Скрытый доступ Chrome-плагинов к профилям Facebook грозит новыми утечками

Скрытый доступ Chrome-плагинов к профилям Facebook грозит новыми утечками

Скрытый доступ Chrome-плагинов к профилям Facebook грозит новыми утечками

Многие расширения Chrome, облегчающие взаимодействие с Facebook, используют сеансовые токены пользователя для доступа к нужной информации через Graph API соцсети. Как оказалось, некоторые из этих плагинов отсылают данные из профиля на свой сервер без согласия и ведома пользователя, а также в нарушение политик Meta.

Подобная возможность создает риск массовой утечки данных фейсбукеров, и в случае злоупотребления доступом к Graph API соцсеть может вновь оказаться в центре скандала, как это уже было в 2018 году (весна, Cambridge Analytica, и осень, кража токенов через функцию View As).

На прошлой неделе компания Brave заблокировала в своем браузере загрузку расширения L.O.C. из Chrome Web Store. Плагин, помогающий юзерам автоматизировать некоторые задачи в Facebook, пользуется популярностью — его скачали из магазина Google около 700 тыс. раз, однако в Brave сочли, что он ставит под угрозу конфиденциальность пользователей.

Как выяснил The Register, используемые L.O.C. токены доступа (текстовая строка из 192 букв и цифр) можно легко получить обращением к Creator Studio — это веб-приложение Facebook отдает их в ответ на запрос GET. Свидетельств того, что плагин злоупотребляет доступом к данным в соцсети, не обнаружено, однако разработчику все же пришлось вместе с Brave заняться приведением его в соответствие с нормами безопасности и приватности.

В Chrome Web Store имеются еще несколько расширений, использующих Creator Studio для получения токенов доступа к данным в Facebook:

  • J2TEAM Security (200 000 загрузок), 
  • MonokaiToolkit (10 000), 
  • FBVN (80 000), 
  • KB2A Tool (50 000).

Все эти продукты — результат работы Facebook-группы, популярной у разработчиков, говорящих на вьетнамском языке. Они используют сеансовые токены соцсети для предоставления услуг, отсутствующих в ее ассортименте, но пользователей при этом не ставят в известность об обработке их данных.

В ответ на запрос The Register о комментарии представитель Meta заявил, что таким расширениям Chrome обычно недоступны данные сверх тех, которыми может оперировать владелец Facebook-аккаунта. Тем не менее, в компании признают наличие рисков и факт нарушения правил соцсети.

Бороться с такими проблемами без помощи Google невозможно, и Meta, как сказано в ответном письме, неоднократно просила создателя Chrome удалить провинившиеся плагины из загрузок. Разработчику L.O.C. было направлено письмо-претензия; ему даже запретили пользоваться платформой, но все эти меры не могут деактивировать плагин в браузерах фейсбукеров.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Госдума: россиян будут пускать в интернет только после идентификации

В ближайшие три года все действия пользователей в российском сегменте интернета могут стать полностью деанонимизированными, а доступ в сеть — возможен только после идентификации личности. Об этом заявил зампред комитета Госдумы по информационной политике Андрей Свинцов.

По словам депутата, которые передаёт «Газета.Ru», развитие цифровых технологий требует наведения порядка в онлайн-пространстве, и без введения системы верификации сделать это невозможно.

«Через три, максимум пять лет всё, что мы делаем в интернете, будет деанонимизировано. Каждый пользователь будет входить в Сеть через специальный идентификатор, который подтвердит его возраст и права доступа. По сути, аналог “Госуслуг” — когда ты верифицированный пользователь и получаешь полный набор возможностей», — пояснил Свинцов.

Он считает, что интернет постепенно «засоряется» ботами и сгенерированным контентом, из-за чего теряет ценность для реальных пользователей:

«Интернет стремительно превращается в мертвый — где боты генерируют контент, размещают его на фейковых страницах, а ленты соцсетей заполняются материалами без живых авторов. Всё это нужно ограничивать, иначе соцсети потеряют смысл».

По словам парламентария, идентификация пользователей могла бы стать способом борьбы не только с ботами, но и с распространением нелегального и безответственного контента.

Напомним, ранее член Общественной палаты Евгений Машаров выступил с похожей инициативой — он предложил обязательную идентификацию по паспорту для доступа к материалам 18+.

Машаров объяснил, что многие подростки беспрепятственно смотрят «взрослый» контент, включая видео с нецензурной лексикой и сценами насилия, что, по его мнению, негативно влияет на их психику и ценностные установки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru