Il mercato degli smart speaker a livello globale è sempre più grande. Stando agli ultimi dati disponibili, tra il 2018 ed il 2019 le vendite di questi apparecchi sono cresciute del +70% e nel 2020, con l’impatto della pandemia di Covid-19, tale trend non ha fatto altro che confermarsi e migliorare ulteriormente.

Le applicazioni vocali e le falle della privacy

Oltre ai dati di mercato, però, che riguardano solo l’hardware, non c’è da dimenticare che quando parliamo di assistenti virtuali, come Alexa di Amazon, parliamo di un vasto ecosistema di applicazioni, che in questo caso sono vocali e si chiamano skills.

<!-- LARGE RECTANGLE POST - CORPO TESTO

-->

Solo per Alexa si contano oltre 100.000 applicazioni vocali, per più di 100 milioni di device Amazon sparsi per il mondo.

Proprio su queste skills, che poi una volta attivate aggiungono nuove funzionalità/abilità all’assistenza virtuale, si è svolto uno studio della North Carolina State University, negli Stati Uniti, che ha puntato dritto sulle app e il loro livello di tutela dei dati personali, la loro capacità di rispettare le leggi sulla privacy in poche parole.

Il caso Amazon Alexa

Quando si parla con Alexa e si chiede di mettere della musica o si ordina qualcosa da mangiare, si pensa inconsciamente (o meno) di interagire direttamente con la casa madre e basta. Invece non è così. Ogni volta che interroghiamo il nostro assistente virtuale entriamo direttamente in contatto con le terze parti che hanno sviluppato la gran parte delle applicazioni vocali a nostra disposizione.

E qui si crea il problema con la privacy.
I ricercatori hanno individuato non poche criticità, soprattutto nel modo in cui queste terze parti entrano in contatto con i nostri dati e le nostre informazioni personali.

Ad esempio, i nomi degli sviluppatori che accompagnano ogni app non sono verificati e forse non sono neanche verificabili fino in fondo. La presenza di un nome ha un forte impatto psicologico sul consumatore, perché offre una sicurezza illusoria sull’affidabilità del servizio che andiamo a scaricare.

Un fatto questo che non solo favorisce la violazione della nostra privacy, ma che addirittura predispone il nostro apparecchio a qualsiasi possibile minaccia informatica, come gli attacchi di phishing.

In più, quando attiviamo un’app vocale tramite Alexa potremmo anche abilitarne più d’una assieme, perché molte skill condividono la medesima parola di attivazione del servizio.

Un doppio problema quindi, perché in questo modo i collegamenti con le terze parti si moltiplicano con una sola chiamata.

Su 1.146 applicazioni passate al setaccio dai ricercatori, il 24% circa di quelle che richiedevano un accesso ai nostri dati non disponevano di alcuna politica sulla privacy, cioè non spiegavano né in che modo e perché accedono alle nostre informazioni personali, né con chi l’avrebbero condivise.

Come al solito, ci si trova di fronte ad un mare di applicazioni di cui non si conosce fino in fondo l’origine. Intanto, hanno spiegato dal team di ricerca, sarebbe il caso che Amazon distinguesse tra app da lei sviluppate e app fornite da terzi, con un sistema che magari rendesse più facile individuare e convalidare l’identità di chi sviluppa tali app.

In Italia il 56% di chi possiede uno smart speaker ha in casa un’Alexa.

Smart speaker, il boom atteso per il 2021

Secondo un’indagine di mercato condotta da Canalys, se nel 2020 le vendite di smart speaker sono cresciute debolmente a livello mondiale, mediamente del +3%, nel 2021 sono attese aumentare di nuovo del +21% a 170 milioni di unità (di cui 70 milioni circa solo in Cina).

Un mercato globale che nel 2020 ha raggiunto i 2,7 miliardi di dollari di valore e che, secondo un Report Research and Markets, è atteso raggiungere i 20 miliardi di dollari entro il 2027.

Tra le aziende che fin da subito hanno preso il controllo del settore smart speaker c’è stata sicuramente Amazon, con il suo Alexa, che oggi controlla più del 28% del mercato. Subito dopo si posiziona Google, con il 22,6%, seguito dalla compagine cinese di Baidu e Alibaba, rispettivamente con l’11,3% e il 10,8%.
Chiude la Top Five globale Apple, con Siri al 7,8%.

Da notare che nell’ultimo trimestre dell’anno passato è stata proprio la Apple a registrare la crescita più forte, con un +74% su base annua, contro il +4% di Amazon e il -5% di Google, secondo una ricerca Strategy Analytics.

https://www.key4biz.it/amazon-alexa-unapp-su-quattro-che-la-utilizza-viola-la-privacy/348628/

Se possedete uno smartphone e delle tariffe cellulari con Internet compreso attive sulle vostre SIM è probabile che utilizzate spesso un’app di messaggistica istantanea. WhatsApp è il servizio IM più utilizzato al mondo e nel nostro Paese: secondo i dati diffusi lo scorso anno da Comscore, gli utenti unici in Italia sfioravano i 33 milioni, con un incremento del 4% rispetto al 2019.

Ecco perché la notizia diffusa in questi giorni potrebbe interessante tantissime persone: l’azienda, infatti, limiterà gradualmente le funzionalità disponibili agli account che non accetteranno le nuove discusse condizioni relative alla privacy.

<!-- LARGE RECTANGLE POST - CORPO TESTO

-->

La scadenza per l’accettazione delle nuove regole, prevista inizialmente per febbraio, è stata prorogata al 15 maggio: a partire da questa data, quindi, gli utenti che non accetteranno i termini di utilizzo non potranno utilizzare normalmente il servizio.

È la stessa WhatsApp ad aver chiarito la questione attraverso una risposta data al noto sito di tecnologia TechCrunch verso la fine del mese scorso. Ma che cosa cambierà nel concreto non accettando le nuove condizioni contrattuali?

Come ha dichiarato la società, gli utenti non saranno in grado di leggere o inviare messaggi, anche se riceveranno comunque notifiche e potranno utilizzare il servizio di chiamata per un breve periodo (qualche settimana, anche se non viene specificato esattamente la durata). Ricordiamo che dopo 120 giorni di inattività, WhatsApp prevede l’eliminazione degli account.

Privacy e GDPR, che cosa cambia per gli utenti europei

Le modifiche che verranno introdotte con l’accettazione dei nuovi termini riguardano sostanzialmente i Paesi extra europei, non coperti dallo scudo del GDPR. WhatsApp – o sarebbe meglio dire Facebook –  non potrebbe attuare le nuove norme del servizio all’interno dell’UE, tenendo conto del regolamento privacy in vigore. L’azienda rischierebbe sanzioni particolarmente salate, addirittura fino al 4% del fatturato annuo.

In teoria, quindi, per gli utenti italiani ed europei non dovrebbe cambiare nulla: non vi è certezza poiché nella notifica inviata da WhatsApp sul cambiamento dei termini non viene citato in alcun modo il GDPR. Non è chiaro, quindi, se Facebook abbia in progetto di estendere le modifiche nel Vecchio Continente, sfidando la normativa e rischiando così di venire sanzionata pesantemente.

Intanto in questi mesi si è registrato anche in Italia un esodo di migliaia di utenti verso app alternative di messaggistica istantanee, Telegram e Signal in primis, apparentemente più trasparenti sul tema privacy (sebbene non sia esattamente tutto rose e fiori). È prevedibile, tuttavia, che gran parte del bacino di utenza WhatsApp voglia mantenere l’app e, quindi, dovrà necessariamente accettare le condizioni, in attesa che l’azienda chiarisca la questione sul trattamento dei dati in UE.

WhatsApp non funzionerà più su alcuni smartphone nel 2021: ci sono novità?

Prima di chiudere, vogliamo segnalarvi una notizia che sta facendo il giro di siti e blog di settore e che riguarda sempre WhatsApp: come riportano i portali in questione, entro quest’anno diversi smartphone, come l’iPhone 4, il Samsung Galaxy Note 3, il Moto X e lo Xiaomi Mi 3, non verranno più supportati dal servizio e, quindi, l’app non funzionerà.

In realtà si tratta di una non notizia: la lista che gira online, infatti, è già stata resa nota alla fine del 2020 e non vi sono novità in merito. La stessa WhatsApp, sull’area FAQ del sito ufficiale, specifica quali dispositivi sono supportati:

• per Android: telefoni con versione 4.0.3 o successive del sistema operativo. Sono compresi anche i tablet che hanno il supporto per le reti mobili (esclusi, invece, i modelli solo Wifi);

• per iOS: iPhone con versione 9.x o successive della piattaforma di casa Apple.

Se, quindi, il vostro dispositivo è datato e non volete rinunciare a WhatsApp, valutate la sostituzione con uno smartphone più recente.

https://www.key4biz.it/privacy-policy-di-whatsapp-conviene-accettare-i-nuovi-termini/348585/

Entro fine 2021 dovrebbe essere pubblicata la nuova versione della ISO/IEC 27002, la norma che descrive i controlli per la sicurezza delle informazioni. Essa avrà nome “ISO/IEC 27002:2021 – Information security, cybersecurity and privacy protection — Information security controls”. Essa sostituirà la ISO/IEC 27002:2013, attualmente in vigore.

La nuova versione prevede diverse novità, approfondite nei prossimi paragrafi:

<!-- LARGE RECTANGLE POST - CORPO TESTO

-->

• nuova suddivisione di capitoli e categorie di controlli;
• controlli nuovi, eliminati e accorpati;
• attributi che possono essere assegnati ai controlli.

L’ultimo paragrafo tratta dell’uso della futura ISO/IEC 27002 con la ISO/IEC 27001:2013.

ISO/IEC 27002: capitoli e categorie

La ISO/IEC 27002:2013 organizza i controlli in 14 capitoli (da “Politiche per la sicurezza delle informazioni” a “Conformità”). Questi capitoli sono a loro volta suddivisi in categorie (a ciascuna delle quali corrisponde un obiettivo) di cui fanno poi parte i controlli.

La futura ISO/IEC 27002 suddivide invece i controlli in 4 categorie senza ulteriori divisioni e senza alcuna relazione esplicita con obiettivi di sicurezza. I capitoli sono i seguenti:

1. controlli organizzativi;
2. controlli relativi alle persone;
3. controlli di tipo fisico;
4. controlli di tipo tecnologico.

Questa scelta avrà degli impatti negativi perché oggi molti documenti prendono a modello l’impostazione in 14 capitoli della ISO/IEC 27002:2013, assicurando quindi una omogeneità di lettura (si pensi, a solo titolo di esempio, alla bozza di criteri di valutazione dei fornitori di servizi cloud diffusa da ENISA[1]). In futuro potrà quindi essere più difficile individuare una chiave di lettura comune alle tante pubblicazioni relative alla sicurezza delle informazioni.

Va invece sottolineato un effetto positivo di questa impostazione, palese ai lettori: è stato possibile eliminare molte ridondanze nei controlli.
Un altro effetto positivo, meno evidente ai lettori, se non per il risultato finale, è che le sessioni di redazione si sono potute concentrare sul testo di descrizione e guida dei controlli e non sul loro posizionamento. La futura ISO/IEC 27002 sarà quindi sicuramente scritta meglio e più completa della precedente.

ISO/IEC 27002: i controlli

La ISO/IEC 27002:2013 riporta 114 controlli. La futura versione ne riporterà 93.

Un’accusa spesso rivolta alle ISO/IEC 27001 e ISO/IEC 27002 è che l’elenco dei controlli è troppo lungo. Questa accusa è ingiusta, visto che altre pubblicazioni (incluso il NIST CFS) ne riportano anche di più. I redattori si sono comunque impegnati a ridurre le ripetizioni e ad accorpare i controlli dove ritenuto opportuno.

Alcuni controlli accorpati sono quelli relativi a:

• trasferimento delle informazioni;
• gestione delle informazioni di autenticazione;
• gestione dei diritti di accesso;
• continuità operativa;
• dispositivi di memorizzazione dei dati;
• logging;
• gestione dei cambiamenti.

Un esempio particolare è il controllo 18.1.5 sulla regolamentazione dei controlli crittografici, troppo spesso non interpretato correttamente (soprattutto se si considerano gli altri due controlli relativi alla crittografia, che saranno anch’essi accorpati tra loro) e adesso accorpato con il controllo più generale relativo all’identificazione dei requisiti legali, di regolamenti e contrattuali.

Sono stati aggiunti nuovi controlli, come necessario considerando gli aggiornamenti tecnologici di questi anni:

• raccolta di informazioni sulle minacce (threat intelligence);
• uso dei servizi cloud;
• ICT nella continuità operativa (per meglio specificare l’ambito della continuità nella sicurezza delle informazioni ed evitare l’uso delle ISO/IEC 27001 e ISO/IEC 27002 al posto della ISO 22301);
• monitoraggio della sicurezza fisica;
• gestione della configurazione;
• cancellazione delle informazioni;
• mascheramento dei dati;
• prevenzione dalla fuga (leakage) di dati.
• monitoraggio delle attività;
• filtri web;
• codifica sicura.

Alcuni controlli, palesemente, erano già presenti nella ISO/IEC 27002:2013, ma non sufficientemente evidenziati. Esempio è quello relativo al monitoraggio delle attività, che nella ISO/IEC 27001:2013 era “nascosto” nel controllo relativo al logging. Molti controlli hanno cambiato titolo per renderlo più chiaro o più significativo. Alcuni esempi:

• “Identity management” per i controlli di registrazione degli utenti;
• “Information security during disruption”, per rendere più chiaro il precedente “Information security continuity”;
• “Remote working” al posto del più limitativo (almeno in Italia) “Teleworking”;
• “User endpoint devices” al posto del più limitativo “Mobile device policy”.

Attributi dei controlli

Una notevole novità della futura ISO/IEC 27002 è rappresentata dagli “attributi” che possono essere assegnati ai controlli.

L’idea è quella di permettere agli utilizzatori di riordinare e raggruppare i controlli secondo viste, in accordo alle proprie specifiche esigenze. Questo, come già detto in precedenza, avrà come impatto negativo la perdita di omogeneità tra le pubblicazioni relative alla sicurezza delle informazioni, ma lascerà una maggiore flessibilità agli utilizzatori.

Intuitivamente è possibile assegnare a ogni controllo alcune etichette. Se controlli ed etichette sono riportati su fogli di calcolo o database, come sempre più spesso succede, la creazione di viste sarà molto semplice (anche se dovremo valutarne l’effettiva utilità).

Lo standard presenta alcuni esempi di attributi. Tre esempi:

• tipologia di controllo: preventivo, di rilevazione, correttivo;
• proprietà di sicurezza: riservatezza, integrità, disponibilità;
• concetti di sicurezza cyber: identificare, proteggere, rilevare, rispondere, ripristinare.

Un altro esempio ripropone un raggruppamento dei controlli simile a quello della ISO/IEC 27002:2013: governo, gestione degli asset, sicurezza del personale, sicurezza fisica, eccetera.

I rapporti con la ISO/IEC 27001

La ISO/IEC 27001 sarà aggiornata tra qualche anno. I lavori di aggiornamento sono appena partiti e la pubblicazione non avverrà prima del 2024.

Questo vuol dire che l’appendice A della norma rimarrà invariata e, come conseguenza, le organizzazioni che intendono certificarsi ISO/IEC 27001 dovranno sempre presentare l’elenco dei controlli esclusi basandosi sulla ISO/IEC 27002:2013 e non sulla nuova versione.

Diverso è invece il discorso per quanto riguarda la dichiarazione di applicabilità (o statement of applicability). Infatti, l’attuale normativa non richiede che tale documento debba essere redatto sulla base dei controlli nell’appendice A. Può infatti essere presentato seguendo altri elenchi di controlli, anche elaborati internamente, purché altrettanto esaustivi dell’appendice A.

Alcune riflessioni necessarie

1. sono rare le organizzazioni che non usano l’appendice A proprio perché questa è esaustiva e l’elaborazione di un’alternativa non darebbe benefici tangibili (e gli auditor richiederebbero comunque una tabella di relazione con l’appendice A);
2. molti altri elenchi non sono utilizzabili perché non altrettanto esaustivi (per esempio il NIST CFS e il loro recepimento come misure minime promosse da AgID, visto che trattano solo di sicurezza informatica).

Sarà quindi possibile presentare la dichiarazione di applicabilità basata sulla futura ISO/IEC 27002, purché accompagnata da un elenco dei controlli esclusi basato però sull’attuale ISO/IEC 27002:2013. La soluzione è un po’ macchinosa, ma permetterebbe di essere allineati con l’evoluzione delle normative.

---

Di Cesare Gallotti, Esperto in sicurezza delle informazioni, qualità e gestione dei servizi IT – Componente del D&L NET

[1] https://www.enisa.europa.eu/publications/eucs-cloud-service-scheme.

https://www.key4biz.it/sicurezza-delle-informazioni-cosa-prevede-la-nuova-iso-iec-27002-2021/348311/

C’è chi lo chiama certificato vaccinale digitale e chi green pass, perché è pensato non solo per chi ha ricevuto il vaccino anti-Covid, ma anche per chi è risultato negativo al test o per chi ha già contratto l’infezione. È utilizzato in Israele ed in Islanda, ed ora anche la Commissione europea ha annunciato la presentazione di una proposta legislativa per introdurre il pass per “consentire agli europei di muoversi gradualmente in sicurezza nell’Unione europea o all’estero, per lavoro o per turismo”, ha annunciato Ursula von der Leyen, presidente della Commissione Ue.

Il talk e gli ospiti

La proposta legislativa sarà una direttiva?
Dalla Commissione arriveranno delle linee guida o un Regolamento da applicare in tutti gli Stati membri?
In Italia per introdurre il pass verde Covid sarà necessaria una legge ad hoc?
E qual è il livello di digitalizzazione nella Pa e nella Sanità nel nostro Paese?

<!-- LARGE RECTANGLE POST - CORPO TESTO

-->

A queste ed altre domande risponderanno gli ospiti della 2^ puntata di “Un’ora e Mezza di digitale” condotta da Michele Mezza e trasmessa oggi da Key4biz dalle ore 14:30 in live streaming. Il titolo del talk è “Un pass digitale per ripartire?  – Piattaforme pubbliche, strategie europee e protezione dei dati sanitari nella Pa durante la pandemia”

Intervengono:

• Ginevra Cerrina Feroni, Vice Presidente del Garante per la protezione dei dati personali.
• Sergio Talamo, Direttore comunicazione editoria trasparenza e relazioni esterne – Formez.
• Ovidio Marzaioli, Vicesegretario generale Movimento Consumatori.
• Maurizio Stumbo, Chief Information Officer – LAZIOcrea.

Talk in live streaming, come seguirlo 

• Sul sito di Key4biz.

• Su YouTube, cliccando qui, è già possibile impostare il “promemoria” ed avviare la condivisione.

[embedded content]

• Su Facebook di Key4biz, cliccando qui: è già possibile impostare il “promemoria” e condividere il post.

•Su LinkedIn, cliccando qui è già possibile selezionare “ricordamelo” e condividere il post.

• Sui profili Twitter di Key4biz e Privacy Italia.

Rivedi la 1^ puntata di “Un’ora e Mezza di digitale”

https://www.key4biz.it/un-pass-digitale-per-ripartire-oggi-ore-1430-il-talk-di-key4biz-tra-gli-ospiti-la-vicepresidente-garante-privacy/348181/

Ride-sharing giant Uber has quietly snapped up veteran security leader Latha Maripuri to be its Chief Information Security Officer (CISO).

A formal announcement has not yet been made but Maripuri, a security leader with stints at IBM and NewsCorp, has shared the news on her LinkedIn profile.

Maripuri joins Uber from News Corp, where she spent the last six years holding the dual Global CISO and Deputy CTO titles.   

Uber has been without a formal security chief since the departure of John ‘Four’ Flynn in July 2020.  Flynn is now CISO at Amazon.

The CISO seat at Uber has seen its share of security-related controversies recently, including a data breach that eventually led to the ouster — and legal issues — surrounding former CISO Joe Sullivan.

Square Hires Google Veteran as New CISO

Separately, payment processor Square has tapped Google security veteran Jim Higgins to manage its security program.

Higgins, who spent the last 10 years managing security engineering, product security, and infrastructure protection teams at Google, will be tasked with securing Square’s financial transactions across mobile devices and in-store hardware terminals.

Square, which is owned and run by Twitter CEO Jack Dorsey, operates in the financial services space.  The company sells products — both software and hardware — to manage payments and transactions for third-party merchants.

Heather Gantt-Evans is New SailPoint CISO

Identity management and governance company SailPoint has given the keys to the CISO office to Home Depot security leader Heather Gantt-Evans.

The company said Gantt-Evans will design SailPoint’s cybersecurity strategy to decrease risk and exposure points across the business and increase collaboration between teams.

Gantt-Evans joins SailPoint from HomeDepot, where she acted as the company’s senior director of security operations and resilience. She was responsible for Home Depot’s security operations centers, network security operations, security engineering, application security and vulnerability management.

Prior to Home Depot, Gantt-Evans held strategic security roles at Ernst & Young, Booz Allen Hamilton supporting Air Force Cyber Command, and served in the U.S. Army Reserves for six years. 

Jameeka Green Aaron Joins Auth0 as CISO 

Auth0, a company that sells an identity platform for application teams, has tapped Jameeka Green Aaron to be its Chief Information Security Officer (CISO).

Aaron, who has held security leadership roles at Nike and Lockheed Martin, will be responsible for the holistic security and compliance of Auth0’s platform, products, and corporate environment, the company said in a statement.

Related:  Reddit Hires Allison Miller as CISO, VP of Trust

http://feedproxy.google.com/~r/Securityweek/~3/waMqRyeIPQQ/new-ciso-hires-uber-square-sailpoint

Google on Wednesday pledged to steer clear of tracking individual online activity when it begins implementing a new system for targeting ads without the use of so-called “cookies.”

The internet giant’s widely used Chrome browser this month will begin testing an alternative to the tracking practice that it believes could improve online privacy while still enabling advertisers to serve up relevant messages.

“We’re making explicit that once third-party cookies are phased out, we will not build alternate identifiers to track individuals as they browse across the web, nor will we use them in our products,” ads privacy and trust product management director David Temkin said in a blog post.

“Advances in aggregation, anonymization, and on-device process and other privacy-preserving technologies offer a clear path to replacing individual identifiers.”

The move comes with Google hammered by critics over user privacy, and increased scrutiny of privacy and protecting people’s data rights.

Growing fear of cookie-tracking has prompted support for internet rights legislation such as GDPR in Europe.

Temkin described the new Google system as “privacy-preserving… while still delivering results for advertisers and publishers.” 

Safari and Firefox browsers have already done away with third-party cookies, but they are still used at the world’s most popular browser, Chrome.

Chrome accounted for 63 percent of the global browser market last year, according to StatCounter.

Last month, Google unveiled the results of tests showing an alternative to cookies called Federated Learning of Cohorts (FLoC) which identifies groups of people with common interests without individualized tracking.

Some businesses have objected to the Google plan claiming it will force more advertisers into its “walled garden.”

http://feedproxy.google.com/~r/Securityweek/~3/6gKGtTuhJ1E/google-vows-stop-tracking-individual-browsing-ads

TripleBlind, a Kansas City, Missouri-based startup that provides data privacy solutions, on Monday announced raising $8.2 million in seed funding.

The oversubscribed funding round was led by Dolby Family Ventures, with participation from several companies and angel investors. Investors include Okta Ventures, NextGen Venture Partners, Operator Partners, Wavemaker Three-Sixty Health, AVG Basecamp Fund, Anorak Ventures, Quiet Capital, Clocktower Technology Ventures, Parity Responsible Technology Fund, Manresa Ventures, Accenture Ventures, Flyover Capital and KCRise Fund.

TripleBlind told SecurityWeek that it emerged from stealth mode in November 2020, when Accenture announced a strategic investment in the company.

Founded in 2019, TripleBlind has developed a de-identification and data privacy solution that enables organizations to share, use and monetize sensitive information — including personal, financial and health data — without the fear of violating privacy requirements and government regulations.

The company’s data privacy and API-driven virtual exchange solution encrypts data and allows users to perform approved operations, but without the need to actually decrypt the data.

“The return of all previous investors, the breadth of new investors and the oversubscription of the round demonstrate to us that data privacy experts support our new, breakthrough approach for enforcing data privacy while enabling organizations to leverage and gain insights from data,” said Riddhiman Das, co-founder and CEO of TripleBlind.

He added, “Thanks to our forward-looking investors, TripleBlind can accelerate our mission to free trapped data so enterprises can collaborate while concurrently enforcing data privacy and regulatory standards.”

Related: Data Privacy Management Firm WireWheel Raises $20 Million

Related: Data Protection Firm BigID Raises $70 Million at $1 Billion Valuation

Related: Data Privacy Firm Privitar Raises $80 Million in Series C Funding Round

Related: Privacy Management Firm OneTrust Raises $210 Million at $2.7 Billion Valuation

http://feedproxy.google.com/~r/Securityweek/~3/Obpa7MkGQrY/data-privacy-startup-tripleblind-raises-82-million-seed-funding

A federal judge on Friday approved a $650 million settlement of a privacy lawsuit against Facebook for allegedly using photo face-tagging and other biometric data without the permission of its users.

U.S. District Judge James Donato approved the deal in a class-action lawsuit that was filed in Illlinois in 2015. Nearly 1.6 million Facebook users in Illinois who submitted claims will be affected.

Donato called it one of the largest settlements ever for a privacy violation.

“It will put at least $345 into the hands of every class member interested in being compensated,” he wrote, calling it “a major win for consumers in the hotly contested area of digital privacy.”

Jay Edelson, a Chicago attorney who filed the lawsuit, told the Chicago Tribune that the checks could be in the mail within two months unless the ruling is appealed.

“We are pleased to have reached a settlement so we can move past this matter, which is in the best interest of our community and our shareholders,” Facebook, which is headquartered in the San Francisco Bay Area, said in a statement.

The lawsuit accused the social media giant of violating an Illinois privacy law by failing to get consent before using facial-recognition technology to scan photos uploaded by users to create and store faces digitally.

The state’s Biometric Information Privacy Act allowed consumers to sue companies that didn’t get permission before harvesting data such as faces and fingerprints.

The case eventually wound up as a class-action lawsuit in California.

Facebook has since changed its photo-tagging system.

Related: FTC Fines Facebook $5B, Adds Limited Oversight on Privacy

http://feedproxy.google.com/~r/Securityweek/~3/RMLKiJfkx8k/judge-approves-650m-facebook-privacy-lawsuit-settlement

TikTok parent company ByteDance has agreed to a $92 million deal to settle class-action lawsuits alleging that the company illegally collected and used underage TikTok users’ personal data.

The proposed settlement (PDF) would require TikTok to pay out up to $92 million to members of the class and to change some of its data-collection processes and disclosures going forward.

The suit, which rolled up more than 20 related lawsuits, mostly filed on behalf of minors, alleged that TikTok violated both state and federal privacy laws, including the Computer Fraud and Abuse Act and the Video Privacy and Protection Act, through its use of data.

TikTok uses “automated software, proprietary algorithms, AI, facial recognition, and other technologies to commercially profit from” its users, the complaint (PDF) alleged. The data that TikTok allegedly collects, shares, and uses for machine learning training goes surprisingly deep, the suit added, including users’ “identities, unique identifying information, biometric data and information, images, video and digital recordings, audio recordings, clipboard data, geolocation, names, email addresses, passcodes, social media accounts, messaging services, telephone numbers, and other private, nonpublic, or confidential data and information.”

Additionally, the suit cited concerns that private and personally identifiable user data TikTok collected could have been shared with Chinese government entities, echoing the Trump administration’s concerns in its failed attempts to ban TikTok from operating in the US.

TikTok denied any specific wrongdoing. “While we disagree with the assertions, rather than go through lengthy litigation, we’d like to focus our efforts on building a safe and joyful experience for the TikTok community,” the company said in a statement.

Money for the taking—unless everyone asks

Attorneys representing the plaintiffs touted the settlement as “one of the largest ever achieved” in such a case. Inasmuch as their assertion is true, it comes out as far more damning of the state of US privacy laws than complimentary of this particular case.

The total class, as defined in the settlement, includes 89 million US users. The attorneys ask for a collective payment “not to exceed 33.33% of the settlement fund,” leaving $61 million for the class members to collect. On top of that, however, the proposed deal is structured such that each member of the “national” class can claim a share, and Illinois users can claim six shares.

TikTok identified 1.4 million users who would qualify in the Illinois subclass, leaving about 87.6 million other class members nationwide. According to the settlement, if every qualified member of the class filed for a claim, most users could expect to reap about $0.96 and Illinois users could get as much as $5.75.

In the filing, however, attorneys make clear that they do not expect a high percentage of the class to file claims, instead describing likely payouts for hypothetical claims rates from 1.5 percent ($383.33 for Illinois, $63.89 for everyone else) to 20 percent ($28.75 for Illinois, $4.79 for everyone else) of the class.

Of course, money isn’t everything; lawsuits such as this class action often seek injunctive relief as well—that is, requiring the company not to do the bad thing anymore. This agreement is no different. Under the proposed terms, TikTok will implement a “companywide data privacy training initiative” to instruct employees and contractors to comply with data privacy laws.

As for its collection, storage, and use of sensitive data, TikTok does not actually say in the settlement that it will stop those activities, but it says instead that it will update its privacy policies to make sure those activities are more clearly disclosed “and in compliance with all applicable laws.”

A judge will have to approve the proposed settlement before it goes into effect; the process is expected to take several months.

https://arstechnica.com/?p=1745503

Feb 26, 2021 Marco Schiaffino In evidenza, Intrusione, Malware, News, Privacy, Scenario 0

---

La ricerca di Kaspersky conferma l’abuso di software spia per smartphone nel settore privato. Peggio di noi fa solamente la Germania.

Li hanno battezzati con il nome di Stalkerware e, secondo gli esperti di sicurezza, rappresentano ormai una minaccia per la privacy estremamente diffusa, al punto che nel 2019 è stato avviato un progetto per contrastarne la diffusione.

Ma di cosa si tratta? In estrema sintesi, gli Stalkerware sono veri e propri trojan, spesso “travestiti” da applicazioni per il parental control, che vengono utilizzati per spiare il partner consentendo di leggerne le comunicazioni e tracciarne la posizione attraverso il GPS . In molti casi, il loro utilizzo è collegato a episodi di abusi o violenza domestica.

A scattare una “fotografia” del fenomeno è in questi giorni Kaspersky, che ha pubblicato su Internet un rapporto intitolato “La situazione dello stalkerware nel 2020”.

“Gli stalkerware sono una forma di cyberviolenza” spiegano gli esperti della società di sicurezza. “Si tratta di un fenomeno globale che colpisce tutti i Paesi indipendentemente dalle dimensioni o dalla cultura”.

La classifica stilata da Kaspersky, effettivamente, mostra una composizione molto eterogenea: tra i 10 Paesi più colpiti dal fenomeno ci sono Russia, Brasile, Stati Uniti, India, Messico, Germania (primo Paese in Europa per diffusione del fenomeno) Iran, Italia, Regno Unito e Arabia Saudita.

Il nostro paese, rispetto all’anno scorso, è sceso di due posizioni (era sesto) nella classifica globale, ma c’è poco da rallegrarsi. Il cambio di posizione, così come il calo dei numeri globali registrati, è dovuto più che altro a una temporanea contrazione del fenomeno provocato dalle restrizioni legate alla pandemia da Covid 19.

Nei periodi di lockdown, in cui le persone sono costrette a casa, è infatti probabile che la tentazione di controllare a distanza il partner sia stata meno forte.

Un’interpretazione confermata dagli esperti di Kaspersky, che hanno registrato un calo nei casi segnalati nel periodo tra marzo e giugno 2020, con poi una ripresa del fenomeno che si è stabilizzato nei mesi seguenti.

“Il numero di utenti colpiti da stalkerware è comunque molto alto e ogni giorno rileviamo nuovi campioni” spiega Morten Lehn, General Manager Italy di Kaspersky. “È importante ricordare che dietro ogni numero si nasconde una persona e, a volte, una silenziosa richiesta di aiuto”.

---

---

---

https://www.securityinfo.it/2021/02/26/italia-seconda-in-europa-per-la-presenza-di-stalkerware/?utm_source=rss&utm_medium=rss&utm_campaign=italia-seconda-in-europa-per-la-presenza-di-stalkerware