Популярные сервисы веб-аналитики незаконно собирают пользовательские данные?

Специалисты из Центра политики информационных технологий Принстона (CITP) занялись исследованием популярных сервисов аналитики и обнаружили, что иногда они записывают личные данные пользователей. В исследовании рассматривались сервисы FullStory, SessionCam, Clicktale, Smartlook, UserReplay, Hotjar и Яндекс. Обычно эти сервисы предоставляют обезличенную информацию о количестве и географии просмотров страниц, а также времени, проведенном на сайте и других действиях посетителей. Но некоторые аналитические инструменты используют сценарии отслеживания, позволяющие владельцам сайтов связывать полученные данные с подлинной личностью пользователя.

Такие системы аналитики установлены примерно на каждом сотом из 50000 самых популярных в мире сайтов из рейтинга Alexa, а в некоторых случаях они передают данные юзеров через незашифрованный протокол HTTP. Всего было установлено 482 таких случая, однако специалисты предполагают, что их было больше, так как сценарии не записывают каждого пользователя, заходящего на сайт, и при тестировании они могли не обнаружить некоторых неактивированных скриптов.

Некоторые аналитические сервисы позволяют увидеть не только имя, адрес и прочую конфиденциальную информацию юзера, но и ассортимент заказываемых на сайте товаров. Иногда на страницах вводимый текст заменяется случайным текстом той же длины только у специально помеченных форм, а во всех остальных случаях система будет отображать эти данные, даже если это будут пароли или номера кредитных карт. Иногда водимая информация может отобразиться во время повтора сеанса, даже если пользователь ввел ее в форму, а затем удалил.

При этом исследователи обнаружили, что часть систем веб-аналитики воспроизводят повторы сеансов через протокол HTTP, даже если на сайте используется HTTPS. Это означает, что данные могут быть доступны не только отрудникам использующих такие системы компаний, но и злоумышленникам.

Как сообщает издание Motherboard, в ответе на запрос по электронной почте представитель Яндекса объяснил, что компания старается использовать HTTPS везде, где может, а также добавил, что в ближайшее время продукт будет обновлен, чтобы отказаться от HTTP:

HTTP используется намеренно, поскольку записи сеансов загружают сайты по технологии iframe. К сожалению, загрузка HTTP-контента с сайтов https запрещена на уровне браузера, поэтому для поддержки этой http-поддержки требуется http-плеер для поддержки http-сайтов.

Пресс-служба Яндекса сообщила следующее:

Наш продукт веб-аналитики Яндекс.Метрика предлагает инструмент Session Replay, созданный для того, чтобы помочь веб-мастерам оптимизировать свои целевые страницы путем отслеживания и записи движений мыши. Чтобы обеспечить прозрачность, Session Replay не работает автоматически, только веб-мастера могут создать код отслеживания на Яндекс.Метрике и включить повтор сеанса. Яндекс очень серьезно относится к конфиденциальности и безопасности пользователей. Все сеансы анонимны, а личные данные, такие как IP-адрес и адрес электронной почты, не отображаются. Поскольку на некоторых веб-сайтах есть поля ввода, которые могут включать конфиденциальную информацию, а на других нет, мы создали для веб-мастеров возможность отключить запись для полей ввода в соответствии с их политикой конфиденциальности, которые можно найти здесь. При этом HTTP используется именно при воспроизведении повторов сеансов, но не при передаче данных, где используется HTTPS.

Ниже представлены типы данных, собираемых различными системами. Заполненный кружок означает, что система не собирает данные, полузаполненный – что вводимые данные подменяются данными аналогичной длины, пустой кружок означает, что данные собираются в исходном виде.

Источник: Adindex