«Знаете, в чем фокус? Можно взять любой номер телефона — неважно, из какого источника, например, с сайта объявлений или социальной сети, и из одного этого параметра „вытащить“ все данные о человеке», — Сергей Ахметов, консультант по Big Data, начинает наш разговор о безопасности в интернете. Он говорит: многие привыкли думать, что их страница в социальной сети никому не нужна. На самом деле нужна. Нужна информация о пользователе, и зачастую она собирается «белыми» методами. Фраза «Все, что вы напишете в интернете, потом будет использовано против вас» работает — эксперт объяснил для делового еженедельника «Капитал.kz», почему это так.
О чем расскажет номер телефона?
Мы привыкли к тому, что о воровстве данных говорят в отношении крупных компаний, тех же социальных сетей, но есть мелкие компании, занимающиеся тем же, и они намного опаснее, потому что собирают больше информации и продают ее. Стоимость составляет от 50 до 100 тенге за контакт.
Как это работает? Например, компании продают свои клиентские базы, это распространено в Казахстане. Или, например, кредитные организации обращаются к «специалистам», которые вытаскивают параметры на пользователей.
По номеру телефона можно узнать, какими социальными сетями пользуется человек, адрес его электронной почты. Это «лайт-пакет». Дальше. Есть специальное программное обеспечение, которое в течение трех лет ежедневно собирает всю информацию о пользователе. Например, вы разместили объявление о продаже машины через специальный сайт — значит о вас соберут информацию о том, когда, какую машину и за какую цену вы продавали. Станет известен и ваш е-мейл, через который можно будет получить информацию о покупателях.
Большинство людей указывают в социальных сетях дату рождения, она заложена в ИИН. На сайтах, которые находятся на первых страницах Google, можно вбить ФИО и получить ИИН. А через этот параметр — наличие у человека компаний, какие юридические лица зарегистрированы на человека и информацию об уплате налогов.
В аккаунтах люди часто пишут о своих детях, родственниках, указывают религиозные предпочтения, ставят геометки. По геометкам, например, можно понять, насколько человек платежеспособный. А все начинается с номера телефона.
От «лайт-пакета» — к «хард-пакету»
Обычно это группа из трех-четырех человек. Пример из жизни — группа лиц (они уже отбывают наказание) собрала почти 16 млрд контактов по всему миру. Такие группы пользуются инструментами для ведения клиентской базы. Их используют, например, в банках: вы один раз позвонили, ваше имя и телефон записали, если вы обращаетесь повторно, вас в этом учреждении уже знают. CRM-систему можно грамотно настроить. Пакет информации, которую собирают, позволяет сегментировать аудиторию по городам, по составу семьи, платежеспособности. Это как минимум.
Конечно, те же банки защищают свои базы. Но всегда есть риск того, что какой-то упорный сотрудник сделает скриншот и продаст его.
В полной версии можно обнаружить информацию примерно по 140 параметрам (конечно, не факт, что все поля будут заполнены). Номер телефона, аккаунты в социальных сетях, мессенджеры, геометки. Если вы давали объявления о продаже квартиры, машины — все суммируется и выдается «средний чек» человека. Информация вплоть до наличия кредита. Такой контакт стоит 500 тенге.
ПО, которое «слушает» Сеть
Кроме того, есть программное обеспечение, которое собирает информацию о пользователе по ключевым словам по всему контенту, который пользователь оставляет в интернете. Например, где-то он напишет слово «кредит» и ограничит регионом Казахстана — это будет вычислено. Таким ПО пользуются, как правило, крупные компании, обслуживающие клиентов. Но это легальный способ, поскольку информация берется из открытых источников.
Таким же образом можно отслеживать информацию и общественное мнение по тому или иному событию. В США, например, есть стартап, который с помощью вот таких запросов делает прогнозы на курсы биткоина, доллара, и достаточно неплохо.
В Китае разработали софт, который может определить геолокацию по фотографии, даже если пользователь не поставил на свое фото соответствующую метку. Сейчас можно сфотографировать человека, например, на улице или в метро и c помощью программы FindFace найти его в социальных сетях.
«Невидимые кнопки» видят пользователей
Сейчас социальные сети стали бороться, но раньше были очень распространены «невидимые кнопки», года два назад они набрали популярность у нас и в соседних странах. «Серые» разработчики вешали на сайт «невидимые кнопки»: пользователь заходит на сайт, нажимает в любое место — и его идентифицируют. А потом вы заходите на сайт и получаете сообщение: «Добрый день! Меня зовут так-то, вы были у нас на сайте…».
Потом этот скрипт был выложен с открытый доступ, по форумам. Зачем это было сделано? Например, на сайт зашло 100 человек, заявку оставляют 10−15 из них, а с помощью скрипта можно идентифицировать человек 60−70 — как минимум увидеть, кто это, и, таким образом, получить возможность потом вести с ними коммуникации. Такими кнопками могли пользоваться, например, небольшие интернет-магазины. Но, более того, этих же пользователей заполучали и те, кто выложил скрипт в Сеть. И они таким образом не просто расширяли свою базу, но и видели путь клиента с одного сайта на другой (при условии, что на этих сайтах висит скрипт). Потом выяснилось, что и «консультанты» на сайтах — окошечки, которые появляются, когда вы посещаете тот или иной ресурс, — оказались «дырявыми», потому что на многих сайтах через них злоумышленники тоже собирали персональную информацию.
Буквально год назад Google стал блокировать сайты, на которых есть код, собирающий информацию без разрешения посетителей. «Яндекс» выпустил обновления на эту тему, старается блокировать. В Европе недавно ужесточили требования ко всем организациям на территории Евросоюза, согласно которым данные должны храниться в зашифрованном виде, не передаваться третьим лицам, и любая обработка их может осуществляться только тогда, когда пользователи дают на это письменное или устное соглашение. В противном случае — штраф от 2% до 4% от годового оборота. Для Google максимальный размер штрафа может составить 3,79 млрд евро, а для Facebook и WhatsApp — 1,3 млрд евро за каждое нарушение. В Казахстане же законодательство о защите персональных данных не столь строгое. Пока не было ни одного прецедента за передачу персональных данных третьим лицам.
Как защититься в сети
В популярной социальной сети раньше по номеру телефона можно было найти любого пользователя (если номер был привязан к странице). При наличии 16 телефонных кодов можно сгенерировать 10 млн контактов. Сейчас эта возможность ограничена. Году в 2016—2017 у другой социальной сети украли всю базу контактов, ее продавали в сети по 100 тыс. рублей.
В «Фейсбуке» есть настройки конфиденциальности, один из пунктов — «Кто может меня найти», поиск возможен по номеру телефона и адресу электронной почты. По умолчанию стоит галочка «Все». Необходимо заменить на «Друзья» или «Друзья друзей». Можно сделать еще хитрее: удалить свой номер и добавить заново, тогда появится галочка «Только я».
Могу привести личный пример защиты: я завел отдельный адрес электронной почты и отдельный номер телефона для использования на сайтах объявлений и регистрации на различных мероприятиях. Мой личный номер остался исключительно для личного пользования.
