Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 30
Меня, возможно, поймут неправильно, но…
Человек оставил свое рабочее резюме на бирже труда. Туда он вписал профессию, личные данные, номер телефона, адрес е-почты. Человек, как мне кажется, был вполне готов к публикации этих данных, разве не так?
Ну то есть я пытаюсь представить себе как кто-то прочитал мое резюме не на самом Авито, а на другом сайте. И не вижу в этом большой беды. Я не прав?
Человек оставил свое рабочее резюме на бирже труда. Туда он вписал профессию, личные данные, номер телефона, адрес е-почты. Человек, как мне кажется, был вполне готов к публикации этих данных, разве не так?
Ну то есть я пытаюсь представить себе как кто-то прочитал мое резюме не на самом Авито, а на другом сайте. И не вижу в этом большой беды. Я не прав?
В утекшей информации в поисковики не только е-майл и сотовый. Город, образование, места учебы, возраст, пол и т.д.
На Авито почта обязательно указывается при регистрации и никогда не публикуется (о чём сайт сразу сообщает). А тут публикуется, при этом пользователь сам свой адрес не отдаёт.
Вы регистрируетесь на Авито продать диван с помойного ящика vasya.ganjubasya@bk.ru и не основным номером телефона, затем через некоторое время публикуете с того же аккаунта резюме, указав свой нормальный номер телефона. Теперь вы доступны в поиске по помойному адресу, ваш нормальным номер тоже ищется и всё это сопоставлено с вашими реальными данными (имя, город, род деятельности, прошлые компании). Без вашего ведома.
Вы регистрируетесь на Авито продать диван с помойного ящика vasya.ganjubasya@bk.ru и не основным номером телефона, затем через некоторое время публикуете с того же аккаунта резюме, указав свой нормальный номер телефона. Теперь вы доступны в поиске по помойному адресу, ваш нормальным номер тоже ищется и всё это сопоставлено с вашими реальными данными (имя, город, род деятельности, прошлые компании). Без вашего ведома.
как не обсурдно это звучит, но в сетуации с гуглом, это хранение личных данных на зарубежном сервере )
В моем случае служба поддержки тоже не ответила (только то, что репорт приняли). А спустя примерно месяц обнаружил вот такую картину
И исправленную уязвимость. Значит, что они действительно смотрят репорты и исправляют, по мере возможности.
Может, стоило дождаться?
И исправленную уязвимость. Значит, что они действительно смотрят репорты и исправляют, по мере возможности.
Может, стоило дождаться?
Мне техподдержка ответила. Диалог Вконтакте состоял из нескольких этапов:
1. Я написал номер репорта и попросил передать его разработчикам или СБ напрямую, чтобы скорее приняли меры.
2. Меня попросили повторить текст запроса и заверили, что передадут его напрямую нужным людям.
3. Я повторил запрос, со скриншотами и пояснениями.
4. Через некоторое время мне ответили (скриншот в посте).
Считаю, что это окончательный ответ.
К тому же мне пришло не только сообщение о принятии репорта, но и «результат» (вторым сообщением, через некоторое время): «По вашему обращению будет проведена проверка».
Поверьте, я действительно постарался донести до компании суть проблемы и ждал решения, иначе пост был бы написан неделю назад.
Более того, черновик поста был сделан заранее и я до конца надеялся, что напишу об этом инциденте уже в прошедшем времени.
1. Я написал номер репорта и попросил передать его разработчикам или СБ напрямую, чтобы скорее приняли меры.
2. Меня попросили повторить текст запроса и заверили, что передадут его напрямую нужным людям.
3. Я повторил запрос, со скриншотами и пояснениями.
4. Через некоторое время мне ответили (скриншот в посте).
Считаю, что это окончательный ответ.
К тому же мне пришло не только сообщение о принятии репорта, но и «результат» (вторым сообщением, через некоторое время): «По вашему обращению будет проведена проверка».
Поверьте, я действительно постарался донести до компании суть проблемы и ждал решения, иначе пост был бы написан неделю назад.
Более того, черновик поста был сделан заранее и я до конца надеялся, что напишу об этом инциденте уже в прошедшем времени.
Имел много лет назад непосредственное отношение к компании, сообщил топ-менеджменту о вашей заявке и статье.
Благодарю, это очень кстати.
Я пока сам потихоньку чищу кэш. Если что, вы поясните их техническим специалистам как это делается, не сложно:
1. Открываем выдачу в гугле.
2. Открываем страницу www.google.com/webmasters/tools/removals?pli=1 (удаление устаревшего контента).
3. Вносим ссылки.
4. Менее чем через 12 часов ссылок нет, вот часть моих заявок:
Я пока сам потихоньку чищу кэш. Если что, вы поясните их техническим специалистам как это делается, не сложно:
1. Открываем выдачу в гугле.
2. Открываем страницу www.google.com/webmasters/tools/removals?pli=1 (удаление устаревшего контента).
3. Вносим ссылки.
4. Менее чем через 12 часов ссылок нет, вот часть моих заявок:
Официальный ответ компании:
[картинка]
Так что это наши с вами проблемы, что компания допустила утечку наших данных в публичную сеть, всё нормально.
Я этот ответ понимаю так: «Мы уже пофиксили, но признавать не хотим».
Как насчёт подать на них в суд?
Не новость. В объявлении использовал номер, которым никогда не пользовался. И что же?
Через некоторое время на него стали приходить звонки и реклама в СМС.
Уязвимость у подобных сервисов мне видится одна и она заключена в предложениях крупных сумм за базы данных…
Через некоторое время на него стали приходить звонки и реклама в СМС.
Уязвимость у подобных сервисов мне видится одна и она заключена в предложениях крупных сумм за базы данных…
Да, номера у них улетают со скоростью звука. Недавно дядя звонил с проблемой, пытались деньги увести со Сбера. Оказалось, что перед этим разместил объявление на Авито, через пять минут пришло примерно такое сообщение: «Василий, мы заинтересованы купить велотренажер, давайте спишемся тут: [ссылка на apk]». Он человек неопытный, повёлся.
Именно поэтому я не акцентирую внимание на то, что в резюме и номер утекает.
Но попробуйте из любого опубликованного резюме или объявления вытащить электронный адрес, если он не указан явно самим пользователем в тексте — нет такой возможности.
Именно поэтому я не акцентирую внимание на то, что в резюме и номер утекает.
Но попробуйте из любого опубликованного резюме или объявления вытащить электронный адрес, если он не указан явно самим пользователем в тексте — нет такой возможности.
По этой причине и не размещаю никакие объявления на Avito впринципе, а без указания номера телефона там ничего сделать уже невозможно, насколько мне известно. «Левый» номер можно, конечно, сделать, но ради этого по сути монополиста с местами странной модерацией и одновременно пофигизмом к пользовательским данным (что, так трудно хотя бы поставить капчу на просмотр номера телефона? между тем все криминальные форумы пестрят предложениями купить «базы Avito») заморачиваться как-то неохота.
>>обещает 191 000 результатов (реально выводит около 640, видимо срабатывает ограничение на выдачу),
Сталкивался с подобным, пришел к выводу что гугль просто врет.
«Все крупные состояния сделаны исключительно бесчестым путем» Остап Бендер
Сталкивался с подобным, пришел к выводу что гугль просто врет.
«Все крупные состояния сделаны исключительно бесчестым путем» Остап Бендер
Думаю, всё же не врёт, а ограничивает выдачу.
Если ввести в поиск «dog», то гугл обещает 1 230 000 000 результатов, что логично. А в выдаче 41 лист * 10 = 410 результатов. Вы же не думаете, что в интернете всего 410 упоминаний этого слова? Скорее всего остальные результаты можно получить уточнив запрос.
Если ввести в поиск «dog», то гугл обещает 1 230 000 000 результатов, что логично. А в выдаче 41 лист * 10 = 410 результатов. Вы же не думаете, что в интернете всего 410 упоминаний этого слова? Скорее всего остальные результаты можно получить уточнив запрос.
Извините, но Google не выдает более 1000 результатов, а вы запросили результаты с номера 2410.
Зы, для youtube то же ограничение в 1000, как и для остальных сервисов Google.
Яндекс ограничился 100 страниц выдачи.
Bing — 75.
Зы, для youtube то же ограничение в 1000, как и для остальных сервисов Google.
Яндекс ограничился 100 страниц выдачи.
Bing — 75.
Ага ага. Вот только почему-то проверить цифру 1 230 000 000 не получается ;0))
А какая мне разница? Заявляет одно, а позволяет другое- это и есть вранье. А уж почему он там врет мне не важно.
А какая мне разница? Заявляет одно, а позволяет другое- это и есть вранье. А уж почему он там врет мне не важно.
Вам это число общее сообщили просто так, для сведения. Могли не сообщать. Но тогда у вас бы могло сложиться ложное впечатление, что выдача вся и действительно есть только 41 страница.
Так что всё наоборот. Вам число показали, чтобы не лгать (то есть не вводить вас в заблуждение).
Так что всё наоборот. Вам число показали, чтобы не лгать (то есть не вводить вас в заблуждение).
Вот смотрю результат поиска по какой-то случайной фразе в гугле и вижу такую строку:
Результатов: примерно 338 000 (0,39 сек.)
Вас не смущает слово примерно? ;0))
Что мы имеем в итоге? Нам сообщили какую-то странную цифру, а показывают совсем другое количество.
Нет, я бы понял если бы они спрогнозировали миллион и ошиблись процентов на тридцать. Я понимаю что пока идет запрос боты что-то добавляют и совсем уж точно сказать нельзя.
Но показать всего сколько-то там страничек (100?)… Как проверить? Ведь многие сравнивают поисковики по количеству проиндексированных документов и размеру выдачи.
Мои боты негодуют!
Результатов: примерно 338 000 (0,39 сек.)
Вас не смущает слово примерно? ;0))
Что мы имеем в итоге? Нам сообщили какую-то странную цифру, а показывают совсем другое количество.
Нет, я бы понял если бы они спрогнозировали миллион и ошиблись процентов на тридцать. Я понимаю что пока идет запрос боты что-то добавляют и совсем уж точно сказать нельзя.
Но показать всего сколько-то там страничек (100?)… Как проверить? Ведь многие сравнивают поисковики по количеству проиндексированных документов и размеру выдачи.
Мои боты негодуют!
Вас не смущает слово примерно?
Нет, не смущает. Меня бы куда больше смутило, если бы они мне написали «338 237». Потому что, как я уже сказал выше, рассчитывалось это на оценочное суждение. То есть, еще раз, Гугл здесь не ставит себе цель показать ни точное количество найденных записей (которое ни одному нормальному человеку в жизни не пригодится уже хотя бы потому, что меняется раз в час), ни количество выданных вам результатов (которые, между прочим, надо кешировать для каждого юзера отдельно).
Как проверить?
Никак. Считайте, что этого числа вообще нет если оно вам не помогает. Я бы задал вопрос более актуальный: зачем необходимо это проверять? А еще спросил бы, с какой стати поисковику вас обманывать на счет количества найденных им упоминаний?
Как, по-моему, можно пользоваться этим числом:
Лично я пользуюсь так. Допустим, есть какая-то общеупотребимая фраза на английском. И я хочу убедиться в том, что я ее пишу правильно (бывают разночтения). И тогда я ввожу в поисковик оба варианта. И получается:
«that's me»: About 335,000,000 results (0.44 seconds)
«that's i»: About 1,620,000,000 results (0.34 seconds)
Сразу понятно, какой вариант более общеупотребим в письменной литературе, а значит — более грамотен.
На русском тоже можно, хотя работает немного хуже. Например, просторечное «представляет из себя» — 26 миллионов, а литературное «представляет собой» — 28 (всего на 10% больше).
Либо сделать выборку по дате. В гугл они попали в разный период времени, таким образом, перебирая даты — получаем всю выборку резюме Тыц
А никто не спарсил ещё выдачу? Базой с данными Имя\Почта\Телефон поделитесь?
Похоже имеет место продолжение данной истории.
Пришло мне 30 минут назад уведомление от Авито, что моё объявление рассматривается модераторами (некто создал объявление и добавили новый номер для связи). Сразу понял, что мой аккаунт ломанули. Так как у меня пароль устойчив к подбору, то наверняка слита БД учеток.
Написал им в СБ, может отреагируют.
Пришло мне 30 минут назад уведомление от Авито, что моё объявление рассматривается модераторами (некто создал объявление и добавили новый номер для связи). Сразу понял, что мой аккаунт ломанули. Так как у меня пароль устойчив к подбору, то наверняка слита БД учеток.
Написал им в СБ, может отреагируют.
Два дня назад пришло уведомление что мой ящик сменен на другой. При этом если это делал не я, предложили перейти по ссылке и восстановить прежний ящик. Фишинг — подумал я, а нет. Но ссылка странным образом выдавала ошибку.
Через полтора дня мне ответила служба поддержки вот так:
бла бла бла пароль вероятно украли, был легко для подбора… лалала.
Ну окей, даже если был 11111, не важно но как это вот:
Что??)) Кого я регистрировал? Какой адрес? Я просто увидел что мне поменяли ящик и пароль, все. Больше ничего. Как это могло убить мою учетку? Какая-то темная история.
Если адрес электронной почты tanushkashere***@mail.ru принадлежит не вам, воспользуйтесь восстановлением доступа, перейдя по ссылке до 24.01.2016 г.: www.avito.ru/restore/confirm/1e9021c69d2289810c3154bb53e7f09f
Через полтора дня мне ответила служба поддержки вот так:
бла бла бла пароль вероятно украли, был легко для подбора… лалала.
Ну окей, даже если был 11111, не важно но как это вот:
К сожалению, восстановление вашего аккаунта невозможно, так как вы зарегистрировали новую учетную запись с адресом .
Что??)) Кого я регистрировал? Какой адрес? Я просто увидел что мне поменяли ящик и пароль, все. Больше ничего. Как это могло убить мою учетку? Какая-то темная история.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Утечка 191 000 адресов электронной почты из резюме Авито