Privacy
Sędzia certyfikuje pozew zbiorowy przeciw Meta w sprawie danych medycznych
Meta Pixel miał przekazywać dane pacjentów z setek placówek medycznych. Sąd federalny dopuścił pozew zbiorowy. Do tego botnet w 1,3 mln telewizorów i koniec z arbitrażem Sony.
Wydanie opracowane przy pomocy sztucznej inteligencji. Tekst i lektor wygenerowane automatycznie.
Meta pozwana zbiorowo za śledzenie danych medycznych przez Pixel
Sędzia federalny William H. Orrick z sądu w Północnej Kalifornii certyfikował 30 października cztery klasy powodów w pozwie przeciw Meta Platforms. Zarzut: narzędzie Meta Pixel zbierało chronione dane zdrowotne, gdy pacjenci korzystali z platform cyfrowych placówek medycznych, a następnie wykorzystywano je do reklam w Facebooku i Instagramie. Powodowie wskazali co najmniej 664 systemy szpitalne lub witryny medyczne, z których Meta miała otrzymywać dane pacjentów bez wiedzy i zgody. Klasy obejmują m.in. kliknięcia w portale pacjenta, informacje o lekarzach i schorzeniach, dane o lekach na receptę oraz urządzenia dotknięte instalacją plików cookie. Meta twierdzi, że to placówki kontrolują konfigurację Pixela, a jej regulamin zakazuje przesyłania wrażliwych danych zdrowotnych. Certyfikacja nie przesądza o winie.
Tematy: MetaWycieki danych medycznych
Google zrywa z Videostrong po backdoorze w 1,3 mln telewizorów
Google zakończyło współpracę z producentem telewizorów z Android TV, firmą Videostrong, oskarżaną o fabryczne instalowanie backdoora o nazwie XCPE w ponad 1,3 mln przystawek set-top box. Złośliwe oprogramowanie obchodziło proces certyfikacji Google i wciągało urządzenia do botnetu, który Google następnie zamknęło. Backdoor wykryto w firmware m.in. modelu Mecool KTI i wielu białych oznaczeń. Firma Synthient z Seattle, współpracująca z Google, zidentyfikowała co najmniej 182 modele urządzeń w botnecie. Według TrendMicro zainfekowanych było 1 472 554 urządzeń w USA, Kanadzie, Niemczech, Wielkiej Brytanii, Australii, Brazylii, Malezji, Iraku, Meksyku i na Tajwanie. Botnet umożliwiał oszustwa reklamowe, kradzież danych, przechwytywanie zrzutów ekranu i zdalne powłoki. Google zakazało Videostrong produkcji certyfikowanych urządzeń z Androidem.
Tematy: Malware i infostealery
Sony nie wymusi arbitrażu w sprawie szpiegowania widzów przez smart TV
Sędzia Marilyn Huff odrzuciła wniosek Sony Electronics o skierowanie do arbitrażu pozwu zbiorowego, w którym zarzuca się smart TV potajemne śledzenie nawyków oglądania i udostępnianie danych reklamodawcom. Powodowie twierdzą, że Sony od co najmniej 2017 roku stosuje technologię rozpoznawania treści, która wychwytuje fragmenty audio i wideo, tworzy z nich cyfrowy odcisk i przekazuje stronom trzecim, m.in. Samba TV i Google. Sędzia uznała, że klauzula arbitrażowa została ukryta w osobnym dokumencie zatytułowanym „limited warranty”, a konsument nie miał uczciwej informacji o jej istnieniu. Odrzuciła też argument o przedawnieniu. Utrzymała zarzuty naruszenia prywatności według konstytucji Kalifornii oraz publicznego ujawniania prywatnych faktów, a 12 pozostałych oddaliła z prawem do poprawy.
Sony smart TV privacy suit survives as judge rejects arbitration bid | Courthouse News Service →
Tematy: Prywatność urządzeń smart
EDPS bada Europol w sprawie Pressure Cooker i danych w CFN
Europejski Inspektor Ochrony Danych potwierdził wielomiesięczne postępowanie wyjaśniające wobec Europolu, skupione na Pressure Cooker — zestawie narzędzi Internet Referral Unit do szybkiego przetwarzania danych zbieranych z internetu. Podstawą są doniesienia o repozytorium danych w sieci Computer Forensics Network, gdzie miały trafiać wrażliwe dane osobowe bez pełnych zabezpieczeń. Dokumenty wewnętrzne wskazują na poważne luki: brak rzetelnego logowania dostępu, nieograniczoną instalację oprogramowania i słabe zarządzanie hasłami. W CFN miały znajdować się billingi, transakcje finansowe, geolokalizacja i dokumenty tożsamości osób nigdy niepodejrzewanych o przestępstwo. Europol odrzuca zarzuty jako nieprawdziwe i zapowiada przeniesienie danych do New Forensic Environment oraz wygaszenie CFN, z ostatnimi projektami do pierwszego kwartału 2027 roku.
Watchdog investigates Europol over ‘irregular’ data processing claims | Computer Weekly →
Tematy: Europol i gromadzenie danych
Były zastępca szeryfa z Florydy użył Flock do śledzenia żony
Były zastępca szeryfa hrabstwa Pinellas na Florydzie, 35-letni Ronald Scott, miał ponad 100 razy użyć systemu automatycznego odczytu tablic rejestracyjnych do śledzenia byłej żony, jej nowego partnera i innych członków rodziny. Szeryf Bob Gualtieri poinformował, że mężczyzna zrezygnował dzień przed aresztowaniem 5 listopada po 10,5 roku służby. Usłyszał trzy zarzuty nieuprawnionego dostępu do komputera lub urządzenia elektronicznego oraz jeden zarzut nadużycia władzy. Wyszukiwania trwały od Walentynek do 19 czerwca, a wykryło je dopiero rozszerzone audytowanie systemu. Scott miał podawać fałszywe wyjaśnienia. To trzeci zastępca z tego hrabstwa aresztowany za podobne nadużycie w ostatnich miesiącach. Szeryf przekonuje, że to problem ludzi, nie technologii.
Deputy Accused Of Using Flock To Track Estranged Wife →
Tematy: Flock SafetyNadużycia policji w bazach danychCzytniki tablic rejestracyjnych (ALPR)
Apple zacznie moderować publiczne linki udostępniania w iCloud
Apple zapowiedział moderowanie publicznie dostępnych linków udostępniania iCloud, począwszy od wersji 27.3 systemów iOS, iPadOS, macOS i visionOS. Zgodnie ze stroną pomocy zmiana dotyczy wyłącznie treści udostępnianych linkiem dostępnym dla każdego, a nie materiałów wysyłanych bezpośrednio do konkretnych osób. Apple nie zdefiniował, co uzna za treści szkodliwe, i nie wyjaśnił, czy moderacja będzie automatyczna, czy ręczna. Firma zastrzega sobie prawo do przenoszenia, odmowy, modyfikacji, usuwania lub kasowania treści oraz blokowania kont, a w razie potrzeby kontaktu z organami ścigania. Opcja udostępniania każdemu znosi szyfrowanie end-to-end dla danego elementu, nawet przy włączonym Advanced Data Protection. Wersja 27.3 trafiła w beta do deweloperów, a premiera ma nastąpić w grudniu.
Apple turns iCloud into spy cloud, will start looking at public share links →
Tematy: AppleSzyfrowanie
Snapchat wyłączy Find Friends domyślnie dla nieletnich w Wielkiej Brytanii
Snapchat od tego miesiąca domyślnie wyłącza funkcję Find Friends dla użytkowników poniżej 18. roku życia w Wielkiej Brytanii. Funkcja wykorzystuje wiek, lokalizację oraz istniejących znajomych i obserwujących, by ułatwić dodawanie kontaktów. Oliver Griffiths z grupy ds. bezpieczeństwa online w Ofcom nazwał zmianę ważną i spóźnioną, zapowiadając rozliczenie firmy z realizacji wdrożenia w tym miesiącu. Dodał, że Snap wprowadzi skuteczne weryfikacje wieku do końca roku, a firmy, które nie poprawią ochrony młodszych użytkowników, czekają działania egzekucyjne. Ofcom może nakładać kary do 18 mln funtów lub 10 proc. światowych przychodów. Wielka Brytania planuje też zakaz mediów społecznościowych dla osób poniżej 16 lat, a Unia Europejska prowadzi formalne postępowanie wobec Snap w sprawie przepisów Digital Services Act.
Snapchat’s Find Friends feature will be off by default for UK users under 18 →
Tematy: Bezpieczeństwo dzieci w sieciWeryfikacja wieku
Rada Los Angeles chce jednej polityki prywatności dla całego miasta
Rada Miasta Los Angeles jednogłośnie przyjęła wniosek radnej Moniki Rodriguez o opracowanie jednolitej, miejskiej polityki prywatności danych. Powodem są obawy o retencję danych i prawa do prywatności w kontekście sztucznej inteligencji oraz systemów automatycznego odczytu tablic rejestracyjnych. Rada poleciła Agencji Technologii Informacyjnych i innym departamentom przedstawienie rekomendacji dotyczących standardów i zabezpieczeń zbierania, przechowywania, retencji, dostępu, udostępniania i ujawniania danych. Raporty mają też objąć cyberbezpieczeństwo, ochronę przed nieuprawnionym dostępem, dozwolone i zakazane zastosowania technologii oraz wymogi przejrzystości, rozliczalności i audytu. Rodriguez podkreśliła, że departamenty nie mogą działać według różnych standardów, a policja była już poddawana szczególnej kontroli za użycie technologii.
LA Council seeks citywide data privacy policy amid AI, ALRP tech →
Tematy: Czytniki tablic rejestracyjnych (ALPR)
Fałszywa CAPTCHA każe wklejać kod i instaluje złośliwe oprogramowanie
Oszuści wykorzystują fałszywe CAPTCHA, by nakłonić użytkowników komputerów Mac i PC do zainstalowania złośliwego kodu i kradzieży danych. Federalna Komisja Handlu wydała w tym roku ostrzeżenie o tej metodzie. Fałszywe okno pojawia się na złośliwej stronie przypominającej witrynę Amazona lub Facebooka i zamiast łamigłówki każe nacisnąć konkretne skróty klawiszowe. W systemie Windows może to być Windows+R, a potem Ctrl+V, na Macu Command-Space, wpisanie „Terminal” i Command+V. Wklejony tekst instaluje keyloggery lub spyware kradnące loginy i hasła. Prawdziwe CAPTCHA nigdy nie proszą o polecenia klawiszowe ani otwieranie terminala. FTC radzi natychmiast odłączyć komputer od internetu i uruchomić oprogramowanie bezpieczeństwa.
Beware this CAPTCHA scam designed to steal your data →
Tematy: Malware i infostealeryPhishing
Osobisty graf wiedzy na Macu dał modelowi AI plan porwania i wymuszenia
Badanie przeprowadzone na macOS 26.6.2 pokazało, że osobisty graf wiedzy asystenta AI można przekazać modelowi językowym bez zabezpieczeń i uzyskać szczegółowe plany porwania, wymuszenia oraz 14-dniowej kampanii nękania. Graf leży w jednym folderze w katalogu domowym jako kilka megabajtów bazy SQLite o niemal identycznym schemacie na każdym współczesnym Macu. Zawiera gotowe klastry twarzy, klasyfikatory rodziny, scalone tożsamości i relacje z ocenami pewności. Model wskazał partnerkę właściciela z oceną pokrewieństwa 0,95 i około 2800 zalogowanych interakcji jako cel, a dziecko jako zagrożenie eskalacyjne. W drugim scenariuszu z logu 6542 interakcji i 600 nazwanych podmiotów powstał plan kampanii nękania. Oba scenariusze wymagają pełnego dostępu do dysku.
Weaponizing Personalization: From Knowledge Graph to Extortion — Eighth Rank →
Mike Johnson odwrócił stanowisko w sprawie inwigilacji bez nakazu
Mike Johnson, który w styczniu wróci do Kongresu jako szeregowy republikanin z Luizjany, zmienił pozycję wobec inwigilacji bez nakazu w czasie kadencji jako spiker Izby Reprezentantów. Przed objęciem funkcji podpisał w 2022 roku list z Jimem Jordanem w sprawie naruszeń zasad prywatności przez FBI przy nadzorze z Sekcji 702 ustawy FISA. W lipcu 2023 roku mówił Glennovi Greenwaldowi, że nadużycia władzy przez agencje federalne spędzają mu sen z powiek. Dwa miesiące po wyborze na spikera Kongres przedłużył Sekcję 702 w pakiecie z ustawą obronną, a Johnson głosował przeciw poprawce wymagającej nakazu do przeszukiwania komunikacji Amerykanów. Tłumaczył zmianę poufną odprawą i twierdził, że prezydent Donald Trump popiera zmiany. W tym roku Kongres pozwolił Sekcji 702 wygasnąć, ale certyfikowany nadzór potrwa faktycznie do marca 2027 roku.
Mike Johnson went from FISA critic to defender of warrantless surveillance →
NT Health zakazuje smart okularów w placówkach klinicznych
Departament zdrowia Terytorium Północnego w Australii zakazał używania inteligentnych okularów we wszystkich placówkach klinicznych w ramach wewnętrznego przeglądu polityki prywatności. Powodem jest incydent w Royal Darwin Hospital, gdzie lekarka obserwator Neda Mogharehabed opublikowała na Instagramie zdjęcia i nagrania z danymi 12 ciężarnych pacjentek, docierając do 28 tys. obserwujących. Nie sugeruje się, by użyła tam smart okularów. Dyrektorka generalna Susan Bowden napisała w mailu do personelu, że noszenie kamerujących urządzeń bez informowania pacjenta obniża zaufanie i może powodować dyskomfort. Wyjątki wymagają wyraźnej zgody NT Health na uzasadniony cel kliniczny, terapeutyczny, komunikacyjny, dostępnościowy, bezpieczeństwa lub operacyjny. Sprawa została skierowana do komisarza ds. informacji i policji.
NT Health issues ban on Meta Glasses as part of review into privacy policy - ABC News →
Tematy: Prywatność urządzeń smart
Hasło wpisane na stałe w aplikację Applebee’s otworzyło bazę klientów
Badacz Robert Wiggins, korzystając z pomocy AI, znalazł hasło do bazy danych wpisane na stałe w kod aplikacji Applebee’s na Androida i uzyskał dostęp do wewnętrznej bazy klientów. W bazie znajdowały się imiona i nazwiska, adresy e-mail ze statusem weryfikacji, daty urodzenia, numery telefonów, kody pocztowe, status weterana, daty utworzenia kont i liczby logowań oraz adresy IP z ostatnich logowań. TechCrunch potwierdził ustalenia, zakładając konto z fikcyjnymi danymi. Wiggins nie znalazł sposobu zgłoszenia problemu firmie Applebee’s ani jej właścicielowi Dine Brands, więc poprosił redakcję o kontakt. Applebee’s potwierdził 29 października, że luka została naprawiona. Nie wiadomo, ile rekordów zawierała baza. Dine Brands nie znalazł dowodów nieuprawnionego dostępu, śledztwo trwa.
Applebee’s customer data exposed by password left in app | Malwarebytes →
Tematy: Odsłonięte bazy danych i błędy konfiguracji chmury
Hakerzy twierdzą, że wykradli z Rosstatu dane o setkach tysięcy zabitych
Grupy hakerskie Kiberpartizany BY i Silent Crow twierdzą, że wykradły z Federalnej Służby Statystyki Rosji około 23 terabajtów danych, w tym dokumenty wewnętrzne, statystyki demograficzne i gospodarcze oraz informacje o stratach w wojnie z Ukrainą. Według Kiberpartizany BY do 27 sierpnia 2026 roku zginęło co najmniej 393 881 obywateli Rosji. Silent Crow podaje wyższą liczbę 450 100 zabitych, bo wlicza straty pozabójowe, akty terroru i zgony osób zarejestrowanych w Rosji na terenach okupowanych. Rosja nie publikuje oficjalnych danych o stratach bojowych od września 2022 roku, a od 2024 roku Rosstat przestał publikować roczne dane o przyczynach zgonów. Redakcje Meduza i Mediazona uzyskały dostęp do opublikowanych danych i sprawdzają ich autentyczność oraz kompletność.
Rosstat hack: data obtained suggests over 390,000 Russian deaths in Ukraine war →
Tematy: Ataki hakerów państwowych
Opinia: kamery Flock pokazują potrzebę poprawki konstytucyjnej o prywatności
Autor opinii przekonuje, że rozbudowa sieci kamer Flock, czyli systemu automatycznego odczytu tablic rejestracyjnych, w USA wymaga konstytucyjnej poprawki chroniącej prywatność informacyjną. Kamery mogą pomagać w wykrywaniu kradzieży samochodów, ale przeszukiwalna baza wzorców podróży z wielu jurysdykcji jest znacznie bardziej inwazyjna niż pojedyncze zdjęcie na publicznej ulicy. Połączona z innymi danymi pozwala odtworzyć życie osobiste, w tym miejsca pobytu, kontakty, działalność polityczną, wyjazdy na aborcję czy zakupy marihuany. Czwarta poprawka ogranicza przeszukania, ale organy ścigania mogą omijać wymóg nakazu, kupując dane od sektora prywatnego. Kongres nie uchwalił szerokiej ustawy o prywatności konsumentów od ponad 25 lat, a stanowe przepisy często piszą lobbyści Big Tech. Poprawka konstytucyjna dałaby sądom narzędzie do zatrzymywania wyraźnych nadużyć.
Opinion: Flock cameras show that we need a constitutional amendment for information privacy →