Компания, которая отслеживает и продает данные о местоположении американцев, похоже, подверглась хакерской атаке

Одна из крупнейших компаний, отслеживающая местоположение американцев по данным смартфонов, была взломана российскими киберпреступниками в обмен на выкуп, утверждают два исследователя в области кибербезопасности и человек, выложивший в сеть огромный массив якобы взломанных файлов. Этот инцидент станет одним из крупнейших известных случаев взлома нескольких скандально известных американских компаний, которые продают данные о местоположении людей, являющиеся золотой жилой для рекламодателей, поскольку они могут быть использованы для составления подробной карты жизни человека, обычно без его ведома. В прошлом месяце Федеральная торговая комиссия США обвинила компанию Gravy Analytics и ее дочернее предприятие Venntel в незаконном сборе и продаже данных о местоположении американцев без их ведома или получения надлежащего юридического согласия. По словам представителей FTC, некоторые из тех, кого отслеживала Gravy, посещали такие важные места, как правительственные здания, поликлиники и места отправления религиозных обрядов. Смартфоны создают значительный объем данных как в результате подключения к вышкам сотовой связи и провайдерам беспроводного интернета, так и с помощью приложений, особенно сторонних, которые требуют данных о местоположении. Повсеместное использование смартфонов в повседневной жизни породило целую индустрию теневых компаний, которые покупают, упаковывают и продают данные. Хотя эти данные обычно рекламируются маркетологам, они также продаются правительствам. Сайт Gravy не работает по крайней мере со вторника. Электронные письма, направленные ей, Venntel и материнской компании Gravy, Unacast, не были доставлены. Несколько руководителей компании, с которыми связался NBC News, не ответили на просьбу о комментарии. Gravy утверждает, что «собирает, обрабатывает и обрабатывает» более 17 миллиардов сигналов со смартфонов людей ежедневно, говорится в жалобе FTC. Venntel продает Gravy данные о местонахождении людей, чтобы помочь установить то, что в индустрии онлайн-рекламы называется «моделью жизни». В маркетинговых материалах компании приводится пример определения «места отхода ко сну, места работы и посещения других зданий USG [United States Government]», что позволяет определить, где находятся люди: «дома, в спортзале, в вечерней школе и т. д.», - говорится в жалобе. В субботу хакер на популярном российском форуме по борьбе с киберпреступностью под названием XSS заявил, что взломал Gravy. В качестве доказательства он выложил скриншоты и загрузил 17 терабайт информации - огромный массив. Написав по-русски, хакер заявил, что выложит еще больше, если Gravy не заплатит неуказанный выкуп. После этого файлы были удалены, но не раньше, чем их скачали и поделились ими исследователи в области кибербезопасности, двое из которых проанализировали их и заявили, что они, скорее всего, подлинные. Джон Хаммонд, исследователь из компании Huntress, занимающейся вопросами кибербезопасности, рассказал NBC News, что при сортировке данных он обнаружил базу данных, содержащую более 300 000 адресов электронной почты частных лиц. NBC News проверил некоторые из этих адресов через HaveIBeenPwned, сайт, который проверяет адреса электронной почты на предмет того, не были ли они раскрыты в ходе предыдущих взломов, и обнаружил, что некоторые из адресов в предполагаемой свалке Gravy не были частью других крупных взломов. «Организации, единственной миссией которых является сбор и агрегирование данных, несомненно, будут привлекательной целью для угроз. Хотя мы не знаем ни метода первоначального доступа, ни «как хакеры проникли внутрь», очевидно, что они скомпрометировали более чем достаточно, чтобы добиться успеха с помощью такого рода данных», - сказал Хаммонд в интервью NBC News. Баптист Робер, генеральный директор французской компании Predicta Lab, специализирующейся на данных о конфиденциальности и местоположении, скачал образец данных и сообщил NBC News, что, судя по всему, утечка показывает, что люди отслеживают около 30 миллионов мест по всему миру. По его словам, данные не идентифицируют людей по имени или содержат другую идентифицирующую информацию, а вместо этого следуют практике брокеров данных, которые присваивают людям строку цифр в качестве псевдонима. Хотя брокеры данных утверждают, что использование псевдонимов для идентификации рекламодателей защищает их частную жизнь, исследователи неоднократно показывали, что данные о местоположении могут облегчить идентификацию личности. Например, если данные, отслеживающие конкретный мобильный телефон, показывают человека, который проводит большую часть ночи по определенному адресу, то, скорее всего, он является владельцем или арендатором этого жилья. США. В США нет всеобъемлющего федерального закона о конфиденциальности, несмотря на то, что сторонники конфиденциальности и даже администрация Байдена призывали к его принятию. В прошлом году исследователи Университета Дьюка обнаружили, что данные американских военнослужащих, включая данные о местоположении, широко продаются брокерами данных. В 2023 году Управление директора национальной разведки обнаружило, что американские спецслужбы, которые имеют ограничения на непосредственное наблюдение за американцами, часто покупают данные об американцах у брокеров и имеют мало руководящих принципов или надзора за этим процессом.