Citizen Lab: reklamy online jako narzędzie szpiegostwa zero-click

Citizen Lab: reklamy online służyły do instalowania szpiegowskiego oprogramowania zero-click

Citizen Lab z Uniwersytetu w Toronto twierdzi, że izraelska agencja reklamowa Discover-Tech wyświetliła miliony reklam online, które umożliwiały instalację szpiegowskiego oprogramowania typu zero-click. Ofiarami padły dziesiątki urządzeń katarskiego nadawcy Al Jazeera. Platforma Controlium miała pozwalać klientom masowo profilować i deanonymizować użytkowników, a następnie potajemnie infekować wybrane cele złośliwym kodem. Infekcja następuje w kilka sekund, bez interakcji ofiary. Reklamy trafiały do użytkowników m.in. w Jemenie, Brazylii, Meksyku i Czechach, a także do sieci instytucji rządowych w Europie i USA, ONZ, NATO, Międzynarodowego Trybunału Karnego i MAEA. Badacz Wolfie Christl nazwał to porażką ekosystemu reklamowego i wezwał regulatorów do zbadania sprawy.

Online ads weaponised to deliver ‘zero-click’ spyware, researchers say | Hacking | The Guardian →

Tematy: Oprogramowanie szpiegująceŚledzenie w sieci

Ray-Ban Meta nagrywały rozmowy bez frazy aktywującej Hey Meta

Okulary Ray-Ban Meta nagrywały rozmowy bez wypowiedzenia frazy aktywującej Hey Meta, a nagrania i transkrypcje pojawiały się w aplikacji Meta AI. Problem dotyczył trzech par okularów, w tym modeli drugiej i trzeciej generacji, po aktualizacji oprogramowania. Meta twierdzi, że usterka została usunięta, ale nie wyjaśniła przyczyny ani liczby poszkodowanych. Jeden z użytkowników Reddita zgłosił, że nagrania pojawiły się mimo wyłączonej opcji Respond without Hey Meta, a biała dioda czasem świeciła się podczas zwykłej rozmowy. Wsparcie Meta radziło wyłączyć uprawnienia mikrofonu i kamery, wyłączyć Wear Detection, usunąć historię głosową i zablokować automatyczne aktualizacje. Użytkownik rozważa pozew zbiorowy. Meta zapewnia, że logi głosowe można przeglądać i usuwać w aplikacji.

Some Meta Smart Glasses Secretly Recorded Conversations: Owner… →

Tematy: Prywatność urządzeń smartMeta

ICO upomina londyńską policję za wyciek danych do platformy Auror

Brytyjski urząd ochrony danych ICO upomniał Metropolitan Police Service po tym, jak funkcjonariusze i pracownicy wprowadzili wrażliwe dane podejrzanych do niezatwierdzonej platformy Auror, używanej przez sieci handlowe do śledzenia kradzieży sklepowych. Platforma należy do nowozelandzkiej firmy i wykorzystuje rozpoznawanie twarzy, tablic rejestracyjnych oraz sztuczną inteligencję. Funkcjonariusze dostawali darmowe konta i mogli dzielić się danymi z detalistami, m.in. Tesco, Boots, M&S i Greggs. Utworzono 500 kont, 375 aktywnie używanych; zidentyfikowano 179 osób, 59 zostało zatrzymanych, oskarżonych lub skazanych. ICO wydał upomnienie 15 października, wskazując na brak ograniczeń technicznych i szkoleń. Policja twierdzi, że współpraca z Auror Europe trwa i przynosi efekty.

UK data watchdog warns Met Police over shadow IT data breach | Computer Weekly →

Tematy: Rozpoznawanie twarzyNadużycia policji w bazach danych

EDPB przyjął pierwsze wytyczne dotyczące okularów z kamerami

Europejska Rada Ochrony Danych przyjęła 13 października 2026 r. pierwsze wytyczne dotyczące okularów z kamerami, klasyfikując je jako urządzenia wysokiego ryzyka dla praw osób postronnych. Wytyczne, choć niewiążące, zwykle stają się minimalnym standardem dla regulatorów. EDPB wymaga, by wskaźnik nagrywania był fizycznie nie do obejścia: zakrycie diody ma natychmiast wyłączać kamerę. Meta w sierpniu 2026 r. dodała zabezpieczenie wykrywające zakrycie diody, ale hamburski organ ochrony danych uznał, że działa ono tylko na początku nagrania. Białe diody mogą być mylone z odblaskami. EDPB zaleca przetwarzanie na urządzeniu, domyślne zacieranie tożsamości osób postronnych i ograniczone przechowywanie danych. Odpowiedzialność ponoszą producenci i operatorzy usług AI.

EU Requires Smart Glasses LED to Shut Camera Off When Covered: GDPR Now Falls on Makers →

Tematy: Prywatność urządzeń smartRODO

Pacjenci w USA mają trudności z rezygnacją z udostępniania danych przez MyChart

Lekarka z Bostonu Shira Fischer w 2022 r. szukała logopedy dla dziecka, ale klinika wymagała zgody na nagrywanie wizyty i wykorzystanie jej do szkolenia, więc znalazła inną placówkę. Podobne problemy opisuje autorka, która przez rok rejestrowała się w 25 klinikach w siedmiu stanach. Formularze często oznaczają zgodę na przetwarzanie danych jako Required, choć prawnie jest opcjonalna. Firma Phreesia przyznała po 81 dniach, że nigdy nie uzyskała zgody, i zmieniła etykiety po interwencji HHS. W szpitalu University Hospitals w Ohio rezygnacja z udostępniania danych przez MyChart wymagała kontaktu z działem dokumentacji medycznej, co nie jest opisane na stronie. Epic przyznaje, że rezygnacja z Care Everywhere nie jest częścią procesu rejestracji, a od sierpnia 2025 r. całkowicie niewidocznych pacjentów jest tylko 112.

MyChart and a major hospital said I could opt out of sharing my health data. But they didn’t make it easy →

Tematy: Wycieki danych medycznych