитета Госдумы по информационной политике Александру Хинштейну (одному из инициаторов законопроекта) и руководителю Роскомнадзора Андрею Липову еще во вторник, 21 июня. В РКН подтвердили получение письма.

Примут ли во внимание “бизнес-ноту”, станет понятно на втором чтении законопроекта.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru