Если вы последние лет 20 катаетесь на старом, но надежном автомобиле, легко упустить из внимания тот момент, что современные авто, даже бюджетные, теперь оснащены полноценным компьютером (и не одним), а также постоянно подключены к Интернету. В начале сентября организация Mozilla Foundation провела исследование приватности современных авто, и выводы из него были сделаны, мягко говоря, не радужные.

Идея исследования Mozilla Foundation была достаточно простая (и не лишенная недостатков). По сути специалисты внимательно прочитали различные пользовательские соглашения, предлагаемые владельцам авто разных марок. Эти тексты создают опытные команды юристов, и в них не всегда отражается реальное положение дел со сбором данных. Впрочем, обобщенные и обтекаемые формулировки делают только хуже: кажется, что автопроизводители знают о нас все и могут делать с информацией что угодно, начиная с автоматического распространения политик сбора данных на всех пассажиров вплоть до сбора информации о «сексуальной жизни» владельцев авто.

Всего исследователи Mozilla Foundation изучили политики приватности 25 разных автопроизводителей. Все они не в полной мере соответствовали стандартам, придуманным в самой Mozilla Foundation. Например, только в документах Renault/Dacia явно прописано право пользователя на удаление данных, а в соглашении BMW прямо говорится о невозможности такого действия. В большинстве случаев согласиться с политикой об использовании данных нужно при установке мобильного приложения на телефон. Но если вы таковым не пользуетесь, правила компании применяются к вам, как только вы садитесь в салон автомобиля, даже если вы не его владелец.

Самые распространенные виды собираемых данных: информация о владельце, его почтовый адрес, платежные данные, история посещений веб-сайтов. На примере соглашения о приватности компании Nissan для рынка США заметна проблема этих юридических текстов: там свалены в кучу разные виды взаимодействия автопроизводителей — от работы мультимедийной системы автомобиля и приложения на телефоне до личного посещения офиса компании. Там, где упоминается приложение Nissan Connect, управляющее функциями авто напрямую, документ становится предельно неконкретным. Везде указаны «данные, собираемые непосредственно с транспортного средства». В том числе в одном из пунктов упоминается, например, геолокация. Далее там же прямо указано, какие данные могут быть проданы третьей стороне для дальнейшей обработки, и, если коротко, может быть продано все, включая ваши координаты, информацию, которая позволит точно вас идентифицировать, и так далее.

Упомянутая выше возможность сбора данных о «сексуальной жизни» также присутствует в соглашении Nissan и широко освещается в отчете Mozilla. В первоисточнике, с одной стороны, эту часть личных данных автопроизводитель может собирать только при «непосредственном взаимодействии с сотрудником компании». С другой стороны, и эти данные могут быть проданы третьей стороне.

Чуть подробнее спектр собираемых данных непосредственно в авто можно оценить в анализе соглашений компании BMW. Там упоминается, что производитель может иметь доступ к геолокации, изображениям и 3D-сканам окружающего пространства (сделанным с помощью встроенных камер и лидаров), температуре окружающей среды и агрегатов и другим данным о погоде, истории использования жестов для управления авто. В соглашении указано, что эти данные частично или полностью могут передаваться подразделениям компании по всему миру, независимым дилерам и подрядчикам.

Какие-то вещи из этого списка отражают новую реальность максимально компьютеризированных автомобилей. Дальнейшее улучшение функций помощи при вождении или даже автопилота, улучшение качества мультимедийной системы требуют сбора информации о поведении автовладельцев. В современных машинах реализован подход, применяемый в разработке любого другого софта и сетевых сервисов. Но что потом происходит с этими данными — мы достоверно не знаем.

Проблема исследования Mozilla в том, что не все эти сценарии непосредственно наносят вред приватности. В части про BMW написано: «хочется верить, что BMW [ведет себя] лучше других, но мы не уверены на 100%». В анализе пользовательских соглашений нет последовательности, во многом это вызвано особенностями изучаемых материалов, написанных «кто во что горазд». Польза исследования в том, что без подобной работы у производителей авто не будет вообще никакой мотивации как-то ограничивать сбор и продажу данных о том, что мы делаем в авто, с какой скоростью ездим, какую музыку слушаем, о чем говорим. Инструменты для сбора этих данных уже есть во всех новых автомобилях. Связь автомобиля с производителем, как правило, также имеется. Было бы крайне интересно проанализировать реальный обмен данными между конкретным авто и производителем, но реализовать такой эксперимент будет еще сложнее, чем внимательно читать километры пользовательских соглашений.

Что еще произошло:

Очень интересная история о недавнем взломе компании Retool (разработчик сервиса для создания собственных бизнес-инструментов). Взлом 27 облачных учеток пользователей Retool в одном случае привел к краже криптовалюты на 15 миллионов долларов. Взлом произошел по достаточно распространенной схеме: сотрудникам Retool рассылались SMS со ссылкой на фишинговый сайт. После того как один из сотрудников ввел учетные данные на поддельной странице, ему позвонили мошенники и убедили по телефону передать одноразовый код двухфакторной авторизации. Во время звонка злоумышленники показали хорошее знание внутренней жизни компании, что и помогло ввести работника в заблуждение. В итоге организаторы атаки получили долговременный доступ к инфраструктуре разработчика. Главная особенность атаки в том, что мошенникам удалось обойти систему логина по одноразовым кодам 2FA при каждом входе в каждую систему. И винят в этом внедренную совсем недавно фичу синхронизации кодов в приложении Google Authenticator.

Исследователи «Лаборатории Касперского» опубликовали крайне любопытный разбор вредоносной программы для Linux, которая распространялась под видом легитимной утилиты как минимум последние три года.

В браузере Mozilla Firefox и почтовом клиенте Thunderbird закрыта уязвимость нулевого дня, связанная с некорректной обработкой изображений формата WebP. Точно такая же проблема исправлена в Google Chrome. Кроме того, критические, активно эксплуатируемые уязвимости обнаружены в Adobe Acrobat и Reader.