Alcuni dei primi 100.000 siti Web raccolgono tutto ciò che digiti, prima di premere Invia

Quando ti iscrivi a una newsletter, prenoti un hotel o fai il check-out online, probabilmente dai per scontato che se digiti male il tuo indirizzo e-mail tre volte o cambi idea e X esci dalla pagina, non importa. In realtà non succede nulla finché non premi il pulsante Invia, giusto? Beh, forse no. Come con così tante ipotesi sul web, questo non è sempre il caso, secondo nuova ricerca: Un numero sorprendente di siti Web sta raccogliendo alcuni o tutti i tuoi dati mentre li digiti in un modulo digitale.

I ricercatori della KU Leuven, della Radboud University e dell’Università di Losanna hanno scansionato e analizzato i primi 100.000 siti Web, osservando scenari in cui un utente visita un sito mentre si trova nell’Unione Europea e visita un sito dagli Stati Uniti. Hanno scoperto che 1.844 siti Web hanno raccolto l’indirizzo e-mail di un utente dell’UE senza il loro consenso e l’incredibile cifra di 2.950 ha registrato l’e-mail di un utente statunitense in qualche forma. Molti dei siti apparentemente non intendono condurre la registrazione dei dati, ma incorporano servizi di marketing e analisi di terze parti che causano il comportamento.

Dopo aver scansionato in modo specifico i siti per la fuga di password nel maggio 2021, i ricercatori hanno anche trovato 52 siti Web in cui terze parti, incluso il gigante tecnologico russo Yandex, stavano accidentalmente raccogliendo dati sulle password prima dell’invio. Il gruppo ha rivelato i propri risultati a questi siti e da allora tutti i 52 casi sono stati risolti.

“Se c’è un pulsante Invia su un modulo, la ragionevole aspettativa è che faccia qualcosa, che invierà i tuoi dati quando fai clic su di esso”, afferma Güneş Acar, professore e ricercatore presso il gruppo di sicurezza digitale della Radboud University e uno dei leader dello studio. “Siamo rimasti molto sorpresi da questi risultati. Pensavamo che forse avremmo trovato alcune centinaia di siti Web in cui la tua email è stata raccolta prima dell’invio, ma questo ha superato di gran lunga le nostre aspettative. ”

I ricercatori, chi lo farà presente le loro scoperte alla conferenza sulla sicurezza di Usenix ad agosto, affermano di essere stati ispirati a indagare su quelle che chiamano “forme che perdono” dai resoconti dei media, particolarmente a partire dal Gizmodo, su terze parti che raccolgono i dati dei moduli indipendentemente dallo stato di invio. Sottolineano che, in sostanza, il comportamento è simile ai cosiddetti keylogger, che sono tipicamente programmi dannosi che registra tutto ciò che un target digita. Ma su un sito mainstream tra i primi 1.000, gli utenti probabilmente non si aspetteranno di avere le loro informazioni registrate. E in pratica, i ricercatori hanno visto alcune variazioni del comportamento. Alcuni siti hanno registrato i dati battitura per battitura, ma molti hanno acquisito gli invii completi da un campo quando gli utenti hanno fatto clic su quello successivo.

“In alcuni casi, quando fai clic sul campo successivo, raccolgono quello precedente, come se fai clic sul campo della password e loro raccolgono l’e-mail, o semplicemente fai clic in un punto qualsiasi e raccolgono immediatamente tutte le informazioni”, afferma Asuman Senol, un responsabile della privacy e ricercatore di identità presso KU Leuven e uno dei coautori dello studio. “Non ci aspettavamo di trovare migliaia di siti Web; e negli Stati Uniti i numeri sono davvero alti, il che è interessante. ”

I ricercatori affermano che le differenze regionali potrebbero essere legate al fatto che le aziende sono più caute nel tracciare gli utenti e persino potenzialmente integrano un minor numero di terze parti, a causa del regolamento generale sulla protezione dei dati dell’UE. Ma sottolineano che questa è solo una possibilità e lo studio non ha esaminato le spiegazioni per la disparità.

Attraverso uno sforzo sostanziale per notificare i siti Web e le terze parti che raccolgono dati in questo modo, i ricercatori hanno scoperto che una spiegazione per alcune delle raccolte di dati impreviste potrebbe avere a che fare con la sfida di differenziare un’azione “invia” dalle altre azioni dell’utente su determinati Web pagine. Ma i ricercatori sottolineano che dal punto di vista della privacy, questa non è una giustificazione adeguata.

Dal completamento del carta, il gruppo ha anche scoperto Meta Pixel e TikTok Pixel, tracker di marketing invisibili che i servizi incorporano nei loro siti Web per tracciare gli utenti sul Web e mostrare loro annunci. Entrambi hanno affermato nella loro documentazione che i clienti potevano attivare la “corrispondenza avanzata automatica”, che attiverebbe la raccolta di dati quando un utente ha inviato un modulo. In pratica, tuttavia, i ricercatori hanno scoperto che questi pixel di tracciamento acquisivano indirizzi e-mail con hash, una versione oscurata degli indirizzi e-mail utilizzati per identificare gli utenti Web su più piattaforme, prima dell’invio. Per gli utenti statunitensi, 8.438 siti potrebbero aver divulgato dati a Meta, la società madre di Facebook, tramite pixel e 7.379 siti potrebbero essere interessati dagli utenti dell’UE. Per TikTok Pixel, il gruppo ha trovato 154 siti per utenti statunitensi e 147 per utenti UE.

I ricercatori hanno presentato una segnalazione di bug a Meta il 25 marzo e la società ha rapidamente assegnato un ingegnere al caso, ma da allora il gruppo non ha ricevuto aggiornamenti. I ricercatori hanno notificato a TikTok il 21 aprile – hanno scoperto il comportamento di TikTok più di recente – e non hanno ricevuto risposta. Meta e TikTok non hanno immediatamente restituito la richiesta di WIRED di commentare i risultati.

“I rischi per la privacy degli utenti sono che verranno tracciati in modo ancora più efficiente; possono essere monitorati su diversi siti Web, su sessioni diverse, su dispositivi mobili e desktop “, afferma Acar. “Un indirizzo email è un identificatore così utile per il tracciamento, perché è globale, è unico, è costante. Non puoi cancellarlo come cancelli i tuoi cookie. È un identificatore molto potente. ”

Acar sottolinea inoltre che, poiché le aziende tecnologiche cercano di eliminare gradualmente il monitoraggio basato sui cookie in un cenno alle preoccupazioni sulla privacy, i marketer e altri analisti faranno sempre più affidamento su ID statici come numeri di telefono e indirizzi e-mail.

Poiché i risultati indicano che eliminare i dati in un modulo prima di inviarlo potrebbe non essere sufficiente per proteggersi da tutta la raccolta, i ricercatori hanno creato un Estensione per Firefox chiamato LeakInspector per rilevare la raccolta di moduli canaglia. E affermano di sperare che le loro scoperte aumenteranno la consapevolezza sul problema, non solo per gli utenti Web regolari, ma anche per gli sviluppatori e gli amministratori di siti Web che possono verificare in modo proattivo se i propri sistemi o una qualsiasi delle terze parti che stanno utilizzando stanno raccogliendo dati da moduli senza consenso.

I moduli che perdono sono solo un altro tipo di raccolta di dati di cui diffidare in un campo online già estremamente affollato.

Questa storia è apparsa originariamente su wired.com.

Leave a Comment