ФБР напоминает: ваши данные в китайских приложениях могут принадлежать не только вам
Похоже, американские спецслужбы решили снова напомнить миру, что бесплатный сыр бывает только в мышеловке, а бесплатные фильтры для лица или редакторы видео — в базах данных Пекина. Федеральное бюро расследований США (FBI) опубликовало очередное предупреждение о использовании программного обеспечения, разработанного в КНР. Речь не о том, что каждая игра или утилита является вирусом по умолчанию, но контекст гораздо сложнее, чем просто «плохой код».
Главная претензия Бюро заключается в особенностях китайского законодательства. Согласно нормам национальной безопасности Китая, любая местная компания обязана сотрудничать с государственными органами и предоставлять доступ к своим серверам по первому требованию. Это автоматически превращает любое популярное приложение в потенциальный инструмент сбора разведданных, независимо от того, насколько прозрачным хочет казаться его разработчик.
Цифровая пылесосная установка в кармане
Бюро акцентирует внимание на том, что пользователи часто игнорируют перечень разрешений, которые они предоставляют программам. Особенно это касается платформ, предлагающих «пригласить друзей». При настройках по умолчанию разработчики могут годами хранить вашу личную информацию: имена, электронные адреса, физическое местоположение и полные копии адресных книг. Даже если вы удалите программу, ваши данные могут оставаться на серверах в Китае столько, сколько компания сочтет нужным.
Кроме того, контрразведывательные подразделения отмечают, что политики конфиденциальности часто написаны максимально расплывчато. Это позволяет легально перемещать массивы данных между юрисдикциями, где реальная защита приватности практически отсутствует, а системные запросы пользователей становятся достоянием третьих лиц.
Когда софт превращается в «троянского коня»
Проблема не ограничивается только легальным сбором метаданных. Часть китайского софта содержит скрытый вредоносный код, который способен выходить за рамки разрешенных пользователем полномочий. Речь о бэкдорах для повышения привилегий, позволяющих удаленно загружать дополнительные пакеты и получать несанкционированный доступ к системе. Это уже не просто маркетинг, а прямая угроза кибербезопасности.
Ситуация в официальных магазинах также далека от идеальной. Недавно было выявлено более 50 программ в Google Play, которые успешно маскировали вредоносное ПО. В сумме их загрузили более 2 000 000 раз. Если же вы привыкли устанавливать софт с сторонних сайтов или сомнительных репозиториев, риск получить «подарок» в виде трояна, эксплуатирующего уязвимости ОС, возрастает в геометрической прогрессии.
Как не стать цифровым товаром
ФБР не призывает к полной цифровой аскезе, но предлагает придерживаться базовой гигиены. Во-первых, стоит отключать любой обмен данными, который не является критическим для работы программы. Во-вторых, регулярное обновление операционной системы — это закрытие тех самых уязвимостей, через которые работают вредоносные пакеты. И, конечно, смена паролей и чтение пользовательских соглашений хотя бы по диагонали поможет понять, не подписываете ли вы согласие на пожизненное хранение ваших контактов на серверах в Шэньчжэне.