Każda wizyta na stronie internetowej i każde uruchomienie aplikacji to początek niewidzialnej transakcji. Płacimy danymi za dostęp do treści, ale rzadko wiemy, kto jest drugą stroną umowy. Setki firm, dostawców danych i sieci reklamowych tworzą gęstą, nieprzejrzystą pajęczynę, w której nasze cyfrowe ślady stają się towarem. Nowe, darmowe narzędzie o nazwie DecryptAds obiecuje rzucić światło na te mroczne zakamarki sieci, pozwalając zidentyfikować, kto dokładnie nas obserwuje. Prześledziliśmy jego możliwości, a wyniki są niepokojące.

Co badamy

Celem jest weryfikacja obietnicy złożonej przez DecryptAds — darmowej usługi, która ma demaskować ekosystem technologii reklamowych (adtech) 1. Narzędzie to stale skanuje publicznie dostępne pliki na stronach internetowych i w aplikacjach mobilnych, aby zidentyfikować firmy uprawnione do wyświetlania reklam lub zbierania danych o użytkownikach 2. Analiza skupia się na zrozumieniu, jakie informacje można wydobyć z tych danych i jakie ryzyka — zarówno dla prywatności, jak i bezpieczeństwa — ujawniają się po ich skorelowaniu.

Metoda

Podstawą śledztwa jest narzędzie DecryptAds. Jego działanie opiera się na analizie i korelacji danych z kilku standardowych plików, które wydawcy muszą udostępniać publicznie. Należą do nich ads.txt (autoryzowani sprzedawcy reklam na stronach WWW), app-ads.txt (odpowiednik dla aplikacji mobilnych i Smart TV) oraz buyers.json i sellers.json (pliki mapujące kupujących i sprzedających w ekosystemie) 3.

Twórcy, w tym Zach Edwards, badacz zagrożeń z firmy Infoblox 4, zaprojektowali DecryptAds z myślą o zastosowaniach z pogranicza prywatności i bezpieczeństwa, które dotąd były niedoceniane 5. Jak sami wyjaśniają, problemy z integralnością cyfrowego łańcucha dostaw rzadko są widoczne w pojedynczym pliku. Ujawniają się dopiero jako pęknięte powiązania i niespójności między plikami ads.txt, app-ads.txt i sellers.json 6. Nasza metoda polega na odtworzeniu tego procesu analitycznego na kilku głośnych przykładach.

Sygnatura zagrożenia: od sportu po wojsko

Analiza z użyciem DecryptAds szybko pokazuje, jak złożony i pełen potencjalnych zagrożeń jest współczesny ekosystem reklamowy. Wzorzec, który się wyłania, to nie tylko kwestia naruszenia prywatności, ale również ryzyka geopolitycznego i kontrwywiadowczego.

Studium przypadku: ESPN.com

Zaczynamy od popularnego serwisu sportowego espn.com. Szybkie wyszukiwanie w DecryptAds ujawnia, że w jego plikach ads.txt i app-ads.txt zadeklarowano 143 partnerów reklamowych oraz 19 domen należących do zarejestrowanych dostawców danych 7.

Obecność dostawców danych jest możliwa do zidentyfikowania dzięki nowym regulacjom stanowym w USA (Kalifornia, Oregon, Teksas, Vermont), które wymagają od takich firm rejestracji 8. To, co robią, jest bardziej niepokojące. Według DecryptAds, prawie połowa z tych brokerów zbiera dane geolokalizacyjne od użytkowników, którzy nie blokują reklam 9. Trzech innych przyznaje się do zbierania „odcisków palców” urządzeń (device fingerprinting) oraz wrażliwych danych osobowych 10. Każda wizyta na stronie sportowej może więc oznaczać udostępnienie swojej lokalizacji i unikalnego identyfikatora urządzenia kilkunastu podmiotom.

Geopolityka w kodzie strony

Narzędzie idzie o krok dalej, oznaczając partnerów adtech pochodzących z krajów uznanych za obszary „ryzyka geopolitycznego”, takich jak Chiny, Rosja, Cypr czy Zjednoczone Emiraty Arabskie 11. W przypadku espn.com zidentyfikowano cztery takie podmioty 12.

Jeden z nich, firma o nazwie Between Digital, jest szczególnie interesujący. Mimo że podaje adres w Nowym Jorku, narzędzie flaguje ją jako firmę rosyjską 12. Dalsza analiza pokazuje, że jej rozliczenia z wydawcami są przetwarzane przez Alfa Bank — największy prywatny bank komercyjny w Rosji, objęty sankcjami USA po inwazji na Ukrainę w 2022 roku 13.

Ten sam podmiot — Between Digital — ma autoryzację do wyświetlania reklam i śledzenia użytkowników na czołowych amerykańskich portalach informacyjnych o tematyce wojskowej, takich jak armytimes.com, airforcetimes.com czy defensenews.com 14. Skala operacji jest ogromna: firma zbiera dane z około 55 000 stron partnerskich 15. Co więcej, w dwóch trzecich przypadków występuje jednocześnie jako wydawca i odsprzedawca, co stwarza pole do konfliktu interesów i manipulacji 16.

Studium przypadku: Przeglądarka Opera

Kolejny przykład to popularna przeglądarka Opera. Niewielu użytkowników pamięta, że od 2016 roku jej większościowym właścicielem jest chińska firma Kunlun Tech 17. Analiza domeny opera.com w DecryptAds ujawnia 27 zarejestrowanych dostawców danych. Wśród partnerów adtech znajdziemy 15 firm ze Zjednoczonych Emiratów Arabskich, sześć z Chin, trzy z Cypru, dwie z Rosji oraz po jednej z Hongkongu i Ukrainy 18. Choć stanowią oni „tylko” siedem procent wszystkich partnerów technologicznych Opery 19, ich obecność pokazuje, jak łatwo dane użytkowników mogą trafić do podmiotów z krajów o zupełnie innym podejściu do prywatności i prawa.

Co to oznacza dla nas?

Ujawnione powiązania to nie tylko ciekawostka techniczna. To fundamentalny problem z integralnością cyfrowego łańcucha dostaw. Firmy, często nieświadomie, otwierają swoje systemy i dane swoich użytkowników podmiotom, których intencje i powiązania są w najlepszym razie niejasne, a w najgorszym — wrogie.

Narzędzia takie jak DecryptAds demokratyzują OSINT (Open Source Intelligence — analizę informacji z publicznych źródeł) w dziedzinie adtech. Pozwalają nie tylko badaczom, ale także dziennikarzom, aktywistom i samym firmom na audytowanie swoich cyfrowych partnerów. Zastosowania są szerokie: od tropienia źródeł złośliwych reklam (malvertising), przez identyfikację sieci reklamowych z wrogich państw, aż po wykrywanie farm stron i aplikacji generowanych przez AI w celu wyłudzania pieniędzy z reklam 20.

Kontekst polski

Opisane zjawiska nie są odległym, amerykańskim problemem. Każdy polski wydawca, sklep internetowy czy dostawca aplikacji, który zarabia na reklamach, jest częścią tego samego globalnego ekosystemu. Oznacza to, że dane polskich użytkowników, w tym być może żołnierzy, urzędników czy pracowników infrastruktury krytycznej, mogą być przetwarzane przez firmy z siedzibą w Moskwie czy Pekinie.

To stwarza realne ryzyko. Dane o lokalizacji, wzorcach przeglądania stron czy używanych urządzeniach to cenny zasób dla służb wywiadowczych. Czy polskie portale informacyjne, strony rządowe lub aplikacje bankowe są świadome, komu dokładnie pozwalają na dostęp do swoich użytkowników? Problem jest tym poważniejszy, że wiele firm może nie mieć świadomości, z kim tak naprawdę współpracuje. Sieci reklamowe często działają jak matrioszki, gdzie jeden pośrednik odsprzedaje ruch drugiemu, a na końcu łańcucha znajduje się podmiot, którego nikt świadomie by nie autoryzował.

Co zostawiamy nierozstrzygnięte

Analiza otwiera więcej pytań, niż daje odpowiedzi. To dopiero początek śledztwa, które powinno być kontynuowane przez zespoły bezpieczeństwa, regulatorów i dziennikarzy.

  • W jakim stopniu właściciele stron internetowych są świadomi pełnej listy podmiotów, które śledzą ich użytkowników?
  • Jaka jest odpowiedzialność prawna wydawców w świetle RODO za udostępnianie danych podmiotom z krajów niezapewniających adekwatnego poziomu ochrony?
  • Czy i w jakim zakresie dane zbierane przez firmy adtech z krajów ryzyka są wykorzystywane do celów wywiadowczych?
  • Na ile skuteczne są popularne blokery reklam w zwalczaniu tak złożonych i wielopoziomowych łańcuchów śledzenia?

Niewidzialna sieć, która oplata nasz cyfrowy świat, właśnie stała się odrobinę bardziej widoczna. To pierwszy krok, by móc się przed nią bronić.

Źródła

Zobacz też

Przypisy

  1. Nowa, darmowa usługa o nazwie DecryptAds skanuje i koreluje dane adtech, aby ułatwić identyfikację podmiotów śledzących użytkowników. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  2. DecryptAds.com stale skanuje publicznie dostępne pliki stron internetowych i aplikacji, aby ujawnić firmy uprawnione do wyświetlania reklam lub zbierania danych użytkowników. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  3. Pliki skanowane przez DecryptAds obejmują ads.txt, app-ads.txt oraz buyers.json/sellers.json. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  4. Zach Edwards, dyrektor ds. badań w DecryptAds i badacz zagrożeń w Infoblox, jest jednym z założycieli usługi. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  5. Usługa DecryptAds została stworzona z myślą o przypadkach użycia związanych z prywatnością i bezpieczeństwem, które były dotychczas niedostatecznie obsługiwane. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  6. Problemy z integralnością łańcucha dostaw rzadko są widoczne w pojedynczym pliku, ale ujawniają się jako uszkodzone odniesienia krzyżowe między plikami ads.txt, app-ads.txt i sellers.json. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  7. Wyszukiwanie w DecryptAds dla espn.com ujawnia 143 partnerów reklamowych i 19 zarejestrowanych domen brokerów danych w plikach ads.txt i app-ads.txt. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  8. Informacje o brokerach danych stają się dostępne dzięki nowym przepisom w Kalifornii, Oregonie, Teksasie i Vermont, które wymagają rejestracji brokerów danych. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  9. Prawie połowa brokerów danych espn.com zbiera dane geolokalizacyjne od odwiedzających, którzy nie blokują reklam. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  10. Trzech brokerów danych espn.com zbiera odciski palców urządzeń i wrażliwe dane osobowe. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  11. DecryptAds ostrzega, gdy partnerzy adtech strony lub aplikacji pochodzą z obszarów “geo-ryzyka”, takich jak Chiny, Rosja, Cypr i Zjednoczone Emiraty Arabskie (ZEA). — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  12. Espn.com współpracuje z czterema podmiotami reklamowymi z Rosji, Chin lub ZEA, w tym z firmą Between Digital, która ma adres w Nowym Jorku, ale jest oznaczona jako firma rosyjska. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩ ↩2

  13. Oferty wydawców Between Digital są przetwarzane przez Alfa Bank, największy prywatny bank komercyjny w Rosji, objęty sankcjami USA w 2022 roku. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  14. Wiele czołowych amerykańskich stron internetowych z wiadomościami wojskowymi, takich jak armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com i federaltimes.com, pozwala Between Digital na wyświetlanie reklam i śledzenie użytkowników. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  15. Between Digital zbiera dane reklamowe z około 55 000 partnerskich stron internetowych. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  16. Between Digital jest wymieniana jako wydawca i sprzedawca na około dwóch trzecich swojego portfolio, co stwarza możliwości konfliktu interesów. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  17. Przeglądarka Opera jest od 2016 roku w większości własnością i jest kontrolowana przez chińską firmę Kunlun Tech. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  18. Profil Opera.com w DecryptAds identyfikuje 27 zarejestrowanych brokerów danych zbierających informacje, w tym 15 partnerów adtech w ZEA, sześciu w Chinach, trzech na Cyprze, dwóch w Rosji oraz po jednym w Hongkongu i na Ukrainie. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  19. Te firmy stanowią tylko siedem procent partnerów adtech określonych w plikach ads.txt i app-ads.txt Opera.com. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩

  20. Przypadki użycia DecryptAds obejmują śledzenie źródeł złośliwych reklam, identyfikację sieci reklamowych z krajów wrogich oraz wykrywanie stron i aplikacji generowanych przez AI. — krebsonsecurity.com › whos tracking you use this new service to find o… ↩