Popular mobile applications that use third-party, ready-to-go advertising Software Development Kits (SDKs) expose user data by transmitting it over the insecure HTTP protocol, Kaspersky Lab warns.

While analyzing popular dating apps, the security firm discovered that user data is often transmitted unencrypted when SDKs from popular advertising networks are used. With some of the apps having several billion installations worldwide, security flaws put a gigantic amount of private data at risk.

Consisting of development tools and often provided free of charge, SDKs allow app developers to immediately include some capabilities into their apps and save time while focusing on other, more important elements. However, it also means that developers don’t know that the used code may contain security issues.

The advertising SDKs were designed to collect user data to show relevant ads and help developers monetize their product.

These kits would send the collected data to the domains of popular advertising networks to ensure more targeted ad displaying, but the data is sent unencrypted over HTTP, meaning it remains unprotected from a variety of attacks while in transit. The data is exposed via unprotected Wi-Fi, Internet Service Providers, or malware on a home router, Kaspersky says.

Not only can the data be intercepted, but it can also be modified, which could result in users being exposed to malicious ads instead of legitimate ones. This could result in users being tricked into downloading promoted applications that could turn out to be malware.

Analysis of a file one of the applications was sending to an analytics company revealed the type of data being transmitted unencrypted: device information, date of birth, user name, and GPS coordinates, along with information on app usage (such as profiles liked by the user).

Other analyzed dating apps were showing similar behavior, using HTTPS to communicate with their servers, but making HTTP requests to a third-party server. This server was belonging to an advertising network used by both dating apps and the user data was sent as parameters in a URL.

What Kaspersky discovered was that the leaky applications were using large amounts of third-party code, with every app containing at least 40 different modules.

“They make up a huge part of these apps – at least 75% of the Dalvik bytecode was in third-party modules; in one app the proportion of third-party code was as high as 90%,” Kaspersky’s Roman Unuchek notes in a blog post.

After diving into the GET and POST requests through which popular applications with third-party SDKs were sending unencrypted data, the security firm was able to identify the most popular SDKs leaking user data, as well as the domains the data was being sent to.

The four most popular domains the apps were exposing data to via GET requests include mopub.com (used in apps with hundreds of millions of installs), rayjump.com (nine of the apps had a total of 2 billion installs), tappas.net (tens of millions of installations), and appsgeyser.com (supposedly used in 6 million apps with almost 2 billion installations between them).

The four most popular domains the apps were exposing data to via POST requests include ushareit.com (one of the apps had more than 500 million installs), Lenovo (which was leaking user data because of a mistake by developers), Nexage.com (nearly 1.5 billion installs in 8 apps alone), and Quantumgraph.com (with tens of millions of installs).

In most cases, the SDKs were leaking data such as device information (screen resolution, storage size, volume, battery level, OS version, IMEI, IMSI, language), network information (operator name, IP address, connection type, signal strength, MAC), device coordinates, Android ID, app usage, and personal information such as user name, age and gender. Phone number and email address can also be leaked.

The main issue with these apps is that they send the data unencrypted, meaning that it can be intercepted. This means that anyone able to intercept the data can learn a lot about the user, and, depending on the transmitted data, can even use it to do harm. Additionally, the data can be modified, leading to other malicious attacks.

“Starting from the second half of 2016, more and more apps have been switching from HTTP to HTTPS. So, we are moving in the right direction, but too slowly. As of January 2018, 63% of apps are using HTTPS but most of them are still also using HTTP. Almost 90% of apps are using HTTP. And many of them are transmitting unencrypted sensitive data,” Unuchek points out.

The security researcher urges developers to stop using HTTP and to turn on 301 redirection to HTTPS for the frontends. They should also encrypt data, always use the latest version of an SDK, and should check the app’s network communications before publishing.

Users are advised to check the permissions requested by each application and only grant those permissions that are required for the application’s functionality. They should also use a VPN, which would encrypt the traffic to external servers.

“The scale of what we first thought was just specific cases of careless application design is overwhelming. Millions of applications include third party SDKs, exposing private data that can be easily intercepted and modified – leading to malware infections, blackmail and other highly effective attack vectors on your devices,” Unuchek said.

Related: Mobile Ad SDK Exposes iOS Users to Remote Attacks

Ionut Arghire is an international correspondent for SecurityWeek.

Previous Columns by Ionut Arghire:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/ob1_gleHqrE/popular-android-apps-leak-user-data-third-party-sdks

Martin Sorrel, il boss del più grande gruppo di pubblicità del mondo (WPP) si è dimesso dopo 33 anni in seguito ad una indagine interna che ha messo in luce alcuni problemi sulla gestione delle sue note spese. In quest’intervista Alberto Contri, docente di Comunicazione Sociale all’Università Iulm e autore, di recente, del saggio McLuhan non abita più qui? (pubblicato da Bollati Boringhieri), nel quale ha dedicato molte pagine al “lento suicidio delle agenzie di pubblicità”, ci spiega qual è il vero motivo del suo ritiro dalle scene.

Key4biz. Nel suo libro “Mc Luhan non abita più?” e in una recente intervista a key4biz lei ha previsto e raccontato il “lento suicidio delle agenzie di pubblicità”, ma senza citare Sorrell. Perché?

Alberto Contri. Non ce n’era bisogno, anche perché Sorrell ha incarnato il modello di business che ho stigmatizzato e che sta portando alla rovina un mestiere di grande tradizione.

Key4biz. In sintesi?

Alberto Contri. La principale responsabilità di Sorrell è stata finanziarizzare un intero sistema, concentrandosi sulla principale attività da cui ricavare grandi profitti: l’acquisto degli spazi pubblicitari sui mezzi. E lasciando in secondo piano la creatività e la consulenza strategica. Ha capito che più era grande, più poteva spuntare grandi sconti dai mezzi, e alla fine i clienti lo hanno seguito soprattutto per questo. Così ha comprato agenzie su agenzie, costruendo un impero basato più sulla finanza che sulla creatività.

Key4biz. E poi cosa è successo?

Alberto Contri. E’ successo che i cosiddetti nuovi media hanno cominciato a conquistarsi molte delle risorse prima dedicate all’acquisto dei mezzi tradizionali. E dato che il mercato della pubblicità sui social si sta facendo sempre meno trasparente, i grandi clienti hanno cominciato anche ad organizzarsi in proprio, e a tagliare drasticamente i budget tradizionali. Così in un anno il gruppo WPP ha perso oltre un terzo del proprio valore di borsa, e si è pure trovato preso di mira dalla Bank American Merryl Lynch che ha diffuso il verbo della morte della creatività a fronte della nascita del marketing “data driven”.

Key4biz. Dopo quello che è appena successo a Mark Zuckerberg, non ci pare che i big data godano di così grande salute. E’ vero?

Alberto Contri. Verissimo. Innanzitutto quello che è successo la dice lunga sulle doti di visione di alcune grandi società di consulenza: appena annunciata la nascita del marketing data driven, sono state messe sotto accusa in tutto il mondo le nuove imprese che rivendono i dati degli utenti. Ed è facile comprendere che i nuovi vincoli che si stanno ipotizzando per difendere maggiormente la privacy non potranno che diminuire i profitti delle major dei nuovi media. Una bella frittata. E un bel calcio nei denti ai soloni della consulenza che oltre a fare previsioni contro il buon senso, non sono nemmeno stati capaci di avvisarci della bolla dei subprime.

Key4biz. Secondo lei Sorrell si è dimesso per l’inchiesta sulle sue note spese?

Alberto Contri. Ma stiamo scherzando? Questa è la vulgata della stampa, che mostra su questo la corda nell’incapacità di approfondire seriamente e nell’inseguire soprattutto pettegolezzi e retroscena. La commissione interna di indagine WPP ha inoltre appena fatto sapere trattarsi di somme irrisorie. Sorrell si è dimesso perché si è reso conto che tutto il limone dell’acquisto mezzi era stato spremuto sino all’ultima goccia, e che le agenzie di pubblicità si trovano ad affrontare un presente ed un futuro del tutto incerto, dopo aver abbandonato il primato nel campo della creatività e dello sviluppo della reputazione dei brand. E non potendo nemmeno confidare nel nuovo sol dell’avvenire dei big data. Giustamente ha pensato di ritirarsi a godere il suo non indifferente gruzzolo guadagnato distruggendo un intero sistema. Chapeau.

Key4biz. E adesso che si fa?

Alberto Contri. Adesso la strada è tutta in salita, perché le agenzie debbono recuperare il loro antico know-how, che consiste nella consulenza creativa capace di fare la differenza e nell’assistenza ai clienti. E lo devono fare nonostante lo spettro del taglio dei costi.

Key4biz. E che succederà secondo lei nel campo dei social media?

Alberto Contri. Pochi si stanno rendendo conto che nulla sarà più come prima. Sempre più persone si stanno rendendo conto di aver ceduto la propria privacy con troppa leggerezza, authority nazionali e internazionali interverranno con limitazioni, è inoltre impensabile immaginare che player del commercio on-line che stanno diventando monopolisti assoluti lo possano fare senza pagare qualche pegno. La confusione ora è al calor bianco, e così è venuto il tempo di risfoderare una vecchia massima del presidente Mao: Grande è la confusione sotto il sole, quindi tutto va bene.

‘Perché si è dimesso Sorrel, il numero uno dei pubblicitari’. Intervista a Alberto Contri (Iulm)

Mai come ora sta emergendo in tutta la sua cogenza la problematica della tutela dei dati personali e con essa della reputazione digitale di ciascuno di noi: dagli scandali che coinvolgono Facebook all’allarme lanciato in merito a possibili profilazioni di minori da società come Youtube, sino all’esortazione apostolica “Gaudete et exsultate” di Papa Francesco, in cui vengono messi in evidenza i rischi nella partecipazione a reti di violenza verbale su internet e nei diversi spazi di scambio digitale.

Più che mai, quindi, si sente la necessità di norme di tutela sempre più stringenti, cui lo stesso fondatore di Facebook, Mark Zuckerberg, martedì ha aperto al Congresso Americano.

In questo senso c’è una scadenza importante come quella del 25 maggio, giorno dal quale sarà operativo nei Paesi membri il nuovo Regolamento sulla protezione dei dati UE 2016/679 del Parlamento europeo, noto anche con l’acronimo Gdpr (General data protection regulation).

Il Consiglio dei Ministri ha dato notizia di aver approvato recentemente in sede preliminare un decreto legislativo recante disposizioni per l’adeguamento della normativa nazionale al nuovo Regolamento Europeo. Purtroppo, tale decreto non risulta ad ora tra i provvedimenti urgenti di cui si occuperà la Commissione Speciale appena istituita.

Visti i tempi risicati, è importante che il Governo presenti anche questo schema di decreto legislativo al più presto alle Camere, in modo che possa essere esaminato dalle Commissioni speciali perché ci sono molti punti nuovi e delicati che vanno assolutamente affrontati e discussi con tempi e modalità adeguati.

Un paio di esempi: il Parlamento dovrà esprimere un parere se è vero che nella bozza di decreto circolante in via ufficiosa la nuova normativa di attuazione eliminerebbe il sistema di tutela penale dei trattamenti illeciti e dei reati relativi all’utilizzo dei dati personali, sostituendolo con sanzioni amministrative pur importanti.

Sono previste, inoltre, nuove modalità in relazione al sacrosanto “diritto all’Oblio”, ma anche novità che riguardano direttamente i nostri giovani, i più esposti ai molteplici rischi del digitale.

Per esempio, all’art. 8 del nuovo Regolamento europeo – che entra nel merito del consenso digitale dei minori – si legge che “il trattamento di dati personali del minore è lecito ove il minore abbia almeno 16 anni. Ove il minore abbia un’età inferiore ai 16 anni, tale trattamento è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale. Gli Stati membri possono stabilire per legge un’età inferiore a tali fini purché non inferiore ai 13 anni”.

La possibilità, quindi, offerta a ogni singolo Paese di fissare un’età compresa tra i 13 e i 16 anni rappresenta un elemento importante di discussione – che ha aperto tra l’altro un forte dibattito tra i diversi players che si occupano di tutela dei minori – ma ad oggi ancora non conosciamo quale sia il risultato di questo confronto nella bozza di decreto legislativo di cui sopra.

Di qui l’urgenza di portare questo dlgs in Parlamento, affinché possa essere vagliato entro il prossimo 25 maggio. Come Forza Italia faremo la nostra parte, lavoreremo e vigileremo perché siano trovate le formule migliori per la miglior tutela dei dati personali di tutti i cittadini e, in particolare, dei minori che – come apprendiamo sempre più spesso dai casi di cronaca riportati quotidianamente dai media – sono la parte della nostra società più esposta in questo mondo digitale.

Così Federica Zanella, deputata di Forza Italia e già presidente del Corecom Lombardia, che da anni si occupa (anche con soluzioni pratiche di aiuto concreto ai cittadini uniche a livello europeo) delle problematiche legate alla tutela dei dati personali sulla rete, alla web reputation e alle correlate “piaghe sociali” del cyberbullismo e del sexting.

Data Protection, Federica Zanella (FI) ‘Tema urgente, subito il dlgs di adeguamento al GDPR in Parlamento’

Facebook chief Mark Zuckerberg testified for nearly 10 hours over two days on Facebook’s privacy and data protection issues before committees of the Senate and House on Tuesday and Wednesday. Here are key points:

Protecting the platform

“It’s clear now we didn’t do enough,” Zuckerberg said on the protection of private user data and to prevent the hijacking of data on millions by Cambridge Analytica.

Zuckerberg said Facebook was built as “an idealistic and optimistic company” to help people connect but failed “to prevent these tools from being used for harm… that goes for fake news, for foreign interference in elections, and hate speech, as well as developers and data privacy.”

He said that by the end of the year Facebook would have 20,000 people working on security and content review and would also step up use of artificial intelligence to weed out fake accounts and inappropriate content.

Regulation 

Zuckerberg said regulation of social media companies is inevitable, but warned that rules could also hamper the industry’s growth.

“The internet is growing in importance around the world in people’s lives, and I think that it is inevitable that there will need to be some regulation,” he told lawmakers.

“But I think you have to be careful about putting regulation in place. A lot of times regulations put in place rules that a company that is larger, that has resources like ours, can easily comply with, but that might be more difficult for a smaller startup company.” 

Zuckerberg said the EU’s General Data Protection Regulation (GDPR) to come into effect on May 25 was more stringent than what was currently in place at Facebook and suggested it could serve as a rough model for US rules in the future.

Facebook is implementing the GDPR standards for European users next month, and some of its rules will be extended to US and other users later, he confirmed.

“The GDPR requires us to do a few more things and we are going to extend that to the world,” he said.

Facebook model

Zuckerberg maintained that Facebook users deserve protection of private data but appeared to argue that its controls make it possible to determine how information is shared.

He claimed that “there’s a very common misperception… that we sell data to advertisers,” adding that “we do not sell data to advertisers. We don’t sell data to anyone.”

But he maintained that advertising enables Facebook to offer a free service and that targeted ads based on user categories were more acceptable to users, even if they could opt out.

Zuckerberg also said the company believed in an ad-supported business model, but appeared to leave open the possibility of a paid version.

“There will always be a version of Facebook that is free,” Zuckerberg told the hearing.

Russian manipulation 

The 33-year-old CEO said Facebook was in a constant struggle to guard against Russian manipulation of the Facebook platform to influence elections in the US and elsewhere.

“There are people in Russia whose job it is to try to exploit our systems and other internet systems and other systems as well,” he said. 

“So this is an arms race. They’re going to keep getting better and we need to invest in getting better at this too.”

Zuckerberg has previously acknowledged the social network failed to do enough to prevent the spread of disinformation during the last US presidential race.

“One of my greatest regrets in running the company is that we were slow in identifying the Russian information operations in 2016,” he said.

“We expected them to do a number of more traditional cyber attacks, which we did identify and notify the campaigns that they were trying to hack into them. But we were slow at identifying the type of — of new information operations.”

He added that Facebook is cooperating with the special counsel investigation into Russian interference in the 2016 election.

“Our work with the special counsel is confidential. I want to make sure in an open session I don’t reveal something that’s confidential,” he said.

© AFP 2018

Previous Columns by AFP:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/0hGUT4KV7CU/key-points-facebook-zuckerberg-hearings

Quante volte siete uscite, avete bevuto, fumato, preso farmaci, avete fatto sesso, raggiunto l’orgasmo, in quale posizione, se andate in bagno con regolarità, come dormite, come vi sentite, se avete avuto perdite vaginali, se avete abortito o preso la pillola anticoncezionale.

Monitorando il ciclo mestruale o la gravidanza, le app installate sul cellulare di milioni di donne possono, in misura diversa e a seconda del modello, acquisire dati relativi a tutte queste informazioni di natura molto personale, metterle a disposizione e venderle ad aziende terze. Lo denuncia un Think-and-do thank brasiliano specializzato nella difesa dei diritti umani nell’ecosistema digitale.

Negli Stati Uniti, questo tipo di app è il quarto più popolare tra gli adulti e il secondo più popolare tra le adolescenti nella categoria “Salute”. Difficile stimarne il numero esatto nel mondo: lo stesso store android Google Play, contattato da Euronews, “non ha a disposizione questo dato”.

Una ricerca della Columbia University ha analizzato oltre mille risultati: eliminando le ripetizioni, nel 2016 si trovavano 225 app sul mercato, di cui 17 a pagamento con modello sottoscrizione e 108 gratuite.

Tuttavia, nonostante alla loro funzionalità ci si affidi per prendere decisioni che cambiano la vita, come pianificare una gravidanza, la maggior parte (81%) di esse risultano “inaccurate”. Lo mostra uno studio del Medical College di New York: solamente 3 app su 33 sono riuscite a fare previsioni precise sull’esatta finestra temporale per rimanere incinte.

Gli esperti: “I dati sanitari sono quelli di più valore in assoluto”

Secondo Raffaele Barberio, Presidente di Privacy Italia, la raccolta di dati tramite queste app consente una “targetizzazione millimetrica” sulla persona ma crea anche “massa critica” di interesse per apparati di ricerca dell’industria farmaceutica.

Avvertendo sui rischi di “un meccanismo di abdicazione delle responsabilità, con il conferimento a queste app di un ruolo quasi scientifico ed affidabile” in sostituzione dei professionisti medici, Barberio sottolinea come “l’algoritmo di queste applicazioni può non essere stato programmato studiando alcune variabili mediche: nel caso di donna diabetica incinta, per esempio, si determinano dei guai”. Bisognerebbe “fidarsi solo delle app gestite in Europa perché se sono state realizzate nei Paesi asiatici o in Sud America, sfuggono a qualsiasi vincolo di registrazione”.

Con l’entrata in vigore del regolamento europeo sulla privacy, a maggio, non si dovrebbe assistere più al fenomeno della “banalizzazione del proprio consenso” e le app saranno per esempio obbligate a cancellare i dati personali degli utenti che hanno smesso di usare il servizio.

Secondo Fabio Pietrosanti, fondatore e presidente di Hermes, centro per la trasparenza in tema di diritti digitali, da maggio “ci vorrà sicuramente tanto enforcement” per pretendere il rispetto della normativa comunitaria (GDPR) nel campo. “I primi 24-36 mesi saranno una lotta di assestamento e test giuridico della sua efficacia”.

“I dati sanitari sono quelli di più valore in assoluto”, conclude Barberio. “I profili che Cambridge Analytica prendeva da Facebook avevano un valore variabile tra 0.75 e 5 dollari a persona: le cifre sono estremamente rilevanti perché questi dati hanno un grado di affidabilità particolarmente elevato”…..

Questo articolo è apparso originariamente su Euronews.com

• Per continuare a leggere l’articolo completo clicca qui.

https://www.key4biz.it/app-per-il-ciclo-mestruale-a-rischio-la-privacy-piu-intima/218397/

Il “coraggio della paura”, come disse Totò in un celebre film, ormai sta animando questi ultimi giorni prima della fatidica data del 25 maggio alla rincorsa del più cavilloso adempimento privacy e dell’ultimo DPO disponibile.

Fioccano richieste disperate, consigli scroccati e bandi di gara impazziti. L’Italia -tutta- si sta muovendo all’impazzata, finalmente in un unico coro di vibrante follia.

Di cosa stiamo parlando? Ovviamente della paura delle sanzioni (che arrivano sino a 20.000.000 di euro o 4% del fatturato mondiale annuo) potenzialmente applicabili in caso di inadempimento ai dettami del GDPR (General Data Protection Regulation – Regolamento UE 679/2016).

Il tutto avviene, come nelle migliori tradizioni italiche, in pieno caos normativo generato non ultimo da un clamoroso annuncio governativo di una ventina di giorni fa, nel quale si dichiarava spensieratamente che – in aperta contraddizione con la legge delega ricevuta  e con quanto riferito dalla stessa Commissione Europea , l’Italia – in palese ritardo con il coordinamento del proprio sistema al GDPR – preferiva gettare alle ortiche tutta la sua storia normativa (per una volta solida e riconosciuta a livello europeo) in materia di privacy, abrogando interamente il Codice per la protezione dei dati personali.

Ovvio che in una situazione del genere si stia generando una sorta di panico generale (per i più diligenti), oppure di menefreghismo incontrollato con scomposti e imbarazzanti tentativi di abrogazioni implicite e “ad abundantiam” del GDPR da parte di altri (meno assennati).

Allora sfatiamo prima di tutto un mito: il 25 maggio 2018 non succederà assolutamente nulla. Non ci saranno terremoti o altri cataclismi. Non ci saranno nuclei specializzati della Guardia di Finanza in alta uniforme per l’occasione “sguinzagliati” dal Garante in ogni territorio d’Italia. Non ci saranno microspie localizzate ovunque alla ricerca dell’ultimo inadempimento perduto.

Non succederà nulla di tutto questo. In realtà, mi sembra giusto riferirlo, questo Paese è vittima di se stesso e dell’approccio (sbagliato) che da sempre ha riservato a questa importante normativa: la corsa disperata all’adempimento facile. A partire dal DPS. Ve li ricordate i copia incolla grossolani dei Documenti Programmatici sulla Sicurezza?

In realtà, questa “miracolosa” accountability introdotta dal GDPR, gli stessi principi della privacy by design e privacy by default di cui tutti i recenti convegni sono pieni zeppi, già da tempo animavano la normativa nazionale in molti suoi articoli (basti ricordare gli articoli 3 e 31 del Codice). Ovvio che questi principi, già ben presenti nel nostro sistema giuridico, venivano annacquati da un generalizzato e sconsiderato modus operandi da parte di svogliati titolari e da richieste esplicite e ripetute di chiarimenti interpretativi al Garante (che ha dovuto rispondere con atteggiamenti da balia nazionale in pieno contrasto oggi con ciò che è previsto nel GDPR).

Oggi la balia non c’è più. Tocca a tutti i titolari e responsabili del trattamento di dati personali in modo serio e approfondito decidere che fare e scegliere la strada utile da intraprendere, documentando lo stato dell’arte con un’analisi reale, rispondendo così con un piano di assessment finalmente utile e operativo che preveda attribuzioni precise di ruoli e tempistiche da rispettare, e anche corretta informazione e formazione.

Occorre essere coraggiosi, quindi: dei veri manager pronti a intervenire prima di tutto con proattività, per non farsi cogliere impreparati da questo cambiamento – più “mentale” e culturale piuttosto che sostanziale – di impostazione nella normativa.

E lo stesso cambiamento di impostazione ci deve far capire che occorre documentare con attenzione tutti questi passaggi, dimostrare di averli avviati, essere pronti a giustificare con forza e pazienza le scelte effettuate, che vanno prese in piena autonomia, eventualmente avvalendosi di un DPO (Data Protection Officer), quando obbligatorio o solo opportuno.

La logica è questa e la fretta è cattiva consigliera e non ha senso. Procediamo con calma e non con passi zoppicanti, frettolosi e incerti. Questo è proprio quello che il GDPR vuole e pretende. Occorre agire con metodo e rigore, disegnando ogni passo necessario in uno scenario che non può andare più da oggi al 25 maggio 2018, ma da oggi al 25 maggio 2019.

E non sarebbe male che lo stesso Garante lo incoraggiasse questo atteggiamento, senza alimentare ulteriore panico, come ho sentito riferire istituzionalmente in questi ultimi mesi, all’interno di numerosi contesti (anche da parte dello stesso Garante Europeo, Giovanni Buttarelli).

Non guasterebbe neppure una presa di posizione autorevole in materia di sanzioni come avvenuto in Francia, considerato il caos generato dai ritardi nel coordinamento normativo e soprattutto dalla sconsiderata “annuncite” avvenuta con la paventata abrogazione del Codice.

Per cortesia. Calma.

Concludo di seguito con uno Schema Operativo, utile a collocare gli step da sviluppare. Per affrontare ogni passo necessario, senza panico.

https://www.key4biz.it/gdpr-e-protezione-dei-dati-il-25-maggio-non-accadra-nulla/218389/

Two Democratic US senators today proposed a “privacy bill of rights” that would prevent Facebook and other websites from sharing or selling sensitive information without a customer’s opt-in consent.

The proposed law would protect customers’ Web browsing and application usage history, private messages, and any sensitive personal data such as financial and health information.

“The avalanche of privacy violations by Facebook and other online companies has reached a critical threshold, and we need legislation that makes consent the law of the land,” Sen. Ed Markey (D-Mass.) said in an announcement.

Facebook CEO Mark Zuckerberg is testifying today in a Senate hearing. Facebook recently acknowledged that the private data of up to 87 million Facebook users was improperly shared with Cambridge Analytica, a firm that did consulting work for Donald Trump’s presidential campaign.

While Zuckerberg has promised to do a better job protecting Facebook users’ privacy, Markey said that “voluntary standards are not enough; we need rules on the books that all online companies abide by that protect Americans and ensure accountability.”

Markey teamed with Sen. Richard Blumenthal (D-Conn.) to propose the Customer Online Notification for Stopping Edge-provider Network Transgressions (CONSENT) Act. You can read the full legislation here.

“Edge providers” refers to websites and other online services that distribute content over consumer broadband networks. Facebook and Google are the dominant edge providers when it comes to advertising and the use of customer data to serve targeted ads. No current law requires edge providers to seek customers’ permission before using their browsing histories to serve personalized ads.

The online advertising industry uses self-regulatory mechanisms in which websites let visitors opt out of personalized advertising based on browsing history, and websites can be punished by the Federal Trade Commission (FTC) if they break their privacy promises.

The Markey/Blumenthal bill’s stricter opt-in standard would require edge providers to “obtain opt-in consent from a customer to use, share, or sell the sensitive proprietary information of the customer.” Edge providers would not be allowed to impose “take-it-or-leave-it” offers that require customers to consent in order to use the service. The FTC and state attorneys general would be empowered to enforce the new opt-in requirements.

Personal data protected by the proposed opt-in standard would include financial information, health information, information pertaining to children, Social Security numbers, precise geolocation information, the content of communications, call-detail information, Web-browsing history, application-usage history, and “any other personally identifiable information that the Commission determines to be sensitive.”

“Our privacy bill of rights is built on a simple philosophy that will return autonomy to consumers: affirmative informed consent,” Blumenthal said. “Consumers deserve the opportunity to opt in to services that might mine and sell their data—not to find out their personal information has been exploited years later.”

The bill would require edge providers to notify users about all collection, use, and sharing of their information. The bill also requires edge providers “to develop reasonable data security practices” and to notify customers about data breaches that affect them.

GOP blocked privacy rules for ISPs

The Federal Communications Commission voted in 2016 to impose a similar opt-in privacy regime on Internet service providers such as Comcast, AT&T, Verizon, and Charter. The rules for ISPs never took effect, however, because the Republican-controlled Congress and President Trump overturned them before they could be implemented.

ISPs bitterly opposed the opt-in requirements, saying they shouldn’t face stricter rules than Facebook and Google. Like edge providers, ISPs follow voluntary guidelines in which they let customers opt out of the use of browsing histories for “personalized third-party marketing.”

If the Markey/Blumenthal bill passes, it’s possible that Facebook and Google could face stricter privacy requirements than Internet service providers. Alternatively, Congress could impose an opt-in standard that covers both websites and Internet service providers. Rep. Marsha Blackburn (R-Tenn.) proposed an opt-in requirement for both websites and ISPs last year, and Charter CEO Tom Rutledge said this week that Charter supports opt-in requirements as long as they apply to both websites and ISPs.

Although Charter opposed the FCC’s opt-in rules for ISPs, Rutledge now says that “Internet users should have ‘opt-in’ protections, meaning all entities must receive opt-in consent to collect and share their data for purposes other than the actual service they engaged in.”

Still, any attempt to impose an opt-in law will likely face opposition from Internet and advertising companies. A lobby group for Facebook, Google, and other online companies objected to Blackburn’s proposal last year, saying that websites already face “strict FTC privacy enforcement.”

Republican and Democratic lawmakers were split nearly down the middle on the repeal of privacy rules for ISPs, with Democrats supporting the rules and Republicans supporting the repeal. The partisan split on privacy regulation could doom the Markey/Blumenthal proposal.

Disclosure: The Advance/Newhouse Partnership, which owns 13 percent of Charter, is part of Advance Publications. Advance Publications owns Condé Nast, which owns Ars Technica.

https://arstechnica.com/?p=1291369

The Facebook scandal involving the harvesting of data from tens of millions of users has raised a lot of questions about social media and search engines.

As Facebook founder and CEO Mark Zuckerberg testifies before the US Congress this week on protecting user data, here is a primer on what they know about you:

Social media

Facebook, which has more than two billion users, has access to everything you do on the site: the photos and videos you post, your comments, your ‘likes,’ anything you share or consult, the identity of your friends and any other users you interact with, your location and other information. 

Ditto for Instagram and WhatsApp, which are owned by Facebook, and for Snapchat and Twitter. A user can control some sharing of their Facebook data with privacy settings and the ad preferences page. 

● What it sells: Facebook insists it does not sell advertisers personally identifiable information or even aggregate data. What it provides an advertiser with is the ability to reach a specific demographic, which enhances the effectiveness of an ad campaign. Twitter, for its part, provides access to an internal search engine that sweeps up all messages on the site.

● What it shares: Most social media platforms are open to outside developers who create apps fed in varying degrees by using data from users of these networks. In the case of Facebook, the public profile — the whole page for some people, or just the first and last name and photo for others — does not require authorization from the user, but accessing the rest may require a separate OK from the user.

Once data is mined by outside apps, it is no longer in the grasp of Facebook and trying to get hold of it again is difficult.

“Once people had access to that data, Facebook has no way of knowing for sure what they did with that data,” said Ryan Matzner, co-founder of mobile app designer Fueled. “It’s like sending an email to somebody and then saying: ‘What did they do with that email?’ You don’t know.”

Only bank and payment details held by Facebook are off-limits.

Search engines 

● What they collect: Google, Yahoo and Bing gather all information involving searches including the websites that are accessed and the location of the user. This can be integrated with information from other services owned by the internet giants. 

“You don’t have to tell Google your age and your gender and all those things. They can determine all of that based on so many other factors,” said Chirag Shah, a computer science professor at Rutgers University.

● What they sell: like social networks, their revenue comes largely from advertising. They do not sell data, but rather access to a consumer with very specific characteristics.

This comes from compiling search engine data but also, in the case of Google, from searches and content viewed on its YouTube platform. Google used to also mine the content of Gmail before ending this practice in June. 

● What they share: Like social media networks, search engines share data with developers and third-party app makers. 

Are there limits?

In the United States there are practically no laws against the use of data from social media or search engines.

But the Federal Trade Commission did sanction Facebook in 2011 for its handling of personal data.

In Canada and Europe, there are some limits on the use of data, mainly involving health.

Facebook was fined 110 million euros ($135.7 million) by the European Commission last year for sharing personal data with WhatsApp.

In an attempt to harmonize data privacy laws, the EU’s General Data Protection Regulation is to go into force on May 25. 

© AFP 2018

Previous Columns by AFP:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/TeTddlav2vQ/what-social-media-platforms-and-search-engines-know-about-you

Mark Zuckerberg will appear before US lawmakers this week as a firestorm rocks Facebook over its data privacy scandal, with pressure mounting for new regulations on social media platforms.

The 33-year-old chief executive is expected to face a grilling before a Senate panel Tuesday, and follow up with an appearance in the House of Representatives the following day.

It comes amid a raft of inquiries on both sides of the Atlantic following disclosures that data on 87 million users was hijacked and improperly shared with Cambridge Analytica, a British political consultancy working for Donald Trump’s presidential campaign.

On Sunday, Facebook said it had suspended another data analysis firm, US-based Cubeyou, after CNBC reported it used Facebook user information — harvested from psychological testing apps, as in the case of Cambridge Analytica — for commercial purposes.

“These are serious claims and we have suspended CubeYou from Facebook while we investigate them,” a Facebook spokesperson told AFP in an email. 

“If they refuse or fail our audit, their apps will be banned from Facebook.”

Lawmakers, meanwhile, have signaled they intend to get tough on Facebook and other online services over privacy.

“A day of reckoning is coming for websites like @facebook,” Democratic Senator Ed Markey wrote on Twitter Friday.

“We need a privacy bill of rights that all Americans can rely upon.”

Representative Ro Khanna, a California Democrat, agreed that legislation is needed “to protect Americans’ dignity and privacy from bad faith actors like Cambridge Analytica, who use social media data to manipulate people.”

Khanna tweeted that “self-regulation will not work. Congress must act in the public interest to protect consumers and citizens.”

Several lawmakers and activists believe the United States should follow the lead of Europe’s data protection law set to be implemented in May, which has strict terms for notification and sharing of personal data online.

Zuckerberg told reporters Facebook would follow the European rules worldwide, although cautioned that its implementation may not be “exactly the same format” for various countries and regions.

– Shift on political ads –

Facebook meanwhile announced Friday it will require political ads on its platform to state who is paying for the message and would verify the identity of the payer, in a bid to curb outside election interference.

The change is meant to avoid a repeat of the manipulation efforts by Russian-sponsored entities which sought to foment discord in 2016, and also responds to criticism about anonymous messages based on Facebook profile data.

Zuckerberg said the change will mean “we will hire thousands of more people” to get the new system in place ahead of US midterm elections in November.

“We’re starting this in the US and expanding to the rest of the world in the coming months,” Zuckerberg said on his Facebook page.

“These steps by themselves won’t stop all people trying to game the system. But they will make it a lot harder for anyone to do what the Russians did during the 2016 election and use fake accounts and pages to run ads.”

Zuckerberg said Facebook is now endorsing the “Honest Ads Act,” a bill that would require disclosure of the sources of online political ads.

“Election interference is a problem that’s bigger than any one platform, and that’s why we support the Honest Ads Act,” he said. “This will help raise the bar for all political advertising online.”

Some activists say Facebook needs to do more to guard against manipulation and deception on the platform.

Facebook “should really be turning their attention not only to election ads but to all ads,” said Harlan Yu of the technology and social justice nonprofit group Upturn.

“They should disclose to the public a detailed accounting of all the bad ads they’re taking down,” Yu told a forum Thursday at the New America Foundation.

Facebook is also likely to face questions on whether it violated a 2011 agreement with the US Federal Trade Commission. Activists have alleged the social network failed to live up to promises to protect privacy.

– ‘Serial offender’ –

David Vladeck, a Georgetown University law professor who headed the FTC’s enforcement division when the Facebook deal was negotiated, called the latest incident a “major breach” of the court-supervised settlement.

“Facebook is now a serial offender,” Vladeck said in a Harvard Law Review blog post.

But Vladeck noted that a major problem with Facebook’s privacy woes comes from its failure to get written contracts and guarantees with third parties such as app developers.

“It seems that Facebook made no effort to establish the (credential) of developers, much less verify or audit what user data app developers actually harvested and shared,” Vladeck said. 

Some analysts fear that Zuckerberg’s appearance on Capitol Hill will be little more than a public relations exercise.

“Zuckerberg’s dance before Congress will be delicate, and I’ll bet that even a brainiac like him will have a damp shirt under his very nice suit coat not long into it,” said Roger Kay, an analyst and consultant with Endpoint Technologies Associates.

“But in the end, he’ll agree to some meaningless adjustments to how Facebook operates just to get out of there in one piece.”

© AFP 2018

Previous Columns by AFP:

Tags:

http://feedproxy.google.com/~r/Securityweek/~3/ybG41IqoUTw/zuckerberg-face-angry-lawmakers-facebook-firestorm-rages

Datagate, nuovo capitolo. Dopo Facebook anche Google finisce sotto inchiesta. 23 associazioni di consumatori Usa hanno presentato un ricorso alla Federal Trade Commission (Ftc) contro Big G, perché attraverso la sua piattaforma video YouTube ‘raccoglie i dati degli under 13, attraverso la localizzazione, identificazione dei dispositivi, numeri di telefono mobile, per indirizzare loro la pubblicità targettizzata su tutto il web’, si legge nel reclamo. Ma quale sarebbe il reato? La raccolta illecita dei dati, perché secondo le associazioni ricorrenti la pratica avverrebbe ‘senza il consenso dei genitori’, come invece prevede la legge federale, il Children’s Online Privacy Protection Act.

Sebbene YouTube sia vietata ai bambini con meno di 13 anni, secondo le 23 associazioni negli Usa è utilizzata dall’80 per cento dei bambini fra i 6 e i 12 anni. Per Jeff Chester, del Center for Digital Democracy, tra le organizzazioni firmatarie, Google “afferma nei suoi termini di servizio che YouTube è solo per chi ha tredici anni o più, mentre nel contempo attira i più piccoli con un parco giochi pieno di pubblicità”. Infatti trasmette una pluralità di canali dedicati ai più piccoli, come ChuChu, TV Nursery Rhymes & Kids Songs, con milioni di iscritti, per i quali gli inserzionisti pagano Google  per inserire le loro pubblicità su questi canali. “Per anni, Google ha abdicato alle sue responsabilità nei confronti di bambini e famiglie, sostenendo in malafede che YouTube, un sito che pullula di cartoni animati, canzoncine per bambini e pubblicità di giochi, non è per bambini sotto i 13 anni” ha spiegato Josh Golin, dell’associazione Campaign for a Commercial-Free Childhood, una delle firmatarie del ricorso.

“Leggeremo l’esposto e valuteremo se possiamo fare miglioramenti”, ha dichiarato un portavoce di Google. “Poiché YouTube non è per bambini, abbiamo investito molto nella creazione della app YouTube Kids per offrire una alternativa progettata apposta per loro”. 

Non a caso, dopo questo scandalo YouTube sta pianificando di rilasciare “nelle prossime settimane negli Stati Uniti” una nuova versione dell’app YouTube Kids che offrirà ai genitori la possibilità di eliminerà i video suggeriti algoritmicamente e non dovrebbe mostrare più neanche contenuti non adatti a un pubblico di bambini. Purtroppo in passato è successo anche questo.

Il Datagate travolge anche YouTube. ‘Raccoglie dati dei bimbi per la pubblicità, violando la legge Usa’