Key Takeaways
- Forscher fanden heraus, dass Tausende von Top-Websites Formulardaten erfassen und weitergeben, noch bevor Benutzer auf die Sch altfläche „Senden“geklickt haben.
- Die Sammlung dient nicht immer Werbezwecken, empfehlen Datenschutzexperten.
- Viele Websites haben die Fehler eingestehen und korrigiert, aber einige widersetzen sich immer noch den Regeln.
Websites sammeln und teilen Ihre Informationen immer raffinierter.
Eine umfangreiche Studie über die Top 100.000 Websites ergab, dass viele Informationen, die von Personen in die Website-Formulare eingegeben wurden, an Drittanbieter-Tracker weitergegeben wurden, bevor die Benutzer überhaupt auf die Sch altfläche "Senden" geklickt haben. Es wurden Tausende solcher Websites gefunden, die von E-Mail-Adressen bis hin zu Passwörtern alles durchsickern ließen, obwohl viele die Probleme glücklicherweise behoben haben, sobald die Forscher sie kontaktiert haben.
"Es ist besorgniserregend zu sehen, dass Websites Passwörter preisgeben", sagte Rick McElroy, Principal Cybersecurity Strategist bei VMware, per E-Mail gegenüber Lifewire als Reaktion auf die Untersuchung. "Ich freue mich zu sehen, dass die Organisationen nach der Benachrichtigung Änderungen an ihrem Kodex vorgenommen haben, um diese Praxis zu stoppen."
Enter to Leak
Die Studie wurde durchgeführt, um festzustellen, ob Online-Tracker den Zugriff auf Webformulare missbrauchen. Die Forscher verweisen auf eine Umfrage, bei der 81 % der Befragten zugaben, Online-Formulare irgendwann aufgegeben zu haben.
"Wir glauben, dass es den Erwartungen der Benutzer stark widerspricht, personenbezogene Daten aus Webformularen zu Tracking-Zwecken zu sammeln, bevor sie ein Formular absenden", stellten die Forscher fest. "Wir wollten dieses Verh alten messen, um seine Prävalenz einzuschätzen."
Insgesamt testeten sie 2,8 Millionen Seiten auf den bestplatzierten Websites der Welt. Von diesen erlaubten 1.844 Websites Trackern, E-Mail-Adressen vor der Übermittlung zu exfiltrieren, wenn sie von Europa aus besucht wurden. Beim Besuch aus den USA stieg die Anzahl der Websites, die vor der Übermittlung Informationen sammeln, auf 2.950.
Die Forscher stellen fest, dass die Datenlecks in einigen Fällen anscheinend unbeabsichtigt waren, wobei die versehentliche Erfassung von Passwörtern auf 52 Websites dank der Ergebnisse der Studie behoben werden konnte.
"Einige Websites teilten uns mit, dass sie sich dieser Datenerhebung nicht bewusst waren, und haben das Problem nach unseren Offenlegungen behoben", schrieben die Forscher, die ihre Ergebnisse auf dem bevorstehenden USENIX Security Symposium in Boston, Massachusetts, vorstellen werden.
Bleib sicher
Chris Hauk, Verfechter des Datenschutzes für Verbraucher bei Pixel Privacy, sagte, dass, obwohl die Datenlecks von den Websites kommen, es ein paar Dinge gibt, die die Leute auf ihrer Seite tun können, um die Datenlecks zumindest zu verlangsamen.
"Benutzer können die Cover Your Tracks-Website der Electronic Frontier Foundation besuchen, um festzustellen, wie Website-Tracker Ihren Browser sehen, um zu erfahren, wie Websites Sie verfolgen können, während Sie online sind, und was Sie tun können, um dies zumindest teilweise zu verhindern", schlug Hauk vor Lifewire per E-Mail.
Personenbezogene Daten und ihr Wert bilden seit mehr als 20 Jahren das Geschäftsmodell für viele moderne digitale Unternehmen…
Der übliche Rat, ein VPN zu verwenden, um Ihre Online-Spuren zu verwischen, wird nicht viel nützen, um diese Art von Leak zu verhindern. Hauk empfiehlt die Verwendung einer Einweg-E-Mail-Adresse, getrennt von Ihrem üblichen persönlichen E-Mail-Konto, zur Verwendung auf Websites, die nach solchen Informationen fragen.
McElroy forderte die Leute auf, entweder einen für den Datenschutz entwickelten Webbrowser wie Brave zu verwenden oder Datenschutz-Add-ons wie Privacy Badger in ihrem normalen Browser zu installieren. Er plädierte auch für eine Multi-Faktor-Authentifizierung, um den Schaden durch Passwortlecks zu minimieren.
Außerdem haben die Forscher ein Proof-of-Concept-Browser-Add-on namens Leak Inspector entwickelt, das vor Datenexfiltration warnt und schützt.
Datensparsamkeit
McElroy drückte seine Überraschung über das Ausmaß der Sammlung aus und sagte, die Menschen müssten verstehen, dass von Menschen generierte Daten eine Ware sind, die gesammelt, geteilt, analysiert und für verschiedene Zwecke verwendet werde.
"Meistens sind diese Zwecke nicht unbedingt böswillig (wie das Teilen von Daten mit einem Drittanbieter-Werbetreibenden), aber der Fluss zwischen und zwischen Systemen mit verschiedenen Sicherheitsstufen macht alle Verbraucher anfällig und schafft eine reife Landschaft für Angreifer ausnutzen", erklärte McElroy.
David Rickard, CTO North America bei Cipher, einem Prosegur-Unternehmen, ist der Meinung, dass die Menschen davon ausgehen sollten, dass jedes Formular, das sie im Internet ausfüllen, Daten speichert, während die Dateneingabe läuft, und jedes Formular, das sie ausfüllen, Eigentum wird der Website und weiterverkauft an Dritte.
"Personenbezogene Daten und ihr Wert bilden seit über 20 Jahren das Geschäftsmodell für viele moderne digitale Unternehmen, auch wenn ihre Datenschutzrichtlinien ausdrücklich besagen, dass sie keine PII [Personally Identifiable Information] sammeln und verkaufen, “, teilte Rickard Lifewire per E-Mail mit.
Er sagte, dass Datenaggregatoren die Datenschutzbestimmungen umgehen, indem sie mehrere verschiedene Datensätze sammeln, die möglicherweise keinen Namen, keine Adresse usw. enth alten, die als solche keine PII sind, aber wenn sie mit Hunderten von zusätzlichen Datenpunkten aus anderen Datensätzen abgeglichen werden, kann Personen mit einer Erfolgsquote von über 90 % identifizieren.
"Dies führt zu Dienstleistungen, die so etwas wie versicherungsmathematische Tabellen sind (oder von denen angenommen wird, dass sie tatsächlich versicherungsmathematische Tabellen sind), die Kreditwürdigkeit, Versicherbarkeit, Beschäftigungsfähigkeit, Wahrscheinlichkeit verschiedener Abhängigkeiten, wahrscheinliche politische und religiöse Zugehörigkeiten, was auch immer, angeben, " sagte Rickard.
