Většina lidí tuší, že weby o nich sbírají data. Málokdo ale ví, kdo konkrétně. Nová služba DecryptAds umí u libovolné stránky vypsat jmenný seznam firem, které z ní odebírají údaje o návštěvnících.
Trik je v tom, že tyhle informace weby zveřejňují samy. Reklamní odvětví si kvůli boji proti podvodům zavedlo soubory ads.txt a app-ads.txt — veřejné seznamy firem, které smí na daném webu nebo v aplikaci prodávat reklamu. K tomu přibyly soubory sellers.json a buyers.json s údaji o tom, kdo reklamní prostor nakupuje. Dohromady jde o dobrovolně vystavenou mapu celého datového řetězce, kterou si ale nikdo systematicky nečetl.
Přesně to teď dělá DecryptAds, služba bezpečnostní firmy Infoblox. U webu ESPN.com našla 143 reklamních partnerů a 19 domén datových brokerů — firem, jejichž byznysem je nakupovat a přeprodávat osobní údaje. Skoro polovina z nich sbírá i polohu uživatele. U českých zpravodajských webů bude číslo podobné; stačí si adresu do služby zadat a podívat se.
Zajímavější než počty je ale původ partnerů. DecryptAds označuje firmy z rizikových jurisdikcí, typicky z Číny, Ruska, Kypru a Spojených arabských emirátů. Výzkumník Zach Edwards takto našel ruskou firmu Between Digital, napojenou na sankcemi postiženou Alfa Bank, mezi partnery amerických vojenských zpravodajských webů. Ukázalo se také, že prohlížeč Opera — vlastněný od roku 2016 čínskou Kunlun Tech a v Česku poměrně rozšířený — má registrováno 27 datových brokerů, z toho patnáct v SAE a šest v Číně.
Pro české uživatele to má praktický dopad. GDPR sice vyžaduje souhlas se sledováním, ale souhlasové lišty většinou jen odkazují na „partnery“ bez konkrétních jmen. DecryptAds ukazuje, co se za tou formulací skutečně skrývá — a že řetězec často končí mimo dosah evropského práva. Pro výuku informatiky je to vděčný materiál: žáci si mohou sami prověřit weby, které denně navštěvují.
Obrana zůstává nudná, ale funkční. Na počítači pomůže rozšíření uBlock Origin Lite, na iPhonu Adblock Plus, pro celou domácí síť Raspberry Pi s Pi-hole, které blokuje sledovací domény už na úrovni DNS. U mobilních aplikací ovšem tahle obrana selhává — aplikace sbírají víc dat než weby a blokátory je většinou nezachytí. Nejúčinnějším opatřením proto zůstává neinstalovat aplikace, které ke své funkci nepotřebujete.
Zkuste si zadat svůj oblíbený web a podívat se, kdo všechno z něj o vás odebírá data.
Zdroj: Krebs on Security
