как приложения следят за нами
Мобильные приложения за вами следят
Мобильные приложения могут отслеживать ваше местоположение и продавать данные о нем третьим лицам. Что с этим можно сделать?
Некоторые мобильные приложения отслеживают данные о местоположении и скрытно передают их сервисам, которые эти данные собирают и продают. Вы почти наверняка пользуетесь хотя бы одним таким приложением, даже не подозревая об этом. Как выявить шпионящее приложение — и что с этим можно сделать?
Какие мобильные приложения следят за вами
В марте, когда пандемия еще только начиналась, в твиттере компании Tectonix появилась красивая визуализация того, как люди, отдыхавшие на одном из пляжей во Флориде, впоследствии разъехались по всей территории США. Она основывалась на данных, предоставленных некой компанией X-Mode. Увидев эту визуализацию, директор Kaspersky GReAT Костин Райю (Costin Raiu) задумался: откуда в X-Mode взяли эти данные?
Как выяснилось, эта организация разрабатывает SDK (компонент, который разработчики могут легко встроить в свои приложения) и готова ежемесячно платить использующим ее разработчикам ту или иную сумму в зависимости от количества пользователей приложения. Этот компонент, в свою очередь, собирает информацию о местоположении и некоторые другие данные (в частности, показания датчиков движения смартфона) и отправляет их на серверы X-Mode. Впоследствии компания продает эти данные всем желающим.
В X-Mode утверждают, что, во-первых, данные продаются в обезличенном виде, а во-вторых, что SDK почти не влияет на время работы смартфона от одной зарядки и тратит от 1 до 3% заряда, так что пользователи даже не заметят его и не испытают каких-либо неудобств. В компании также считают, что заниматься подобным сбором сведений «вполне законно» и что их SDK полностью соответствует Общему регламенту по защите данных (GDPR).
Сколько существует подобных приложений для отслеживания
Райю задался вопросом, а не отслеживают ли и его смартфон аналогичным образом? Он пришел к выводу, что самый простой способ это выяснить — определить адреса командных серверов, которые использует SDK, и затем начать анализировать исходящий трафик с устройства. Если какое-то приложение на смартфоне связывается хотя бы с одним из таких узлов, значит, слежка действительно ведется. Соответственно, для начала Райю нужно было узнать адреса этих серверов. Проведенное расследование легло в основу его выступления на конференции SAS@Home.
Потратив некоторое время на реверс-инжиниринг, расшифровку данных и прочие процедуры, Райю определил адреса командных серверов и написал программу, которая сообщает, если какое-либо приложение пытается к ним обратиться. По сути, он выяснил, что если в приложении есть определенная строка программного кода, то оно использует «следящий» SDK.
Райю обнаружил более 240 приложений со встроенной SDK. Суммарно число их установок перевалило за 500 миллионов. Если предположить, что каждый пользователь загрузил такое приложение единожды, то можно примерно оценить, что у каждого 16-го жителя планеты на устройстве есть приложение, следящее за его перемещениями. Выражаясь иначе, вероятность того, что лично у вас на смартфоне есть одно из этих приложений — 1/16.
Более того, X-Mode — лишь одна из десятков компаний в данной отрасли. Есть другие, и у них уже свои SDK.
Ничто не мешает разработчикам использовать сразу несколько подобных SDK. Например, когда Райю изучал одно из приложений, в которое автор встроил X-Mode SDK, он обнаружил еще пять подобных компонентов других компаний, которые тоже собирали данные о местоположении. Очевидно, что разработчик пытался выжать из приложения максимум прибыли.
Что самое интересное, вышеупомянутое приложение было платным! Так что даже если вы раскошелились на приложение, к сожалению, это еще не значит, что разработчики не попытаются заработать еще больше, продавая ваши данные.
Что можно сделать для борьбы со слежкой
Проблема с подобными SDK для отслеживания в том, что при загрузке и установке приложения вы просто не знаете, содержит оно такие компоненты или нет. Приложение может на вполне законных основаниях запрашивать разрешение на доступ к информации о местоположении, ведь без него многие функции не будут корректно работать. Но вместе с тем оно сможет продавать эти данные, и пользователю будет непросто понять, делает оно это или нет.
Чтобы помочь технически подкованным пользователям снизить вероятность слежки, Райю составил список серверов, которыми пользуются SDK для отслеживания. Он доступен на личной странице эксперта на GitHub. Компьютер RaspberryPi с установленными программами Pi-hole и WireGuard поможет проанализировать трафик в вашей домашней сети и выявить приложения, которые пытаются связаться с командными серверами любопытных SDK.
Однако для большинства пользователей это очень сложный путь. К счастью, есть более простые способы снизить риск слежки со стороны таких приложений и служб — ограничить права, которые они имеют на вашем устройстве.
12 подозрительных приложений на телефоне, которые могут шпионить за пользователем
Приложения на смартфоне, которые желательно удалить (если вам важна безопасность и анонимность)
Некоторые из обширного списка наиболее популярных приложений для смартфонов, на которые привыкли полагаться, могут представлять некоторую (порой и достаточно серьезную) опасность, превышающую положительные качества программ. Предлагаем ознакомиться со списком таких программ и предоставим слово экспертам в сфере компьютерной безопасности.
Для этого есть приложение… но стоит ли его использовать?
Все мы безусловно любим наши мобильные телефоны и те миллионы способов, которыми они соединяют нас и облегчают нашу жизнь. Но некоторые из тех приложений могут стать тем «трамплином», от которого киберпреступники могут оттолкнуться для кражи вашей личной информации или даже взлома ваших банковских счетов.
Итак, что делать, чтобы минимизировать риски кражи конфиденциальной информации и какие популярные приложения лучше обходить стороной, ведь они могут без вашего ведома похищать ваши данные…
Не загружайте на телефон какие попало приложения: общий совет
«Вы можете избежать массы душевных страданий, если предпримете несколько простых шагов, прежде чем загрузите какое-либо приложение», — предупреждает Калеб Барлоу, бывший вице-президент IBM по безопасности и действующий генеральный директор и президент CynergisTek.
«Приобретайте мобильные приложения только в официальных магазинах», — объясняет он, имея в виду GooglePlay и Apple store.
Купив приложение, советует специалист, обращайте пристальное внимание, какими правами обладает новая программа, причем проверяйте это регулярно.
Если приложение проявляет подозрительную активность, отключите доступ к тем или иным функциям, которые не требуются для правильной его работы.
Также перед покупкой неплохо для начала провести небольшое исследование. Барлоу рекомендует проверить, сколько отзывов у приложения, прежде чем загружать его. В идеале все, что вы добавляете в свой телефон, должно быть проверено тысячами человек.
1. CamScanner
Анна Бера — эксперт по кибербезопасности Safe at Last. Она определила CamScanner, приложение, имитирующее сканер на вашем телефоне, как одно из тех приложений, о которых потребитель должен обеспокоиться в обязательном порядке.
«Эксперты по кибербезопасности обнаружили установленный в приложении вредоносный компонент, который действует как загрузчик троянских программ собирать зараженные файлы», — поясняет она.
«Такие приложения могут серьезно повредить ваш телефон, и их следует немедленно удалять. К счастью, если вы удалите его из телефона, маловероятно, что он будет продолжать причинять вред».
Впрочем, подчеркивает эксперт, существуют и более безопасные альтернативы, которые выполняют те же функции, что и программа CamScanner.
2. Приложения погоды
«Проверьте приложение погоды, — говорит Шейн Шерман, генеральный директор TechLoris. — Существовало несколько различных приложений погоды, в которых были зашиты трояны или другие вредоносные программы».
Обычно создатели таких приложений, уличенных в присутствии вредоносных программ, утверждают, что собранная таким способом информация используется исключительно для точности погодных условий. Также, безусловно, разработчики никогда не признаются, что используют всевозможные троянские программы для данных целей.
«Вместо этого смотрите местный прогноз по ТВ, а если у вас установлено приложение Good Weather, удалите его немедленно, — советует он. — Оно особенно опасно».
3. Facebook
Удивительно, но в список попала и мегапопулярная программа от основателя социальных сетей — Facebook. Эксперт по кибербезопасности Раффи Джафари, соучредитель и креативный директор Caveni Digital Solutions, говорит:
«Если вы ищете приложения, которые нужно удалить для защиты вашей информации, то самым главным виновником здесь является Facebook. Масштаб сбора данных ими ошеломляет, и зачастую он более навязчив, чем у таких компаний, как Google, например. Если вам нужно удалить приложение для защиты ваших данных, это должен быть Facebook».
К сожалению, Джафари говорит, что Facebook «печально известен тем, что собирает данные о вас, даже если вы не пользуетесь их услугами. Но удаление приложений Facebook с вашего телефона — отличный первый шаг к защите вашей конфиденциальности».
Вторым шагом для сохранения конфиденциальности будет отключение отправки местоположения на iPhone…
4. WhatsApp
FUTURE PUBLISHING/GETTY IMAGES
«Это призыв к действию для пользователей, которые могут быть в танке и не подозревать об уязвимостях, обнаруженных ранее в этом году», — говорит Майкл Ковингтон, вице-президент по продуктам компании Wandera, лидера в области мобильной безопасности.
«Уязвимости в WhatsApp — как для iOS, так и для Android — позволяли злоумышленникам атаковать пользователей, просто отправляя специально созданное сообщение на их номер телефона. После успешного использования подсадной утки злоумышленникам будет предоставлен доступ к тем же вещам, к которым имел доступ WhatsApp, включая микрофон, камеру, список контактов и многое другое».
При помощи этой программы, разработанной Facebook (опять они), у злоумышленников появились широчайшие возможности для своих шпионских игр.
«Это была одна из самых распространенных проблем, которые я видел на мобильных устройствах, и мы продолжаем наблюдать устаревшие версии программы на корпоративных устройствах», — говорит Ковингтон.
К счастью, «дырку» легко заткнуть — просто обновите приложение до последней версии.
5. Instagram
Дэйв Солсбери, директор Центра кибербезопасности и анализа данных Дейтонского университета, говорит, что Instagram «запрашивает несколько разрешений, которые включают, помимо прочего, изменение и чтение контактов и содержимого вашего хранилища, определение местоположения вашего телефона, чтение журнала вызовов и т. д., изменение настроек системы и получение полного доступа к сети».
Что еще более тревожно — обновления могут автоматически добавлять дополнительные возможности, расширяя их на вашем устройстве.
6. Facebook Messenger
Facebook Messenger — приложение для обмена мгновенными сообщениями и видео, созданное Facebook.
Поскольку Messenger — это отдельное приложение Facebook, Аттила Томашек, эксперт по цифровой конфиденциальности в компании ProPrivacy, считает, что его также важно внести в список.
«Удаление Facebook Messenger — это простая задача, основанная на пугающе слабом подходе компании к защите конфиденциальности пользователей, — говорит Томашек. — Сообщения, которые вы отправляете и получаете с помощью приложения Facebook Messenger, не зашифрованы, а это означает, что все они доступны для просмотра любому сотруднику Facebook с соответствующим уровнем доступа».
«Более того, приложение автоматически сканирует любые ссылки или фотографии, которые вы отправляете, и если какой-либо подозрительный контент будет отмечен алгоритмом, ваши сообщения будут прочитаны модераторами Facebook»*, — добавляет Томашек.
*Скорее всего, речь идет все же о рынке США; неизвестно, премодерируются ли сообщения подобным образом в других странах.
7. Приложения-фонарик
Спорим, вы такого не ожидали?!
«Бесплатные приложения-фонарики часто сопряжены с высоким риском нарушения кибербезопасности», — говорит Гарольд Ли, вице-президент ExpressVPN, компании по обеспечению конфиденциальности и безопасности потребителей.
«Многие из этих приложений бесплатны, но с размещением рекламы, а также они часто запрашивают разрешения, например, такие как доступ к аудиозаписям и контактной информации, для их нормальной работы. Когда пользователи устанавливают эти приложения, они рискуют поделиться своими личными данными с разработчиками приложений, которые монетизируют данные, продавая их рекламодателям».
Ли рекомендует полностью удалять такие приложения. Также он рекомендует обновить пароли для любых учетных записей в социальных сетях или электронной почты, которые вы используете на своем телефоне.
Вы также можете написать в интересующие вас компании и попросить удалить все ваши данные. Согласно законам некоторых стран и штатов, потребители имеют право на удаление всех своих данных.
8. Angry Birds
«Когда Сноуден разоблачил тактику слежки агентства АНБ (Агентство национальной безопасности США), он особо упомянул приложение Angry Birds как приложение, которое АНБ использовало для скачивания личных данных пользователей, — говорит Томашек. —Приложение сливало личные данные, такие как номера телефонов пользователей, журналы вызовов, страну проживания, текущее местоположение и даже семейное положение, и АНБ без всяких опасений забирало их себе».
Томашек говорит, что если на вашем телефоне установлена эта игра, лучшее, что вы можете сделать, — это удалить ее. Но, добавляет он,
«разработчики приложений Angry Birds с тех пор явно исправили уязвимость, которая позволяла утечку информации. Так что если вы поверили разработчикам на слово и просто не можете удержаться от того, чтобы не пострелять птицами из рогатки на экране телефона, то, по крайней мере, обновите приложение до последней версии».
9. Игра: Zombie Mod
Даже если вы одержимы зомби, вы, скорее всего, захотите пропустить игру Zombie Mod после того, как узнаете о ней некоторые секреты.
Ковингтон говорит: «Эта игра пыталась собрать огромный объем личных данных из учетных записей пользователей Google, включая имена пользователей и пароли Gmail, а также пыталась получить прибыль от агрессивной рекламы, которая в некоторых случаях блокировала устройство и вынуждала пользователя выполнить сброс и начать с нуля». Это серьезная проблема.
Кроме того, добавляет Ковингтон, «эта игра затронула более 50 000 пользователей Android и является частью семейства мод-игр, основанных на одной и той же программной основе. Мы рекомендуем пользователям внимательно следить за играми, которые у них стоят на устройствах, и удалять те из них, в которые они не играют активно или которые доставляют неудобства пользователям».
К сожалению, пользователям, которые уже установили игру на свое устройство, может быть не так просто удалить ее, как говорится, в два клика.
«Пользователи должны начать с поиска и удаления оригинального приложения Scary Granny Zombie Mod, — говорит Ковингтон. — И даже более важно, чем удаление приложения, мы рекомендуем любому пользователю, которого обманом заставили установить игру, также изменить пароль своей учетной записи Google».
10. DoorDash (как пример зарубежного популярного приложения, опасного для пользователя)*
*Сервис доставки еды, которым пользуются свыше 18 млн потребителей.
«Весной этого года популярное приложение DoorDash было включено в расследование Washington Post, выявившее тревожный объем личных данных, которые приложение отслеживает и передает третьим лицам, — говорит Томашек. —Расследование показало, что, открывая приложение, вы отправляете свои данные на девять отдельных сторонних трекеров. В эти данные входит такая информация, как ваше имя, адрес электронной почты и физический адрес, а также марка и модель вашего телефона. Кроме того, приложение также использует рекламные трекеры Facebook и Google».
Томашек рекомендует как можно скорее удалить приложение, но это не значит, что, удалив его, вы решите проблему на корню.
«К сожалению, некоторые приложения могут использовать так называемые «удаленные трекеры», которые в основном предупреждают разработчика приложения, что пользователь удалил приложение, — объясняет он. — Хотя приложение больше не сможет отслеживать вас или собирать ваши данные, вы можете заметить, что на вашем телефоне повсюду появляются рекламные объявления о приложении, которое вы удалили, пытаясь побудить вас загрузить его снова».
11. Приложения для детей
ULLSTEIN BILD/GETTY IMAGES
Вам также следует «очень осторожно относиться к детским играм и приложениям, у которых мало отзывов или их нет вообще», — предупреждает Барлоу.
12. Приложения для знакомств
По данным компании Clairo, занимающейся кибербезопасностью, Tinder и Grindr собирают более 50% ваших личных данных (больше только Facebook — 70%). Подумайте об этом: они получают имена, адреса электронной почты, номера телефонов, данные о роде деятельности и даже такую информацию, как владение домашними животными, помимо очевидных данных о местонахождении и возрасте.
В 2020 году в пяти различных приложениях для онлайн-знакомств произошли утечки данных, утечка информации произошла из миллионов профилей, что подвергло пользователей этих приложений риску фишинга, телефонного мошенничества и кражи личных данных.
Вместо итога: все приложения следят за нами, но некоторые нагло влезают в частную жизнь, другие — нет
Да, использование любого приложения сопряжено с определенным риском. Поэтому независимо от приложения Дэйв Солсбери рекомендует пользователям всегда проверять разрешения, отключать службы определения местоположения, когда это возможно (хотя некоторые приложения могут не работать без этого), и отключать геотеги для изображений.
«С местоположением и данными геотегов маркетологи и, возможно, менее солидные люди могут создать довольно приличный профиль того, куда вы пошли и когда. Последствия для конфиденциальности должны быть очевидны», — говорит Солсбери.
Не забывайте: смартфоны Android следят за вами
В современном мире информация про вас — самый ценный товар. А смартфон — его главный поставщик.
Ваши звонки, переписки, интересы и даже фотографии успешно продаются, чтобы быть использованными против вас самих.
Но никто не сливает инфу про вас так часто и эффективно, как это делает смартфон на Android.
Что про вас уже знает Google?
Google публично выступает за свободный доступ к информации, делая всевозможные данные в сети доступными для миллионов пользователей.
Компания фактически открыто признается: мы продаем вашу инфу, но зато предоставляем вам классные бесплатные сервисы на её основе. Такой вот договор.
Android-смартфоны и планшеты собирают и отправляют тонны сведений о своем пользователе, ведь они под завязку напичканы сервисами от Google.
Посудите сами. Поисковик по умолчанию, браузер Chrome, магазин приложений, клиент YouTube, стандартный картографический сервис, инструменты для синхронизации контактов, почтовое приложение, браузер фото и музыкальный плеер.
Всё это собирает ваши данные, причем легально, ведь вы согласились с условиями использования.
Да и сама операционная система Android тоже собирает немало статистических данных. Например, ваше местоположение и то, как оно меняется.
Кроме местоположения, всегда собирается детальная статистика по звонкам, сообщениям и переписке. В Google знают адресатов, продолжительность разговоров, точное время общения. Нет, серьёзно. Просто они не пишут ваше имя, когда продают эту инфу другим.
Под предлогом совершенствования сервисов собирается история просмотренного и прослушанного, маршруты в картах, запросы в поиске, предпочтения в социальных сетях…
В итоге Android — это чистой воды «троянский конь», как и вся бизнес-стратегия Google. Как спрут, они тянут из вас информацию всеми возможными способами и затем пытаются что-то вам продать. Или вас.
Что знают создатели приложений Android?
Если делиться с Google юзеры Android уже привыкли, то вот отдавать конфиденциальную информацию в руки сторонних разработчиков хочется не всем. И это логично.
Открытость операционной системы играет злую шутку.
Во-первых, на большинстве версий Android приложения запрашивают разрешения на доступ к вашим данным в момент начала загрузки из магазина. Многие просто разрешают всё, чтобы поскорее начать установку проги.
Дальше юзер просто единожды открывает приложение – и сливает всю инфу, которая нужна разработчику и многочисленным рекламным сеткам, автоматически выкупающим различные виды данных для быстрого использования в контекстной рекламе.
Для отключения же разрешений нужно бороздить просторы системных настроек, и туда лезут единицы.
Во-вторых, приложению достаточно лишь получить разрешение на подключение к сети для слежки за пользователем. Дальше включается уже описанный механизм определения местоположения по сигналу базовых станций, и статистика для рекламодателей готова.
Разработчики некоторых приложений даже не пытаются замаскировать отправку данных о местоположении устройства. Так французские исследователи решили проверить, какие геолокационные сведения рассылает среднестатистический смартфон.
В итоге выяснилось, что около 30% популярных приложений на Android отправляют ваше местоположение на сервера разработчика и рекламных сетей. Например, Google Play фиксирует позицию пользователя в среднем раз в 10 минут, клиенты социальных сетей – почти раз в минуту, а самые требовательные программы обновляют позицию пользователя каждые 5-10 секунд.
Некоторые из вас так боятся слежки! Но ходят с карманным GPS-трекером высочайшей мощности, который вдобавок знает о вас всё. Странная ситуация, но таков Android: он манит, а за спиной предает.
Какие данные о вас уже собрал Android-смартфон?
Почта и контактные данные владельца: запрашивает более 70% приложений в момент первого запуска.
Записи телефонной книги: четверть приложений после установки получает доступ к контактам и при первом подключении к сети отправляет их разработчикам.
История звонков и сообщений: около 35% приложений запрашивают данные о совершенных и принятых вызовах, продолжительности звонков и аналогичную статистику по сообщениям. Больше половины из них передают еще и контакты собеседников.
Местоположение устройства: данные с GPS датчиков или путем расчета по местоположению станций сотовой связи собирает около 30% приложений, данные собираются очень активно (до нескольких раз в секунду) и при наличии сети отправляются на установленные адреса.
Служебная информация: отслеживается каждым четвертым приложением. Запрашиваются параметры смартфона, модель устройства, номер телефона, IMEI и другая информация.
Поисковые запросы: все без исключения браузеры и поисковые ассистенты собирают статистику запросов поиска. Кроме этого подобным грешат многие приложения – справочники. Например, справочник лекарств и медицинских препаратов может отслеживать запросы по заданным ключевым словам и отправлять их разработчику. Так можно продать фармацевтическому рекламодателю целевого клиента.
Введенные с клавиатуры данные: 90% приложений-клавиатур, ланчеров и оболочек, заменяющих клавиатуру Android, отправляют статистику ввода разработчикам. Те уверяют, что данные нужны исключительно для улучшения приложений.
Все эти данные собираются в режиме «24/7», учитывая тот факт, что смартфон большую часть времени находится онлайн, то и передается информация практически круглосуточно.
А зачем кому-то так много моих данных?
Рекламодатели лет пятнадцать как познали чудеса таргетированной рекламы — тех самых баннеров, которые преследуют вас по сайтам и так удачно угадывают, что вам могло бы быть интересно купить.
Массив данных, собранный рекламными сервисами про вас, называется цифровым портретом пользователя.
Этот потрет и собирают практически все рекламные компании от мала до велика. Так и самому продвигать продукты проще, и продать структурированные данные можно очень выгодно.
А вы еще удивляетесь, как после переписки с другом начинаете получать контекстную рекламу в тему разговора.
Например, имея данные о местоположении и маркер об интересе к какой-то конкретной покупке, вам можно показать баннер магазина неподалеку с этим продуктом с гораздо большей эффективностью, чем какому-нибудь случайному человеку в городе.
Любители заговоров найдут еще несколько причин собирать данные пользователей, но доказать это крайне сложно, да и поверить в маркетинг проще, чем в мировой правопорядок.
Можно ли пресечь эту слежку?
Для некоторых смартфонов и планшетов энтузиасты разрабатывают кастомные прошивки с отключенными сервисами слежения и сбора данных. Только так на уровне системы можно остановить постоянную слежку за пользователем, ведь даже отключение всех ползунков в настройках не избавит от встроенных в систему шпионов.
После установки сторонней прошивки придется пересесть на альтернативные сервисы. Как минимум отказаться от всего, что выпускает Google. Приложения нужно искать в неофициальных магазинах, видео смотреть на не самых популярных хостингах, а переписываться через клиенты, которыми пользуется не так много знакомых.
Удобства мало, это факт.
При этом никто не даст гарантию, что конфиденциальные данные не уходят в базы других компаний с куда более подозрительной репутацией.
Вот и получается, что смартфон с самой открытой мобильной операционной системой — как открытая книга для маркетологов. Стоит лишь раз доверить ему свои секреты, как они уже лягут в основу очередного отчета.