Маршрут на миллион: семейный трекер подловили на продаже данных
Семейный трекер Life360 продает сведения брокерам данных, говорится в расследовании независимого медиапроекта The Markup. Приложением, аудитория которого достигла 33 млн человек, в основном пользуются родители для отслеживания маршрута детей. Так что на теневой рынок данных попадают и сведения о несовершеннолетних, по которым в теории их можно вычислить, утверждают источники. Сколько заработал Life360 на продаже информации о пользователях, как далеко может зайти слежка за детьми и чем опасны технологии родительского контроля — читайте в материале «Известий».
Семейный Facebook
Сервис Life360 — одно из приложений, которое советуют в статьях на тему «Как отследить местонахождение ребенка по смартфону». Установите на телефон ребенка Life360 или любое другое приложение, которое работает по принципу «семейного локатора», и всегда будете знать, где он находится. Такой инструмент также пригодится при потере смартфона, обещают разработчики.
Идея проекта Life360 родилась в 2005 году после урагана «Катрина», который обрушился на южные штаты США. Разработчики задумались, как технологии могли бы помочь оперативно реагировать на подобные трагедии и помогать людям защищать свои семьи. В 2008 году в Google Play было запущено одноименное приложение, тогда же владельцу удалось привлечь $3,5 млн инвестиций.
Резкий рост настиг проект в 2011 году, когда Apple дала разработчикам право собирать информацию о местоположении и передвижении пользователей. Год спустя и российские СМИ писали об инновационном навигационном сервисе, который позволяет определить местонахождение абонента.
«Геолокация сама по себе не является нашей моделью, это всего лишь путь к ней, — говорил в 2014 году глава проекта Крис Халлс. — В умах аудитории мы хотим стать семейной соцсетью в той же степени, что Facebook является социальной, а LinkedIn — профессиональной».
К 2018 году приложение скачивали по 3 млн раз в месяц. Сейчас только в «Play Маркете» у Life360 свыше 50 млн скачиваний. Схожие показатели только у Google Family Link, который позволяет ограничивать время использования приложений на телефоне ребенка.
Семейной социальной сетью проект всё же не стал, а популярным инструментом для отслеживания перемещений детей — безусловно. По данным на ноябрь 2021 года, приложением постоянно пользуются 33 млн человек.
Данные в оплату безопасности
В декабре американское некоммерческое медиа The Markup опубликовало расследование, из которого следует, что сервис Life360 — крупный поставщик на многомиллиардном полузаконном рынке персональных данных. Выводы основаны на информации от четырех анонимных источников, двое из которых — экс-сотрудники Life360, остальные — брокеры данных. Только за 2020 год компания якобы выручила за продажу персональных данных $16 млн (в 2018 году общая выручка компании составляла всего $20 млн, чего не хватило бы на обеспечение компании. — Ред.).
Политика конфиденциальности трекера стандартна. Если вкратце, информация передается и продается, но в обезличенном виде, который не позволит вас идентифицировать; можно вообще отказаться от передачи, но для этого придется покопаться в настройках.
По словам информаторов из числа бывших сотрудников, обещание не передавать личные данные соблюдают спустя рукава: из базы удаляются только имена и точные адреса. Продали их как минимум десяти брокерам геолокационных данных. Собеседник из их числа пошутил, что маркетинговые компании провалились бы без столь точных данных Life360.
Глава Life360 не подтвердил, но и не опроверг приведенную в расследовании информацию. Он подчеркнул, что данные пользователей — «важная часть бизнес-модели», которая позволяет бесплатно предоставлять юзерам ряд функций, в том числе и те, которые спасают человеческие жизни (среди прочего приложение может отслеживать скорость машины и предоставлять информацию о ДТП, которые произошли в радиусе отслеживания. — Ред.).
Вместе с тем у компании жесткая позиция о передаче данных государственным органам, в том числе правоохранителям. Этот запрет введен с 2020 года, а продаются сведения о пользователях локатора с 2016 года. Кроме того, по словам Криса Халлса, компания не делится информацией со страховщиками.
Стандартное согласие
— Мои родители заставили меня установить приложение, чтобы отслеживать мое местоположение, после переезда. В основном из-за того, что в прошлом я часто убегал и вообще был глупым подростком. Life360 имеет доступ к данным о моем местоположении 24/7, отслеживает мою скорость [на дорогах] и историю передвижений... Кто-нибудь знает, продает ли Life360 собранные данные? — спросил пользователь Reddit два года назад.
Помимо настоятельных советов удалить приложение (не из-за распространения конфиденциальных данных — просто дико, когда родители следят за каждым шагом ребенка старше 18 лет, сочли комментаторы), он получил ответ в виде выдержки из политики конфиденциальности приложения, в котором прописана такая возможность.
Судя по приобретениям, Life360 собирается расширять влияние на рынке геолокационных данных. Два года назад компания купила приложение для мониторинга экранного времени ZenScreen, в этом году — производителя устройств-трекеров Jiobit для детей младшего возраста, пожилых людей и домашних животных. Кроме того, она намерена приобрести стартап Tile.
— Описанный [в расследовании] способ продажи данных третьей стороне — это стандартное условие любого пользовательского соглашения, — отмечает в беседе с «Известиями» начальник отдела информационной безопасности «СёрчИнформ» Алексей Дрозд. — Любой сервис продает данные точно так же, просто Life360 привлекло внимание, так как речь о приложении для контроля местоположения детей.
Life360 вышло на российский рынок еще в 2014 году. Компания не публикует открытую статистику о количестве юзеров в разных странах, поэтому определить количество пользователей из РФ проблематично. Судя по рейтингам маркетов, у российских родителей популярно приложение «Где мои дети» (Findmykids, более 10 млн скачиваний), которое функционирует в связке с чат-сервисом Pingo. Оба — от отечественных разработчиков.
Приложением «Где мои дети», по информации самого сервиса, пользуются 2 млн родителей по всему миру. На старте оно спрашивает, сколько лет вашему ребенку: 1–6, 7–10, 11–14, 15–17 или 18+. Сервис позволяет отслеживать передвижения, чтобы «узнать, посещает ли ребенок опасные места» и «найти телефон, если он его потеряет»; слушать звук вокруг телефона ребенка, чтобы убедиться, «в хорошей ли он компании друзей»; получать уведомления о ключевых перемещениях (например, из дома в школу и обратно) и снижении заряда на смартфоне; отправить громкий сигнал на устройство ребенка; получить от него сигнал тревоги. Кроме того, он дает родителям возможность просматривать статистику использования приложений.
По результатам опроса «Лаборатории Касперского», 40% родителей детей в возрасте 7–12 лет признались, что следят за геолокацией смартфона ребенка.
В политике конфиденциальности отмечается, что «Где мои дети» собирает лишь добровольно предоставленные данные (за это отвечает та самая галочка «согласие на обработку...», которую подавляющее большинство пользователей ставят не глядя). При этом, например, фотографии детей, которые приложение запрашивает для идентификации, доступны только родителям.
Компания заявляет, что не хранит сведения о точном местоположении, аудиозаписи звука вокруг смартфона детей, статистику использования приложений, а также принимает «особые меры предосторожности для защиты конфиденциальности детей» (личная информация, которая собирается с аккаунтов детей младше 2013 года, запрещена. — Ред.).
«Мы не занимаемся продажей информации о вас рекламодателям или третьим лицам», — говорится в документе. Одно дело продажа, другое — передача информации с целью «облегчить таргетинг, доставку и измерение онлайн-рекламы с помощью сторонних сервисов или иным образом облегчить передачу информации, которая может быть полезной или интересной для вас». В случае передачи и обмена речь опять же об агрегированной информации, которая не может быть «использована для идентификации отдельного пользователя».
Аналогичная картина в политике семейного GPS-трекера KidsControl, который заверяет, что приоритет разработчика — «защита вас и вашей семьи». «Мы будем собирать информацию о вашем местоположении для того, чтобы KidControl Dev мог предоставить вам наиболее точный и своевременный сервис, — обещает разработчик. — Также в маркетинговых целях, которые могут включать в себя предложения новых услуг для вас и/или стороннюю рекламу». Третьим лицам предоставляется обезличенная информация.
Не каждый разберется
Новость о расследовании работы Life360, которое выявило факт продажи данных, породила опасения за безопасность детей. В самых смелых догадках комментаторы гадают, могут ли сведения из семейных локаторов попасть в руки преступников — особенно педофилов. Из-за этого не стоит беспокоиться, уверяет начальник отдела информационной безопасности «СёрчИнформ».
— Информацию продают третьим сторонам для маркетинговых нужд (точечной настройки рекламы, доработки продукта или сервиса) не штучно, а оптом, и она скорее бесполезна для тех, кто хочет выследить конкретную жертву, — объясняет Алексей Дрозд. — Кроме того, важен и формат, и форма предоставления данных.
Продаваемые наборы — это не интерактивная карта с передвижением детей в режиме реального времени, а «наборы цифр и букв», которые позволяют выделить группу, но не конкретного человека. С этими данными еще нужно уметь работать, подчеркивает собеседник «Известий»: «У преступников, к сожалению, есть более простые способы получить нужную информацию о жертве. Очень много данных дети оставляют о себе в соцсетях сами, а родители часто не знают о круге общения, в который могут затесаться под фейковыми аккаунтами опасные люди».
Однако сохраняются другие риски, связанные с работой приложения. По словам эксперта «СёрчИнформ», они характерны для любых «умных» устройств и могут использоваться для точечных атак. Четких требований безопасности для подобных гаджетов и сервисов нет, поэтому они зачастую плохо защищены.
— Например, данные могут передаваться в незашифрованном виде, могут использоваться стандартные заводские пароли без требования сменить их при первом использовании. В результате злоумышленник может получить доступ к персональной информации владельца устройства или к его профилю. Или, как в случае с детскими устройствами, также к данным о родителях, — поясняет Алексей Дрозд.
В ноябре специалисты «Доктор Веб» сообщили, что обнаружили уязвимости в детских смарт-часах. Они установили, что часы одного из популярных в России производителей передают собранные данные на управляющий сервер за границей, что «может представлять потенциальную опасность». Главная проблема — наличие в прошивке устройства приложения, которое содержит функции трояна. Передавая данные о местоположении ребенка на собственный сервер вместе с иными сведениями, оно может применяться для «кибершпионажа, показа рекламы и установки ненужных и даже опасных программ».
По словам руководителя группы анализа угроз ИБ Positive Technologies Вадима Соловьева, наиболее серьезные проблемы в безопасности семейных трекеров связаны с защитой персональных данных, хранящихся на серверах непосредственно у разработчика приложения.
— Поскольку такие данные часто содержат сведения о пользователях с избытком, их утечка может привести к нежелательным последствиям. Так, например, злоумышленники могут использовать сведения о перемещении конкретных лиц для шантажа или вовлечения в мошеннические схемы, — отмечает Вадим Соловьев в беседе с «Известиями».
Можно, но осторожно
Сама по себе функция геофенсинга (определение зоны перемещения ребенка) может быть полезна, если ребенок, например, самостоятельно возвращается домой из школы или с занятий в спортивных секциях, подчеркивает руководитель направления по детской онлайн-безопасности «Лаборатории Касперского» Андрей Сиденко.
— Однако прежде чем установить программу родительского контроля, мы рекомендуем обязательно рассказать об этом ребенку, объяснить, как и для чего родители будут ее использовать, — рекомендует специалист.
В 2019 году в TikTok завирусился тренд с детьми и подростками, которые бунтовали против использования Life360 для слежки.
Множество приложений — не только в сфере родительского контроля — злоупотребляют сбором данных о геолокации для коммерческих целей, отмечает эксперт по кибербезопасности «Лаборатории Касперского» Виктор Чебышев: «Пользователям в целом следует быть внимательными к приложениям, которые запрашивают доступ к чувствительным данным, вне зависимости от целей сервиса. Особенно если речь о смартфонах детей. Речь не только про координаты, но и про доступ к камере и микрофону, SMS или истории телефонных звонков».
Эксперт советует устанавливать приложения только из официальных магазинов с оглядкой на репутацию разработчика. Чтобы уберечь себя и ребенка, стоит потратить время на изучение новостей и отзывов о продукте, а также пользовательского соглашения (той части, которая касается обработки пользовательских данных). А кроме того, с умом выдавать разрешения на доступ к тем или иным сведениям: приложению с фонариком явно не нужны контакты из телефонной книги.
