Полтора года назад я писал статью “Я тебя найду и позвоню”, которая начиналась с кейса угона клиентов, но затрагивала возможность пробива любого абонента. Статья вызвала резонанс, и благодаря этому сервис, показанный в статье, закрыл дыру!
И вот прошло 1,5 года, а что теперь? А теперь мы посмотрим на другие сервисы, но тоже связанные с операторами связи и таргетированной рекламой. Они выводы не сделали. Ведь как оказалось, у них все ГОРАЗДО хуже. Проще пробивать, достаточно звонка или клика по безобидной ссылке, а найти можно гораздо больше. А главное, это по прежнему бесплатно!
Ваши данные доступны всем, бесплатно и в удобной форме. Почему? Читайте ниже!
Внимание, это НЕ шутка на 1 апреля.
Работа над ошибками
После предыдущей статьи, сервис таргетированной рекламы, закрыл ту самую дыру, через которую мы и демонстрировали пробив.
Что именно они сделали? Закрыли возможность получать информацию о небольших выборках аудитории. Теперь при попытках найти конкретного абонента пишется следующее:
Решает ли это полностью проблему пробива? В целом нет, можно умышленно раздувать аудиторию виртуальными людьми. Но поиск такими гигантскими списками - сложный, долгий, и процесс пробива становится нерентабельным.
Напомню, что для регистрации в решившем проблему сервисе требовалось активное юридическое лицо.
А что же у других сервисов таргетированной рекламы, которые используют данные/принадлежат операторам связи?
Все еще хуже! Ищем Васю
Судя по всему, опыт своих коллег они не учли, ведь на одном из сервисов меня ждала следующая картина.
Для регистрации оказалось достаточно принять смс на любой телефонный номер.
Сервис позволял еще больше, чем “герой” прошлой статьи!
Итак мы приняли СМС, указали, что очень хотим купить “голосовой обзвон”. Но на деле мы выполним все свои задачи не заплатив ни рубля.
Первое, что нам очень нужно и предлагает сервис - настроить аудиторию по Геолокации! И тут не только большими кружками/городами, а буквально можно рисовать. Вот пожалуйста, выделяем зону, чтоб найти, живет ли в ней Вася?
Но ведь тут живет куча людей, как найти именно Васю? Можно сузить круг поиска, например, ему позвонив!
Все так же, как и в прошлой статье, Васе не нужно брать трубку, достаточно факта звонка с нашего номера.
Наш номер последний в списке, перед ним 4 фейковых, с которых гарантированно не было звонков! Ведь мы это проверили заранее убрав, лишние фильтры. Если в течении предыдущих 7/14/30 дней Васе звонили с номера, то мы его увидим в списке.
Попался! Он где-то в этом районе, ведь мы ему позвонили с определенного номера (последнего в списке), и теперь благодаря фильтру мы видим только его.
Далее мы можем и рисовать более маленькие зоны, сужая область поисков:
Видим 1 — значит, Вася все еще в очерченной нами, но более мелкой области.
И даже можем добавлять зоны и пересечения! Кнопка «Сузить» позволяет добавлять несколько зон и искать только тех, кто попадает в обе! Объединять зоны, исключать из одной другую крайне удобно для пробива.
Итого — я довольно быстро нашел его дом, но он просил не выкладывать его на Хабр.
А что еще мы можем узнать о Васе?
Мы можем узнать, где Вася живет, где Вася работает и даже куда Вася ездит на выходные! Сервис размечает подобные категории сам. Удобно, правда?
И ведь это далеко не все, мы сужая круг поиска можем уточнять о Васе и многие другие данные.
Чтобы не накидывать вам кучу скриншотов опишу текстом и покажу самое важное:
Пол, возраст, доход. Тут все понятно, возраст диапазонами как и доход.
Геолокация. Ее мы с вами уже разобрали по кирпичикам.
Интересы. Тут большой список от автомобилей до типов еды, кредиты, товары маркетплейсы, услуги. Все что нужно, чтоб вам что-то продать, чем вы интересовались.
Интересующие сайты. Список сайтов которые вы посещали через мобильный интернет.
Звонки абонентам. Разбирали и в прошлой статье и в этой, те кто звонил вам или кому звонили вы! Легко позволяет найти любого, после разового дозвона. Но что еще хуже, позволяет строить связи, такой фильтр можно добавить не один. А значит перебором можно проверять, созванивались ли два вот этих номера, или нет?
Имена отправителей SMS. Те, кто шлет вам СМСки. Это может быть и двухфаторка, что критично. Так и сообщения рекламного характера! Можно найти всех, кто пользуется каким-то сервисом и по сайту, и по принятым СМС.
Ключевые слова на сайтах. Можно найти сайты не по домену, а по ключевым словами. И неразмеченные интересы. Надеюсь, что оператор собирает ключевые слова только с сайтов, а не и из разговоров тоже. Но как тут проверить?
Сферы бизнеса. С которыми связан человек.
Данные счетчиков.
А вот это самый интересный момент. Вы можете поставить на свой сайт счетчик, аналогичный Яндекс Метрике. И использовать собранные им визиты как фильтр, чтоб в базе сервиса найти того, кто к вам заходил. А если вы специально заманили на сайт только одного человека? То вы узнаете о нем все!
Фактически, однократно заманив человека на ваш сайт, вы можете узнать о нем все, что знает оператор! Он теперь под прицелом.
Ну и оставшихся категориях куча дополнительных данных: Месяц рождения, возраст детей, владеет ли недвижимостью/автомобилем/бизнесом, какие устройства и с какой операционной системой использует, как устроен на работу и есть ли семья.
Сценарии слежки и что это дает
Абсолютно любой человек с улицы, способный принять смс и ввести код из нее на сайт сервиса, может:
Однократно позвонив любому абоненту узнать о нем буквально все, от места проживания и всей его личной жизни. Список абонентов с которыми он общался, геолокация работы, какие сайты посещает и все указанное выше.
Однократно заманив человека на сайт, даже не зная его номер телефона, мы можем и о нем получить всю информацию выше. А заплатив копейки - даже позвонить ему.
При этом на сайте может быть буквально что угодно, картинка - заглушка, например. Главное, чтоб рекламный счетчик загрузился.
Это у всех так? И да, и нет. Но достаточно, чтоб у одного оператора это было, ведь они продают данные друг другу! Просто немного дороже.
Но ведь мы помним, что все выше мы сделали бесплатно? Просто потому, что мы не запускали саму рекламную кампанию, а лишь оценивали аудиторию, пока вручную, но как быстро может пробивать людей скрипт с помощью такого сервиса?
Автор этой статьи крайне надеется на повторный Хабрэффект, и скорое закрытие дыры. Однако бегать за каждым сервисом не очень эффективно, нужны системные изменения и ответственность за такой массовый и бесплатный пробив.
Но пока операторы не ощущают ответственность за свои сервисы, они готовы кому угодно продать/отдать все данные своих абонентов. И к сожалению, это законно.
Нам же, обычным пользователям приходится учитывать, что подобный беспредел есть. Стараться по минимуму использовать мобильный интернет (без средств защиты) и терпеть постоянные прозвоны маркетинговых компаний.
Что мы можем с этим сделать? Пока мы не уехали в глухие леса - мы останемся под колпаком операторов связи, которых за подобное не наказывают.
Проблему обнаружил Антон Бочкарев компания 3side (Третья Сторона).
P.S. Хоть статья и вышла 1 апреля, это НЕ шутка.
