Информация взята с Хабра.
.."Абсолютно легальные инструменты за смешные деньги могут позволить вам звонить всем активным клиентам ваших конкурентов, построить десяток эффективных мошеннических схем или даже позвонить предполагаемому любовнику вашей девушки/жены, а заодно проверить, где она была вчера вечером! Обнаружил я это в ходе одного из расследований утечек клиентов. И я твердо уверен, что такого быть не должно. Инструмент, использующийся в статье, эффективнее утечек баз. Нашими данными не должны так легко легально торговать практически в режиме онлайн. Можно найти любого, куда он ходит, где живет и спит, и позвонить им. Почему и как это работает, какие риски это несет и как этому противодействовать? Расскажу далее.
Покажите этот пост Эдварду, пожалуйста. Я верю в нетворк Хабра!
❯ Расследование, с которого всё началось
Осенью ко мне обратился крупный заказчик с довольно типовой проблемой — утечкой лидов с сайта, собирающего заявки. Работало это так:
-
Клиент оставляет заявку на сайте.
-
В этот же день с ним связывается колл-центр заказчика.
-
На следующий день ему звонят злоумышленники и начинают продавать уже свое.
Это затрагивало значительную часть клиентов, но не всех. К моменту начала расследования утечке был уже не первый месяц.Отрабатывали мы стандартные гипотезы:
-
Слив сотрудниками колл-центра.
-
Технический фактор слива данных с сайта.
-
Слив данных партнерами и контрагентами.
-
Таргетинг на клиентов компании.
Но эта статья ни в коем случае не пиар расследования, и я не буду утомлять вас подробностями того, как мы исключали одну версию за другой. Важно то, что мы нашли.
Многие знают, как работает таргетированная реклама, и провайдеры сотовой связи открыто продают маркетинговым агентствам данные о переходах на сайты.
Аудитория Хабра от провайдера сотовой связи
Вот, например, прогноз аудитории одного из провайдеров сотовой связи, на таргетинг всех, кто за последнюю неделю заходил на Хабр! Примерно 280 тыс. человек, цена смс каждому будет в районе нескольких рублей + 0.5 рубля за этот доп фильтр. Да, информация по вашему входу на сайт стоит 50 копеек.
Как это работает? Это все входы на сайт через мобильный интернет! Провайдер видит домен к которому вы обращаетесь, он не шифруется по умолчанию в TLS.
Можно купить только у одного провайдера? Нет, они перепродают сервисы друг друга, поэтому можно оттрекать абонентов нескольких провайдеров в личном кабинете одного. Они сами распределяют прибыль от продажи ваших данных.
Данными о заходах на сайты торгуют уже давно, позволяют отправлять СМС, а маркетинговые агентства, покупая этот трафик, позволяют ПОЗВОНИТЬ жертве клиенту, правда, без передачи номера. За оплату такого слива вам дадут ссылку через которую можно позвонить через гейтвей IP-телефонии.
Но это не так страшно и эффективно, ведь на сайт много кто заходит, будет много мусорных звонков от случайных заходов. А у нашего заказчика утекали именно оформленные заявки. Звонили только тем, кто их оставил, и только через мобильный интернет. Но не всем, кто вообще заходил на сайт.
Но не так давно появилась новая опция, позволяющая отследить звонки!
Заходил на Хабр и общался по телефону с Госуслугами? Ты тут
Вам предлагают вбить от 5 номеров, и посмотреть, а сколько ваших жертв, тьфу, клиентов звонили на указанные номера? Или им звонили с этих номеров, или как на скрине “любое направление”. 190 человек из 280 тысяч пользователей Хабра за последнюю неделю общались с техподдержкой Госуслуг, ведь ее номер 78001007010.
Почему я уверен, что их 190, и туда не попали другие 4 номера? Их не существует, туда можно вбить любые несуществующие номера. Вот подтверждение, я поменял первый номер на также не существующий, поменял 0 на конце на 1, и в выборке аудитории стало пусто!
5 неактивных номеров
Именно так угоняли заявки у нашего клиента, они ставили фильтры:
-
Заход на сайт компании.
-
Звонок с номера колл-центра компании.
Колл-центр заказчика звонил по всем заявкам, а уже на следующий день это появлялось в личном кабинете маркетологов, которые за небольшую сумму могли совершить звонок всем, кто попадал в фильтр!
Да, за слив метаданных ваших телефонных звонков нужно доплатить всего-то 2 рубля!
Полный список доступных фильтров и условий прикладываю:
Фильтры и цены их добавления у одного из провайдеров
И условия при которых будет отправлена СМС
Отдельно обратите внимание на “присутствие в геозоне” и условие “вход в геозону”. Где-то год назад мой коллега по кибербезопасности Дмитрий Евдокимов спросил у меня, не замечаю ли я, что в командировках в Москву спам звонков и смс прилетает больше, чем дома в Питере? Тогда я не мог аргументированно ответить почему, но вот, Дима (@d1g1), тебе ответ! Таргетят нас именно так.
❯ А если не маркетологи?
Но кто еще может использовать подобный инструмент? Покупая ссылки на звонки у маркетинговых компаний за скромные деньги или вовсе бесплатно пользуясь фильтрами?
Конкуренты
Могут таргетировать ваших сотрудников, и звонить вашим клиентам под любым предлогом,копируя вашу базу.
Они же могут таргетировать ваших сотрудников с целью коммерческого шпионажа, фильтры по гео могут даже позволить им следить за перемещениями! Главное — просто правильно их настроить.
Ревнивые мужья/жены
-
Ваша жена/девушка с кем-то очень мило беседовала вчера?
Вы можете позвонить всем, с кем она вчера говорила!
-
Она куда-то ездила на выходных и вы ей звонили?
По фильтру звонков таргетите именно ее, а геозоной начинаете искать, сужая круг и перемещая его куда угодно. Вуаля, вы найдете в каких зонах она была в определенный момент в течение дня. И ее подруга живет совсем не там.
Кто бывает в Зингере?
А кто из них был в определенный момент времени?
Мошенники
-
Узнать, что жертва (да, тут уже жертва) уехала в геозону?
-
Позвонить всем, кто общался вчера с центром элитных автомобилей, и попросить предоплату за бронь?
-
Позвонить всем клиентам дорогого отеля, которые вчера туда заехали и звонили в него? Можно предложить что-то элитное с “предоплатой”!
И многое многое другое, такой инструмент — настоящий подарок для продвинутых и таргетированных атак “колл-центров служб безопасности”. Все, что нужно, — оплатить услуги любого из кучи агентств, или напрямую закупать у провайдеров на любое юрлицо.
Внимание, платить нужно только за звонок/смс, отслеживать геолокацию абонента можно абсолютно бесплатно в предпросмотре аудитории фильтров!
❯ А как этому противодействовать?
Если у вас своя компания и вы боитесь утечек клиентов, изобразите клиента. Возьмите новую симку, зайдите к себе на сайт с мобильного интернета и оформите заявку, позвоните на телефон, указанный на сайте. Словом просто пройдите клиентский путь.
Если после такого вам позвонят конкуренты/мошенники, у вас проблема, но уже хорошо, что о ней вы узнали. Первое, что вам придется сделать, — выбить из их рук фильтр звонков, ведь он самый эффективный в таргетинге. Для этого придется сменить привычный номер на сайте, а в идеале заменить его динамическим. При большом и сменяемом пуле номеров, фильтр работать перестанет, отследить, с кем именно общается ваша компания звонками, станет невозможно.
Альтернативный вариант — звонить через мессенджеры, но далеко не всем это будет по душе(
А для обычных пользователей?
Меньше серфите через мобильный интернет, используйте Wi-Fi. Также по возможности прячьте свои коммуникации от провайдера с помощью сервисов защиты трафика, их как раз сейчас используют для совсем другого, о чем сейчас не стоит писать по просьбе РКН. Но это надёжно закроет доступ к посещаемым вами сайтам.
Геозону контролировать невозможно, не оставлять же дома телефон, как некоторые криминальные элементы?
❯ А что с этим делать глобально?
Реклама должна работать, это драйвер бизнеса! Но не такой ценой. По моему скромному мнению, необходимо ограничивать инструменты рекламы. Сейчас провайдеры и маркетинговые агентства открыто торгуют очень чувствительной информацией, позволяющей даже узнать, где находился их абонент в течение дня!
Более того, чтобы “пробить” геолокацию, зная номер абонента, не нужно платить ни одного рубля, проходить какую-то модерацию, нужно просто иметь логин и пароль к любому кабинету рекламы! И сделать ему один единственный сброс-звонок, для эффективной фильтрации по звонкам.
Почему это законно? Номер не передается, персональных данных фактически нет. Передается ссылка для звонка, или отправляется СМС сообщение. Геолокация тоже передается "всего фильтра", а не конкретной персоны. Но никого не волнует, что отфильтровать одного человека довольно просто.
Чтобы понять как это стоит ограничить, нужно понять, а где грань этичного таргетинга? Как можно таргетировать группы людей, без возможности вычленить конкретных людей?
Напишите свое мнение в комментариях, попробуем разобраться вместе. По моему мнению, мы эту грань уже давненько прошли. И эта грань — фильтр по звонкам, именно он позволяет нам легко таргетировать и сливать информацию по конкретному абоненту! Зная его номер и сделав ему пустой разовый звонок.
Комментарии
Бизнес это конкуренция. Так и должно быть.
Конкуренция это стоимость товара и его потребительские свойства, у кого лучше соотношение тот и молодец.
А то что описано выще - раньше в добрые времена за такое возили в лес в багажнике, яму копать.
Это на «старые» времена, а совсем недавние.
Тогда и автомобилей-то не то, что не было, их и помыслить не могли…
В *старые* времена проблему таких соблазнов решали иначе: брали два дерева, сгибали, одну ногу воспитуемого привязывали к одному дереву, вторую — к другому… и ме-е-еддленно освобождали деревца…
А наш современный капитализм торгашей — это огосударствленный бандитизм. И так НЕ должно быть!
Если это бизнес. А если я захочу получить данные тех, кто заходил на Лубянку, или в штаб на Арбате, а потом появились в Крыму, и адрес где они ночуют в Севастополе?
Это уже - терроризм. 20 лет.
нАВЕРНОЕ ТАК: "Бизнес должен вести конкуренцию честно."
Это не бизнес - это развязанные руки операторам рекламы и сотовой связи. С недавних пор при размещении рекламного объявления нужно вводить подробные данные и они попадают в руки тем самым операторам рекламы. А их всего 7 https://rkn.gov.ru/activity/register-ord/register/ . Чем Вам не монополия, которая стремится выжать максимум.
Здесь больше подходит термин олигополия.
Вы полагаете совпадение оператор-рекламной-деятельности? это же ОРД (оперативно-розыскная) только без лицензии на неё😆
Для маркетолухов в аду отдельный котёл.
С клубной картой, промокодом и кэшбэком.
кольями или дополнительными литрами масла с запахом жженого фекально-дендритного их собственного творчества?
И бонусами в виде ежечасного втыкания кольев в зад!!!
С 1,5 парой обуви, 3-мя колесами на машине и половинкой жены...
А потому что надо перезванивать с городских, стационарных, а не всех этих 8-800 где АПИ установлено и могно выциганить что угодно.
Из атс какогониь мелкого оператора местной телефонии не вытащить ничего и никак до конца месяца:))
этой штуке минимум год. Обсосы на этом уже сотни млн рублей "заработали"
если мне нужен ваш телефон, если вы например зашли на сайт автодилера и оставили заявку на покупку авто - он у меня будет через 10 минут.
Ну а что мы тогда удивляемся, что нас денно и нощно атакуют мошенники с Украины и спамеры.
Эту дырень конечно же нужно закрывать. Надеюсь законодатели эту лавочку прикроют.
Помните историю противостояния брони и снаряда?
ЗЫ: Проблема куда надёжнее решается сливом *всей* аналогичной информации по минетжименту ОпСОСов, с госуслуг в режиме реального времени всем заинтересованным.
Пока не взвоют. И не обеспечат вой исправлением сервиса.
И, главное, оплатят проведение всенародного референдума на срок ремиза (не менее 10 лет).
я правильно понял, что если я ушел из дома, то все квартирные воры города об этом узнают через 5 минут?
Судя по тому, что понял я, не все- лишь самые продвинутые.
Если на вас (ваш номер мобильника) и вашу квартиру уже нацелились - примерно через 20 минут.
А есть какие-нибудь шлюзы, которые с телефона, лежащего дома, умеют перенаправлять звонки в условный телеграм?
Триггер легко можно настроить на сам заход на сайт или на нахождение там какое-то время. Хоть обменяйся телефонами на сайте, смысла не будет. Худшие в этом плане - МТС
Я сейчас перестал вообще брать прямые звонки с неизвестных номеров. Беру только если я знаю, что мне должны позвонить, например, курьер. Вот прям вообще никогда. Да и сам, если в первый раз звоню, и у человека нет моего номера, то сначала стараюсь написать в мессенджер.
Разумно.
Приятеля, бывшего следака, пригласили в РОВД на празднование ухода в отставку начальника следствия, как ветерана. Он рассказывал, как ему теперешние следачки поднабравшись (последний следак, как раз уходил в отставку) жаловались на появившиеся огромные сложности связаться по телефону с людьми, чтобы их вытащить для опроса (допроса).
А он им в ответ: "Девочки, не хочу вас обидеть, но кто в этом виноват, если не вы и ваши коллеги?"
Ну да.
Архитекторы, помимо прочего работающие над асимметрией (так, чтобы у «виновных» в Вашей схеме были минимальные возможность хоть как-то повлиять на ситуацию), конечно же ни при чём…
Неделю назад я приехала в Москву. Ехала через 5 регионов. При пересечении границы каждого региона мне приходила смска от т2. Добро пожаловать, мол, вот такие достопримечательности можете посмотреть. А вот когда я сошла с поезда, то минут через 30-40 мне пошёл вал рекламных смсок – за неполные 3 часа больше 10 штук. От рекламы гостиниц до быстро-займов. Был и звонок от аутсорсера – поработать на складе Озона стикеровщиком. Сервис, ТБМ, на грани фантастики(((((
интересно провести эксперимент. Пустить весть трафик через vpn. Если вал останется - то значит сам обсос. А если нет - то уже сайты/Приложения на которых вы были после того как сошли с поезда
Связи в поезде почти не было – 1-2 полоски, интернета не было тоже, только на вокзалах в крупных городах. Всю дорогу я смотрела заранее скачанные фильмы. А после схода с поезда зашла сразу на сайт метро-онлайн. Доехала до нужного места – и вот тут мне поперло))))
Да ладно?! Я год назад ездил на поезде через Москву, в пути активно пользовался мобильным интернетом - интернет был доступен не менее половины пути, скорее две трети.
У меня тоже интересный случай был, примерно два месяца назад. У жены украли телефон, и я заказал ей новый в магазине в центре Москвы. На следующий день приходит смс из магазина, что телефон привезли, можно забирать. Выдвигаюсь из дома до магазина примерно 45 минут. Захожу в метро, приходит смс от моего оператора: предлагаем персональную скидку на телефон такой то модели. И что за совпадение. Скидка именно на ту модель, которую я заказал. Посчитал, получилось если я покупаю смартфон в салоне оператора, экономлю 500+ руб и час времени на дорогу. Доехал до салона. Продавцы были не в курсе, что есть такая скидка, но смс с промокодом все изменило. Телефон был куплен, время и немного денег сэкономлено. Вот такое совпадение, если это совпадение, конечно.
это он конкурентов злоумышленниками называет?Ну надо же.
Ну так они же зло умыслили. Увести клиентов. Для бизнеса это же самое зло и есть.
Мы проваливаемся в страшные времена. Статья годная, в сохраненные
Спасибо за статью!
Жесть! Надо что-то с этим делать..
А у каких операторов эти личные кабинеты работают? Прямо интересно стало посмотреть.
Вот тут часть приводят
https://target.megafon.ru/
Понимаете, мир так устроен, что если есть техническая возможность сделать некие действия, то "что-то с этим сделать" - крайне трудно. Уменьшить масштаб можно - криминализацией нежелательного действия, совсем искоренить - никак.
Законотворчество тут не помогает, и уж тем более не помогает наказание. Хрестоматийный пример - вал карманных краж на площади при зрелище отрубания руки осужденному вору.
Если планомерно рубить, руки когда-нибудь кончатся.
Как в Китае. Говорили - мол расстреливают за коррупцию, а она все еще есть. А потом кончилась.
Да вон вчера или позавчера суд в Китае приговорил какого -то банкира(!) к смертной казни за взяточничество..
казалось бы, ему-то зачем, если он банкир и у него деньги есть..
Погуглил, и оказалось не только ему одному прилетело...
Бывшего председателя правления Bank of China Лю Ляньгэ приговорили к смертной казни за взяточничество. Об этом сообщается на сайте верховной народной прокуратуры КНР.
Народный суд провинции Шаньдун публично приговорил бывшего секретаря партийного комитета Лю Ляньгэ за получение взяток к смертной казни с отсрочкой исполнения на два года, пожизненному лишению политических прав и конфискации всего личного имущества, говорится в сообщении прокуратуры.
В последние месяцы в Китае осудили многих высокопоставленных сотрудников банков. 10 октября суд провинции Хубэй приговорил к смертной казни с отсрочкой на два года бывшего заместителя главы Народного банка Китая Фань Ифэя за получение взяток на сумму 386 млн юаней.
До этого бывшего вице-президента China Development Bank Ван Юншэна приговорили к 12 годам колонии за получение взяток.
Россия свободная страна, страна возможностей, возможно всё. А вот в такой диктатуре как Германия например, где запрещено всё что не разрешено. Можно в своём смартфоне убрать галочку в настройках защиты данных и всё, таким образом ты не разрешаешь а значит запрещаешь передавать свои данные третьим лицам. И это работает.
Самое интересное тут в том, как Вы *верефицируете* озвученную *декларацию* про «работает»?
Низкобюджетные пособники ВСУ и любых террористических\преступных организаций в охоте на конкретного человека.
Надо за предоставление таких "услуг" - за госизмену каждый месяц сажать на 15 лет по одному топ-менеджеру сотовых компаний и через полгода случится чудо.
«10 лет без права переписки» достаточно.
С обязательным шоу очного розыгрыша лота.
О! Вот такое видео в школах надо показывать вместо унылой жвачки на занятиях "разговоры о важном"! Заодно можно порешать задачки по основам теории вероятности - какова вероятность выигрыша каждого предателя; а если сделать два розыгрыша подряд? Это полезные знания и запомнятся хорошо.
Ещё одна тема отличная есть - про школьников по заданию из интернета поджегших вертолёт, с обсуждением последствий для поджигателей и родителей. Пусть
малолетние дебилы сам такой былшкольники каждый лично на бумажке подсчитает сколько лет родителям возмещать ущерб.А то гороно изнемогает от желания на учителей написание ненужных отчётов навалить, сусловскую жвачку школьникам впаривать на "разговорах о важном" что бы не дай Бог польза была. СССР так и развалили пустобрёхи-имитаторы.
Проблема сочинения форматов отчётов (с деятельным не-ведением ТМО) решается просто и радикально — посажением авторов на место исполнителей. Пока не взвоют, и тональность воя не устроит пострадавших.
ЗЫ: Далеко не только «гороно», но практически весь перелётный дифихтивно-минет.жымент, в пылу индустриализации предметной области управления.
Ну и в догонку)))))
https://t.me/ponomarb1/51649
Ваш автомобиль шпионит за вами? Вот как это проверить. Видите ли, я только что приобрела Toyota 4Runner после 18 лет езды на Honda Element. Это был как кирпичный телефон на колесах, а теперь я управляю смартфоном со всеми видами технологий слежения. Поэтому первое, что я сделала еще до выезда из дилерского центра, - отключиласбор данных, насколько это возможно. Я загрузила приложение производителя, ввел свой VIN-код, а затем отказалась от всех функций подключенных сервисов. Они передают данные о моем местоположении и состоянии автомобиля в Toyota по беспроводной связи. Затем я зашла на сайт VehiclePrivacyReport. Com, ввела свойVIN-код и чуть не умерла, когда увидела, что вся система слежения все еще находится на моем автомобиле. Мой 4Runner собирает такие идентификаторы, как мое имя, почтовый адрес, электронная почта и демографическая информация. Он также собирает биометрические данные, включая мою геолокацию, водительские права и финансовую информацию. И я узнала, что мой автомобиль не только отслеживает мои данные, но и продает их. Моя машина продает информацию аффилированным лицам, таким как спонсоры, партнеры и рекламодатели. Она делится моими данными с поставщиками услуг и своей аффилированной страховой компанией. Но только если я даю на это согласие, а я не помню, чтобы я это делала. И, наконец, никого не должно удивлять, что автомобильные компании будут передавать ваши данные правительству, если они обязаны это делать по закону.
@ponomarb1
Очуметь! Я активно пишу с 1971 года для всего - от БЭСМ-6 до контроллеров РВ , но легальность таких схем и в голову никогда не приходила!
Страницы