Веб-сайты собирают логины и пароли пользователей еще до их регистрации, показало международное исследование. Как обезопасить себя от онлайн-шпионажа

Что произошло

Международная группа ученых проанализировала 100 тыс. самых популярных веб-сайтов в мире и выяснила, что многие из них собирают имена, электронные адреса и даже пароли пользователей без их согласия. Об этом пишет ArsTechnica.

• Совместное исследование провели ученые из Левенского университета (Бельгия), университетов Неймегена (Нидерланды) и Лозанны (Швейцария).
• Экспертам удалось обнаружить 1844 сайта, которые собирают электронные почты пользователей, находящихся в ЕС. Для жителей  США угрозу в этом смысле представляют 2,9 тыс. интернет-порталов. 
• Многие из этих ресурсов, как выяснили ученые, начинают получать информацию о пользователе еще до того, как он нажимает кнопку отправки при регистрации.
• Так, некоторые сайты фиксировали каждое нажатие клавиш на клавиатуре, другие — захватывали введенную в специальных полях  личную информацию.
• Результаты исследования показали, что удаления сведений в форме перед отправкой может быть недостаточно для защиты персональных данных. 

В мире

Согласно международному исследованию, обычно интернет-ресурсы не ведут сбор информации напрямую. Вместо этого они используют сторонние маркетинговые и аналитические сервисы, которые зачастую принадлежат крупным разработчикам.

• Внимание экспертов привлекли трекеры компании Meta и TikTok. По их словам, эти программы мониторят данные пользователей по всему интернету для подбора и показа более точной рекламы.
• Трекеры компании Марка Цукерберга используются на 8,4 тыс. веб-сайтах в США и 7,3 тыс. — в ЕС. Обычно пользователь дает разрешение на «слежку», нажимая на кнопку «Согласен» при первом посещении страницы онлайн-ресурса. Трекеры TikTok работают аналогичным способом.
• Некоторые эксперты называют TikTok сервисом для сбора данных, маскирующимся под соцсеть. Приложение якобы целенаправленно собирает имена, адреса, пароли, телефоны, даты рождения и местонахождение пользователей. По этой причине TikTok уже заблокировали в Индии.

В России

• В мае 2021 года та же международная группа обнаружила 52 веб-сайта, на которых третьи стороны, в том числе российский ИТ-гигант «Яндекс», собирали данные о паролях пользователей перед отправкой. Исследователи сообщили о своих выводах этим интернет-ресурсам, и с тех пор все 52 случая были устранены.
• «Яндекс» и раньше подозревали в том, что он собирает данные пользователей без их согласия. Например, приложение «Яндекс.Навигатор», установленное на мобильные устройства с Android, ранее могло скрытно записывать все разговоры. О шпионской деятельности сервиса стало известно благодаря пользователю Евгению Строкину, случайно обнаружившему, что навигатор тайком сохраняет весь перехватываемый микрофоном звук в память гаджета.
• По словам экспертов, через свои приложения и сервисы «Яндекс» знает о пользователях практически все: от посещаемых ими сайтов до личных маршрутов.
• Это подтверждает слив архива сервиса «Яндекс.Еда» с данными заказов россиян, а также жителей Белоруссии и Казахстана в начале весны 2022 года. Неизвестные оформили личную информацию пользователей в интерактивную карту, где любой желающий мог узнать имя клиента, его адрес, номер телефона и сумму, потраченную за полгода. 
• Впоследствии в карту с утекшими данными добавили новую информацию из СДЭКа, Avito, Wildberries, «Билайна», ВТБ, Pikabu, ГИБДД и других источников. 
• Аналогичная утечка данных произошла и у сервиса доставки еды Delivery Club. Как пишет Telegram-канал In4security, в интернете опубликовали имена, номера телефонов, адреса доставки и электронной почты, суммы и даты заказов с 25 мая 2020-го по 4 июля 2021-го, а также IP-адреса пользователей. В компании подтвердили утечку и заявили, что она не затрагивает банковские реквизиты. Также Delivery Club извинился перед пользователями и сообщил, что начал расследование.

Что делать

Чтобы обезопасить себя от скрытого сбора данных, эксперты советуют следовать нескольким основным рекомендациям: 

• установить детектор шпионских программ (кейлоггеров) или антивирус. По словам специалистов, любая хорошая программа безопасности обнаружит подозрительную активность на ПК и предотвратит кражу данных;
• не вводить данные аккаунтов на непроверенных сайтах и установить двухфакторную аутентификацию (например, настраивать идентификацию с помощью получения кода доступа по СМС, дополнительно к логину и паролю) для входа на свою страницу;
• отключить веб-камеры и ограничить доступ к микрофону, чтобы веб-сайты и приложения не могли вести запись;
• использовать сложные пароли и менять их каждые шесть месяцев;
• своевременно обновлять программы. Нередко в старых версиях существуют лазейки, которые злоумышленники могут использовать для кражи данных.