БезопасностьЗачем интернет-шпионам ваши лайки и чекины

Мобильный шпионаж стал уделом не только агентов спецслужб, но и вполне обычных людей. Так, «шпионские» программы регулярно всплывают в делах о разводах. Более 80 % адвокатов по семейным делам в США заявили, что количество расторжений брака из-за социальных сетей сильно возросло. А согласно исследованию их коллег из Великобритании, более трети заявок на развод содержат слово Facebook. Тем не менее большинство этих программ предназначены для благородных целей: слежки за больными родителями, защиты детей от опасности или поиска потерянного телефона. Look At Me разобрался, как работают эти приложения, так ли они опасны и как к ним относиться.

Phone Tracker

Приложение для семей, члены которых постоянно в разъездах, и для работодателей, которые хотят знать, чем занимаются их сотрудники во время рабочего дня.

Владимир Иванов

заместитель руководителя департамента эксплуатации «Яндекса», долгое время руководивший службой информационной безопасности компании. Читает лекции
о криптографии и шифровании на Курсах информационных технологий «Яндекса»

«Значительная доля сервисов для мобильных устройств помогает решить задачу пользователя действительно быстро и эффективно, только если знают его местоположение. Нельзя направить такси заказчику, если не знать, где он находится. Неудобно строить маршрут в метро пассажиру, не зная, какая станция ближайшая к нему. Не говоря уже о картах и связанных с ними сервисах.

Есть и другая, менее очевидная потребность — показывать пользователям релевантную рекламу (ведь интернет-компании зарабатывают двумя способами — предлагая услуги и контент за деньги и показывая рекламу). Среди всей интернет-рекламы есть та, которая полезна только людям, находящимся в определённой точке земного шара. Например, бесполезно рекламировать компанию по изготовлению пластиковых окон в Новосибирске пользователю из Сочи. Глупо приложению с расписанием киносеансов рекомендовать посмотреть фильм в кинотеатре на Северо-Востоке Москвы человеку, находящемуся на Юго-Западе. Для определения местоположения мы используем не только данные GPS, но и собственную технологию Яндекс.Локатор, которая также доступна другим разработчикам в виде бесплатного API.

Компании почти никогда не интересуются конкретным человеком. Исключение, наверное, сервисы вызова такси, потому что такси нужно подать к месту, где находится конкретный пользователь. В основном сервисам нужна статистика. Например, люди едут в центр города утром, и из центра — вечером. Статистика пробок строится именно на основе агрегированных данных о скорости движения тысяч автомобилей, но для того, чтобы эта статистика возникла, надо на первом этапе собрать данные о движении каждого автомобиля.

Думать, что какая-либо крупная интернет-компания интересуется вашей личной жизнью — тешить чувство собственной важности

Практически в самом начале обработки данных идентификаторы конкретных устройств выбрасываются. Они нужны для очистки от различного мусора, но дальше их использовать незачем. Тут в дело вступает big data: статистический анализ, алгоритмы предсказания — всё это работает на большом объёме данных, но единичный трек конкретного пользователя ей не интересен. Часто даже структуры хранения устроены таким образом, что получить выборку по конкретному источнику чрезмерно сложно, практически нереально. Зато выборка по интересующей нас группировке данных делается моментально в реальном времени.

В общем, думать, что какая-либо крупная интернет-компания интересуется вашей личной жизнью — значит тешить чувство собственной важности. Но главное, что должна делать каждая из них, — хранить любые персональные данные в защищённом виде, чтобы ими не могли воспользоваться злоумышленники. «Яндекс.Паспорт», «Почта», «Директ», «Метрика», «Такси», «Яндекс.Деньги», а также все формы обратной связи, имеющие дело с персональными данными пользователей, работают по защищённому протоколу HTTPS.

Вы можете запретить приложениям передачу местоположения. Но оператор мобильной связи всегда будет знать, где именно вы находитесь, а ваш провайдер — на какие сайты вы ходите. И, если на них не используется HTTPS, даже то, какие страницы этих сайтов вы посещаете».

Кто следит за нашими данными
из социальных сетей?

Помимо сервисов, определяющих наше местонахождение, становятся популярнее приложения, которые отслеживают активность пользователей в социальных сетях, время выхода онлайн, а также собирают его фидбек. Казалось бы, кому могут быть интересны наши лайки? Но, оказывается, и эта информация ценна. Как сообщает Владимир Иванов, компании используют данные из социальных сетей для алгоритмов рекомендаций. Например, «Яндекс.Музыка» может посоветовать то, что слушали ваши друзья. Но честные компании собирают их только с прямого согласия пользователя, ведь, в отличие от примера с местоположением, они не анонимны — сервису нужно знать, кому советовать конкретную музыку.

Кроме пользы, которую приносят наши лайки большим сервисам, они могут многое рассказать о наших личных мыслях, увлечениях, дружеских симпатиях. Лайки и комментарии доступны для всех без дополнительных программ, но если задаться целью узнать элементарную вещь — кому ставит лайки ваш бывший парень — достичь её может оказаться не так просто, так как придётся скроллить тысячи и тысячи страниц. Но на помощь доморощенным шпионам приходят сервисы, собирающие данные за вас. Look At Me поговорил с создателем одного из таких приложений.

Константин

создатель приложения
«Шпион ВK»

«Всё началось с того, что мне нужно было проследить за своей девушкой и узнать, когда она появляется в сети, чтобы выяснить её график работы. Так как во «ВКонтакте» не мог это определить (видно только последний заход), я решил сделать шпион онлайн. Сначала думал парсить страничку, но потом узнал об API «ВКонтакте», — там всё просто.

Когда мы с ней расстались, я попытался выяснить, с кем же она встречается после меня. Таким образом, добавился модуль с лайками, — я опять взял простенькие функции из API. В начале лайки проверялись довольно долго, так как вся нагрузка шла на сервер. А после того как в сервисе появилось больше 50 пользователей, я понял, что всё придётся переписывать. Похожее приложение «Ревность» делало проверку намного быстрее (но оно пропускает много лайков и через три проверки просит оплату). В моём сервисе все функции бесплатны, а доход идёт с рекламы.

Вся информация поступает в приложение из открытых источников. Теоретически пользователь мог бы и сам её найти, затратив много времени, особенно при поиске лайков по друзьям друзей (так придётся проверять более 100 000 пользователей). По лайкам можно понять настроение пользователя, о чём он думает. Особенно по тем лайкам, которые пользователи, не задумываясь, ставят в группах. Приложение найдёт этот лайк среди сотен тысяч других. Частенько в группах девушки отписываются, что лайки ничего не значат, но мы-то знаем, что это не так.

Интернет — та же улица. Вы же не будете писать на стене дома компрометирующие себя надписи. Того же не стоит делать и в интернете

Я находил довольно щекотливые комментарии в группах под записями типа «переспал бы ты с предыдущим комментатором». Нашёл откровенный фотосет, который вручную  найти было бы сложно. Насчёт этичности приложения и возражений вроде «подглядывать нехорошо», я считаю следующее: пользователи сами себя подставляют. Молодёжь сейчас совсем не думает о том, что информация может быть использована и против них самих. Как раз недавно фильм смотрел по этой теме — «Связи нет», в котором  информацией воспользовались на все 100 %, сняли все деньги с кредитки и даже довели человека до суицида.

Защититься можно, прежде всего не выдавая себя лайками, комментариями в открытых местах. Вообще нужно помнить, что интернет — та же улица. Вы же не будете писать на стене дома компрометирующие себя надписи. Того же не стоит делать и в интернете. Сам пользуюсь шпионом для проверки новых девушек, сколько  они ставят лайков парням, кому больше, — по этой информации можно понять, насколько она скромная, понять её предпочтения. По времени, которое она проводит онлайн, можно понять распорядок её дня. По добавленным или скрытым друзьям понять отношение к новым друзьям. Вообще есть идея систематизировать эту всю информацию и выдавать полную характеристику человека. Планирую много доработок — пользователи постоянно придумывают интересные фишки, но, к сожалению, из-за основной работы доделать это некогда.

C администрацией «ВКонтакте» были трения: сначала забанили группу, пока я не доказал, что всё легально и работает на их же API. Когда пытался перейти на отдельный домен vk-spy.ru, оказалось, «ВК» его банит. Переписывался с админом, по его мнению, лайки — это личная информация. Так и не разбанили домен, только зря его покупал».

Денис Макрушин

технологический эксперт
«Лаборатории Касперского»

«Существует специальное ПО для сбора информации на основе данных, которые пользователь оставляет в социальных сетях. Фото и видео, геолокационные данные, лайки, комментарии — всё это мы осознанно публикуем в открытом доступе. Этот означает, что любой посторонний человек сможет воспользоваться этой информацией. Программы всего лишь упрощают задачу получения открытой информации, а значит, не являются чем-то нелегальным.

Пользователю нужно понять, что информация в социальной сети доступна всем, в том числе и злоумышленнику, который может воспользоваться ею в незаконных целях. Поэтому лучше избегать публикации излишней информации, а также ограничить аудиторию, которая её увидит (например, только друзья в социальной сети)».

Денис Макрушин

«Прежде всего стоит опасаться любого вредоносного ПО, которое может оказаться на компьютере. Так, например, «троянец» может украсть много ценной информации, среди которой могут оказаться данные учётных записей не только в социальных сетях, но и в системах онлайн-банкинга. Большинство подобных зловредов используют техники перехвата нажатия клавиш и снятия скриншотов, но исключительно ими не ограничиваются — у киберприступников в запасе целый арсенал техник кражи ценной информации с компьютера жертвы.

Одно из последних событий в мире «шпионского ПО» — появление технологичного зловреда «Regin», который нацелен в первую очередь на серьёзные государственные и коммерческие учреждения. Однако рядовой пользователь вряд ли является целевой аудиторией для Regin.

Мы всегда рекомендуем нашим пользователям быть бдительными в интернете и соблюдать несколько простых правил:

  Придумывать сложные пароли к своим учётным записям;

  Регулярно менять пароли;

  Установить на компьютере защитное решение класса «Internet Security», которые включают в себя технологии антивирусной защиты и межсетевого экранирования, и регулярно его обновлять;

  Не открывать вложения и не переходить по ссылкам в письмах и сообщениях, которые пришли от неизвестных лиц;

  Не оставлять информацию о себе и своих близких в социальных сетях без необходимости.