調査：匿名化されたデータがどのように個人的で外部委託されるか

一週間前、彼らは私に再び電話をかけ、私が確信が持てなかったサロンで新しい車を買うことを申し出ました。発信者が私の電話番号と私の名前と愛国者をどこで入手したかについての簡単な質問に対して、直接の答えがありました-私たちは番号の容量からランダムにあなたの番号を選択しました。私はこの説明を信じなかったので、データマーケットがどのように機能するかについて質問し、ユーザーに関する情報を誰がマージできるか、インターネット独占者が「個人データに関する」法律（No. 152-FZ）をいかに簡単かつ巧みに回避できるかを理解することにしました。



誰が私のデータを収益化しているのか、そしてそれが私がこれまで使用したことのない企業（銀行、保険会社、医療センター、開発者、その他の迷惑な広告呼び出しのある組織）の手に渡る方法についてのカットを読んでください。そして、はい、これはあなたが好きなように、長い間、すべてです。



私たちの美しい国は、2020年の春と初夏を自己隔離で過ごしました。ビジネスへの財政的負担の明らかな増加、人々がどこでもマスクを着用し、自宅で仕事をしなければならない必要性に加えて、この期間は、一部の市場参加者がロシア人の個人データをどれほど簡単かつ単純であるかを明確に示しました。

バックグラウンド

自己隔離指数を評価するためのYandexサービスについて、 メディア（TheBell、Roem）でTigran Oganesovich Khudaveryanにインタビューしたことにより、この記事を書くように促されました。



要点を簡単に思い出させてください。「全国の休業日のように」政権が発表されるのとほぼ同時に、インターネットの巨人ヤンデックスは市民による自己隔離措置の遵守について定期的に報告し始めました。当局とメディアはこのデータを毎日調べました。そして今、このトピックは徐々に背景に薄れつつありますが、そのようなデータの主要な情報源への質問はどこにも行きません。



Yandexは以前、ユーザーに対する気楽な態度に関与していたので、アプリケーションによる監視の歴史を思い出しましょう。-自己隔離中の市民の現在の場所に関するデータは、ジオロケーションを備えたモバイルアプリケーションを使用して収集されたと想定するのが妥当です。そしてそれ自体、スマートガジェットを介して追跡する方法は明らかです。たとえば、首都では、一般的に露骨な話がありました-現在の法律の違反がたくさんあるにもかかわらず、モスクワのDITは、人々に別の同様の「同志少佐」との厄介な合意に署名することを強制しました。



そして、彼のインタビューの中で、Yandexのマネージングディレクターは次のように述べています。

「私たちはこれには参加しません。私たちはこの監視に参加していると常に疑われているので、これは私たちにとって痛い場所であると告白します。しかし、私たちには社内に独自の原則があります。困難な状況であっても、Yandexが設立の日から導かれてきた原則に違反してはなりません。」

-それを信じることはありません。ジャーナリストは最も重要な質問をしませんでした-Yandexがその「機密」評価を形成したデータに基づいて？無料アクセスへの答えがないため、これは重要です。インターネットの巨人は単にその方法論を開示していません。







「さまざまなYandexアプリケーションおよびサービスの使用に関するデータ」という用語は、市民の動きを監視することを意味すると考えるのが妥当です。しかし、あなたと私がそのような監視に直接同意した可能性は低いです。

データ市場の仕組み

90年代には、彼らはCD付きの市場爆弾でデータベースを販売していました。今日では、必要な連絡先のリストをさらにすばやく取得できます。どこにでも行く必要はありません。

明白だが違法な方法

ソーシャルネットワークや特別な電報チャンネルで他の人のデータを検索できます。一般の人の名前は教えません。必要に応じて自分で見つけることができると確信しています。







いくつかのより高度な市民が少し異なる操作を行う-彼らはそれは彼らがこれを行うことができるように思われる法律の記事への参照を引用しても、そのデータを以下の公共の情報源から収集され、そこから自分のウェブサイト上で提供契約を、ポスト：







唯一のニュアンスがでていることですAvito Webサイトのドキュメントには、avito.ruインターネットサイトの連絡先データベースを単独で解析することは規則によって明示的に禁止されていると記載されています。



同様に、オンラインデータベースの販売者は、考えられるすべてのソースから情報を収集します。..。これらの方法はすべて、率直に言って、「個人データに関する」法律（No. 152-FZ）の規定に違反しているため、違法です。私は、そのようなデータベースから、インターネットを介してそのような企業が自分に関する情報を一般に広めることに同意した正気の人は一人もいないと100％確信しています。

Man-in-the-middle攻撃

顧客ベースにアクセスできる企業の従業員を介して情報を漏らす方法も明らかです。この点にはあまり注意を払わないようにしましょう。



このような人々に対処する唯一の方法は、アクセス制御、連絡先ベースの適切な設計、および情報セキュリティ担当者によって開発された不正防止メカニズムの使用です。ちなみに後者は定期的に「売り手」を捕まえて法執行官に引き渡す。

データを収集する微妙な方法

インターネット企業は、それに直面して、完全に無礼になり、ユーザーデータを自由に処理する新しい方法を考え出しました。今日、この市場のすべての最大のプレーヤーは、ジェームズ・ボンド、リチャード・ソルジ、マタ・ハリ、オースティン・パワーズを合わせた彼らを羨むほど、貧しいユーザーである私たちに関する書類を集めています。さらに、そのような請求書を収集することをインターネット会社に許可したユーザーはいませんでした。



誰もがアメリカの選挙の話を聞いたことがあります。そこでは、GoogleとFacebookのユーザーに広告をターゲティングすることで共和党の勝利が保証されました。さらに、これらの企業は、広告の「ターゲットオーディエンス」を形成するサードパーティ組織であるCambridgeAnalyticsとデータを共有しました。データ収集は中国でも使用されています。現在人気のあるソーシャルネットワークも最近有名になりました。Googleの規則でも禁止されている違法な監視方法を使用する。



ロシアのヤンデックスは外国人の同僚の行動を注意深く監視し、同様の方法を使用していると言わなければなりません。会社は「非個人的なデータ」の画面の後ろに隠れています。これは、プログラマー以外の私の個人的な経験が示しているように、適切なスキルで自宅のソファに座っていても解読できます。



昨年12月、RBCに興味深い記事が掲載され、インターネット上でのユーザーの行動に関するデータを転送するためのYandexとBureau of Credit Histories（BCH）の共同プロジェクトについて説明されました。このソリューションの作成者が考案したように、銀行は、クライアントの電子メールアドレスと携帯電話番号だけを持ちながら、Yandexから必要な人に関する追加情報を受け取ることができます。



記事に名前がない情報筋によると、Yandexはハッシュ形式でデータを受信し、その後、内部アルゴリズムが特定の人物の特定の評価を決定し、この評価がBKIに返されます。これはすべて非常に簡単に見えますが、微妙な違いがあります。この記事には、Law and Business ManagementCompanyのマネージングパートナーであるAlexanderPakhomovの意見が含まれています。彼は、私のように、この手順を実行すると、匿名化されたデータが再び個人的なものになると信じています。

匿名化されたデータがどのように個人的になるか

このサービスの「内部」で何が起こっているのかを理解してみましょう。私は偉大で美しいロシアの優雅さをしばしば楽しんでおり、ヤンデックスの近代的なモスクワ事務所の会議室での会議で仕事をしていないので、これを行うのは難しいとすぐに言わなければなりません。したがって、私が間違っているか何か間違っている場合は、情報を共有し、私を訂正することをお勧めします。

ステップ1.データをハッシュする

「暗号化された」、「ハッシュされた」、または「非個人的な」データの概念でYandex自体が何を意味するかを調べることから始めましょう。そして、公共サービスYandex.Audienceがこれを支援してくれます。



その説明から、サービスは広告主が彼らの顧客に手を差し伸べることを可能にするということになる。さらに、この目標を達成するには、Yandexにいくつかの顧客ID（電話番号または電子メールアドレス）を伝える必要があります。このデータは、たとえば、テキストファイルまたはテーブルファイルとして明示的にダウンロードできます。そして、あなたは-非人格的な形でもできます。このために、MD5ハッシュアルゴリズムが使用されます。



次に、サービスは次のように機能します。Yandexは、個人データを知っている特定のユーザーを計算し、さまざまなYandexサービスおよびポータルでターゲットを絞った広告メッセージを表示します。

手順2.MD5ハッシュの復号化

技術的には、MD5クラッキングは次の4つの方法のいずれかで実行できます。

• 辞書検索
• 強引な
• レインボークラック
• ハッシュ関数の衝突

明らかに、最も速くて簡単なオプションは、レインボーテーブルを使用することです。実際、このメソッドを実装するには、ハッシュを知り、特定の基準に従ってテーブルを作成する必要があります。

ステップ3.データの比較

Yandexがデータを暗号化された形式で保存していることに疑いの余地はありません。相対的に言えば、検索エンジンには各登録ユーザーのプロファイルがあり、特に彼の電子メールアドレスと電話番号が示されています。このようなデータは簡単にハッシュ化され、必要に応じて（すでに上で見たように）、ハッシュ化が解除されます。



さらに、何らかの形で広告主から連絡先のリストを受け取ったので、Yandexが同じ識別子を含む内部データベースとそれらを比較することは難しくありません。簡単に言うと、Yandexは、ユーザープロファイルの識別子を照合して、要求された広告主のデータと照合します。これにより、特定のYandexサービスのページに入るときに、特定のユーザーにターゲットを絞って広告を表示できます。

ユーザーの一意の識別

そのようなスキームに従って作業する場合、非個人的なデータ交換に疑問の余地はありません。すべての関係者は、サービスを提供する過程で特定のユーザーを一意に識別します。信用局では、コメントと説明から判断すると、まったく同じスキームが適用されます。そして明らかに、YandexはCryptプラットフォームに疑わしいほど似ているソリューションを使用しています。



ただし、Yandexは、そのようなプロファイルをユーザーの携帯電話番号や電子メールと照合する可能性を公表したことはありません。しかし、メディア資料から学んだように、Yandexは、少なくともUnited Credit Bureauと協力している場合は、まさにこれを実行します。



すべてがすでに表面化されているので、これについて正直に顧客に伝えてみませんか？代わりに、Yandexの講演者は、「個人情報」の欠如について恥ずかしそうに話し、ロシア連邦の法律にはない他の架空の用語を引用し、市民のデータの流通と保護の問題を回避することができます。

ちょっとした練習：Yandex、152-FZの違反を見つけました！

Yandexはハッシュを分離しますか？私はこの質問に明確に答えることはできません。結局のところ、私はこの会社で働いておらず、内部の仕組みを知りません。しかし、私は2つの仮定をすることができます：

• Yandexのサーバー機能を使用すると、無塩のMD5ハッシュをすばやくデハッシュできます。
• 塩漬けのハッシュを扱うには、両方の当事者が塩を知る必要があります。

もちろん、広告主サービスの場合、無塩のハッシュが使用されます。それ以外の場合、広告主のインターフェイスには、ソルトを指定するためのフィールドが必要になります。そして、彼はそこにいません！Yandex.Audienceの説明のスクリーンショットをよく見てみましょう：[ハッシュ







されたデータ]チェックボックスの横にある質問マークに注意してください。サービス自体に移動して、この質問にカーソルを合わせてみましょう。







：私たちは3つのハッシュ参照a31259d185ad013e0a663437c60b5d0、78ee6d68f49d2c90397d9fbffc3814d1と702e8494aeb560dff987e623e71bccf8を。さらに、最初のものは明らかに何かが欠けています：31文字しかありませんが、32文字があるはずです！したがって、このハッシュはすぐに破棄します。



また、以前に作成したレインボーテーブルを介して次の2つのハッシュを復号化できませんでした。しかし、私は彼らをブルートフォースしようと決心しました。これを行うには、GeForce GTX1060クラスの6枚のビデオカードのマイニングファームを、hashcatプログラムで動作するようにエーテルマイニングから再構成する必要がありました。







11桁のマスクを使用して検索するようにプログラムに指示しました（スクリーンショットの上の矢印を参照）。その結果、私の通常の農場では、ハッシュの1つで電話番号をわずか22秒でハッシュ解除しました。 Yandexの施設でどれだけ速くハッシュをブルートフォースできるか想像してみてください！



次に、この番号の所有者を特定しましょう。Numbusterモバイルアプリでパンチしてください。







今度は検索エンジンに移動し、すぐに必要なすべての情報を取得します。







チェックとチェックメイト、Yandex、自分のサイトからのオープン情報のおかげで、数回クリックするだけで、正確にサービスを提供した人を見つけました。言うまでもなく、この記事を読んでいる人なら誰でも同じアクションを簡単に繰り返すことができますか？なぜヤロスラフにこれをしたのですか？

各ユーザーのプロファイルに含めることができるデータ

Yandexサービスを使用するには、携帯電話と電子メール番号を提供する必要があります。 Yandexは、アプリケーションとサービスを通じて、私のことをほぼすべて知っています。アクセスしたサイト（Yandex.Metricaがあり、その54％以上がRunetにあります）から、アプリケーションで指定した電話番号までです。彼はYandex.Gosuperappaからの私のルート、私の病気、音楽の私の好みを知っています。 Yandexは、私がどの劇場に行くか、どの映画を見るか、どの商品を店で買うか、どの食べ物を注文するかを知っています。



この 情報同社によれば、「主に自分たちのニーズや、顧客の好みの知識に基づいたターゲット広告の配置に使用されている」とのことです。ここで重要なのは「ほとんど」です。以前は、Yandexはユーザーに無料のサービスを提供し、インターネット上の広告から収益を上げる革新的な企業であると信じられていました。しかし、メディアからわかるように、現在、Yandexは少なくともクレジット履歴局を通じてデータを販売しています。データ転送メカニズム自体の動作をすぐ下に示します。電話番号やメールアドレスに関して、インターネットの巨人からユーザーに関する情報を購入したいと思う人はかなり多いと考えるのが妥当です。



言い換えれば、銀行、保険会社、法律会社、医療センター、開発者は、特定のサイトにアクセスした、または特定の製品を検索した人の数を取得し、広告目的で彼に電話をかけることができます。または、保険や銀行ローンの発行を拒否します。

信用局は誰にデータを販売しますか？

CRIが銀行だけでなく特定の人々に関するデータを統合することを理解するために、特別なアナリストである必要はありません。Yandexが機能する構造のウェブサイトでは、銀行のスコアリングに加えて、他のサービスも顧客に利用可能であることがわかります。

サービス「トリガービューロー」

トリガーモードでのアクションに関する情報は、銀行および保険会社に送信され







ます。このサービスのロジックに注意してください。顧客の電話番号を監視し、顧客が関心のあるアクションを実行するとすぐに、その通知を受け取ります。 ..。この場合、クライアントの特定のアクションに関するデータは送信されません。自動車保険証券の提出または発行、タクシーの注文など、対象となる行動の事実だけです。



便利ですよね？特に「顧客データはYandexでは送信および処理されない」という立場を説明する観点から？結局のところ、特定のWebサイトへのアクセスという形でのアクションに関する情報は、サイトへのアクセスに関するデータがなくても、ハッシュされた携帯電話番号を転送するだけで報告できます。そして、私が上で述べたハッシュは、ユーザーベースのハッシュと簡単に比較できます。簡単にするために、ロシアで考えられるすべての携帯電話番号の組み合わせのデータベースを取得することもできます。これは、連邦通信庁のWebサイトで入手できます。



繰り返しになりますが、Yandexに関して「暗号化された」、「ハッシュされた」、「非個人化された」データは実際にはそうではありません。そして確かに、Yandexによって説明されたスキームは、クレジットビューローの検討されたサービスのフレームワーク内でこのデータを販売することを妨げません。







Yandexマッピングサービスとその傑作Yandex.Goスーパーアプリからデータにアクセスした保険会社は、次のことを判断できます。

• 私が住んで働いている場所。
• 車で旅行する頻度。
• どのルートをたどりますか。
• 私がどれだけ速く運転しているか。
• 私の運転スタイルは何ですか-私は鋭く、無謀に、またはスムーズにブレーキをかけます。

そしてこれは推測ではありません。Yandexがこのデータを収集したという事実は、市民のデータの保護に関するヨーロッパの法律、いわゆるGDPRの導入のおかげで、2019年に知られるようになりました。それによると、どの企業も、欧州連合の市民に、それについて収集および分析するデータに関する情報を提供する義務があります。Meduza



版のジャーナリストは、リトアニアから従業員の1人に関するデータを要求したGDPR法を利用しました。



Meduzaの記事によると、ジャーナリストはYandexの従業員からアーカイブを受け取りました。このアーカイブには、とりわけ、動きの全履歴を含むファイルが含まれていました。情報は、アプリケーションがスマートフォンで起動された瞬間に、バックグラウンドを含めて追跡されました。ジャーナリストはこれを「発生した場所の正確な座標を使用してiPhoneでマップアプリケーションを起動した履歴」と呼んでいます（ファイルtraffic_sessions.csv）。



Yandexがそのような情報をロシア連邦の市民に提供していないのは興味深いことです。さらに、これまでYandexは、ユーザーに関する蓄積されたデータを誰がいつ要求したかを理解できるサービスさえ提供していませんでした。Facebookにもそのようなサービスがあり、ユーザー自身が自分に関するすべての情報を要求して表示できます。

Yandexはどのような個人情報を正確に収集しますか？

YandexのWebサイト にある法的文書を参照してみましょう。ポイント4から、インターネットの巨人がYandexのサイトやサービスを使用しながら、次のカテゴリのユーザーの個人情報を収集できることがわかりました。

• 個人情報：名前、電話番号、住所、年齢。
• 電子データ（HTTPヘッダー、IPアドレス、Cookie、Webビーコン/ピクセルタグ、ブラウザーIDデータ、ハードウェアおよびソフトウェア情報）;
• サイトおよび/またはサービスへのアクセスの日時。
• サイトやサービスの使用中のユーザーのアクティビティに関する情報：検索クエリの履歴。ユーザーが通信している相手の電子メールアドレス。電子メールの内容と添付ファイル、およびYandexシステムに保存されているファイル。
• ;
• , , ;
• , — .

?

この質問への答えは同じ文書にあります。私たちはポイント5を注意深く見ています。次のような明確な目標に加えて



、検索クエリの検索結果をユーザーに提供します。

法律で定められた義務の遵守。

ユーザーがサイトやサービスをどのように操作するかをよりよく理解するために、



Yandexは、Yandexまたは他の企業の他の製品やサービスを提供するために、個人データの収集が必要であると個別に述べています。 c「パラグラフ5）。



ただし、「個人データに関する」法律（No. 152-FZ）は分類されています：第15条は、「潜在的な消費者との直接の接触を通じて市場で商品、作品、サービスを促進するための個人データの処理は、個人データの主題の事前の同意がある場合にのみ許可される」と述べています。ユーザー側では、規制当局はFAS、Rospotrebnadzor、Roskomnadzorです。



同時に、インターネットの巨人は、個人データではなくなったとされる非個人的な個人識別子を使用して、他の企業のデータベースに自由に転送します。そして、Yandexは、独自のプライバシーポリシーの印象的なテキストの目立たない行を通じて、この「共有」する権利を確保しました。

結論の代わりに

それはすべて合法ですか？結局のところ、私はYandexに私に関する情報をだれにも開示する権利を与えませんでした。私が知っている弁護士は、インターネットデータとインターネット識別子は私たちの法律の「灰色」の分野であり、あなたに関するそのようなデータの販売についてYandexに責任を負わせることは不可能であると言います。



そして、これがどのように発生し、この収益がどのように形成されるかを正確に説明せずに、Yandexが私のデータでお金を稼ぐことはどれほど公平ですか？これは長い間、「鉄」を検索した後、すべてのサイトでさらに2週間あなたに追いつく、悪名高い鉄の宣伝だけではありませんでした..。これは、私の生活の質や、ローン、保険、医療などのソーシャルサービスやサービスの利用可能性にも直接的な影響を及ぼします。



同意します。インターネットでの私の行動に関する情報に基づく借り手または保険会社としての私の評価は、「暗闇の中で」起こり、覆い隠された条件のみに依存し、地下室に隠されたオファーにのみ依存します。これは完全に非倫理的で不透明に見えます。これは非常に迷惑です。



GDPRとロシア市民の個人データの使用に関する法律の強化にもかかわらず、インターネットの巨人は私たちに関する情報を収益化し続け、そのサービスを通じて私たちのすべての行動を絶対にオープンに監視しています。コロナウイルスの場合のように、隔離体制の遵守について住民と当局に知らせるという社会的に重要なトピックの背後にさえ隠れています。合理的な疑問が生じます-Yandexとその商用クライアント以外に誰が私たちのデータを使用していますか？