Nejméně šest policejních jednotek v Ontariu pozastavilo své využívání programu Crime Stoppers, den poté, co CBC News odhalila rozsah masivního úniku dat. Tato pozastavení upozorňují na klíčovou otázku, kterou vyvolává debata o anonymitě v souvislosti s únikem dat Crime Stoppers: co se stane, když je služba postavená na slibech soukromí sama kompromitována?

Níže uvedené podrobnosti jsou omezeny na to, co bylo dosud reportováno. Situace se stále vyvíjí a čtenáři by měli sledovat aktualizace od policejních sborů a samotného programu.

Proč ontarijská policie pozastavila Crime Stoppers

Podle CBC News nejméně šest policejních jednotek v Ontariu nyní přestalo používat Crime Stoppers. K pozastavení došlo jeden den poté, co vysílatel zveřejnil své vyšetřování rozsahu úniku dat spojeného s programem. Reportáž, která tomu předcházela a která se objevuje ve výsledcích vyhledávání k tomuto příběhu, uvádí, že bylo odhaleno více než milion tipů zaslaných Crime Stoppers v Kanadě za posledních 25 let.

Pozastavení je preventivním krokem. Samo o sobě nám neříká, jak k úniku došlo, kdo data má nebo co přesně každý záznam obsahuje. Policejní sbory, které pozastaví kanál pro tipy, obecně signalizují, že v současnosti nemohou ručit za bezpečnost lidí, kteří jej používají.

Pro program, který závisí na důvěře veřejnosti, je tento signál důležitý. Lidé, kteří volají nebo zasílají tipy online, často nahlašují sousedy, známé nebo lidi, kterých se obávají. Pokud věří, že by jejich identita mohla vyplout na povrch, mnoho z nich prostě zůstane zticha.

Jak anonymní tipovací linka může přestat být anonymní

Anonymita je slib daný u vstupních dveří, ale data často žijí někde jinde. Mnoho tipovacích programů se spoléhá na platformu třetí strany, která přijímá, ukládá a směruje podání policii. To znamená, že soukromí tipaře závisí na bezpečnosti dodavatele, nejen na policejním sboru, který linku propaguje.

Anonymitu může podkopat několik věcí, i když člověk nikdy nenapíše své jméno:

  • Volný text. Tip popisující konkrétní událost, čas nebo vztah může ukazovat na jednoho člověka, který o tom mohl vědět.
  • Technická metadata. V závislosti na platformě mohou být podání spojena s údaji, jako jsou IP adresy nebo informace o zařízení. Zda k tomu dochází, se liší podle služby a konfigurace.
  • Dlouhá doba uchovávání. Data uchovávaná po roky vytvářejí větší okno pro odhalení. Únik, který CBC popisuje, údajně zahrnuje 25 let tipů.
  • Následné komunikační kanály. Pokud tipař poskytne e-mailovou adresu nebo telefonní číslo pro zasílání aktualizací nebo odměn, tento kontaktní údaj se stává dalším identifikačním prvkem.

Probudnění bezpečnosti z nich všech činí jeden prohledávatelný fond. I když nebyly nikdy shromažďovány názvy, vzorce v obsahu mohou ostatním umožnit zjistit, kdo co řekl.

Jde také o známý vzorec u velkých kompromitací třetích stran, kdy útočníci cílí na sdílenou službu, nikoli na každého zákazníka individuálně. Naše zpravodajství o přiznání viny v případu cloudového hacku 165 organizací ukazuje, jak jeden přístupový bod může najednou zasáhnout mnoho organizací.

Co o vás shromažďují služby pro tipy a nahlašování

Ne každá služba shromažďuje stejné informace a zásady nejsou totožné. Veřejné stránky o ochraně soukromí pro programy tipů o zločinu v jiných zemích popisují závazky respektovat volbu člověka zůstat anonymní a některé uvádějí, že nesledují IP adresy ani polohu. To jsou prohlášení o zásadách. Stojí za to si je přečíst, ale nejsou zárukou proti narušení základních systémů.

Když používáte jakoukoli službu pro tipy nebo nahlašování, zvažte, co může shromažďovat:

  • Obsah vaší zprávy, včetně jakýchkoli jmen, míst a dat
  • Kontaktní údaje, pokud se přihlásíte k následné komunikaci nebo odměnám
  • Technické informace generované vaším připojením nebo zařízením
  • Přílohy, jako jsou fotografie, které mohou obsahovat vložená data
  • Záznamy o tom, kdy a jak bylo podání provedeno

Reportáž CBC naznačuje, že tipařům bylo řečeno, že platforma je anonymní a bezpečná. Ponaučení není, že každá tipovací linka je nebezpečná, ale že samotný štítek vám nemůže říci, jak se s daty zachází, jak se ukládají nebo jak jsou chráněna.

Jak omezit své vystavení při zasílání tipu online

Nemůžete ovládat zabezpečení služby, ale můžete ovládat, co předáte.

  • Nejprve si přečtěte zásady ochrany soukromí. Hledejte, co se shromažďuje, jak dlouho se to uchovává a kdo to zpracovává.
  • Sdílejte pouze to, co je potřeba. Vyhněte se podrobnostem, které byste mohli vědět jen vy, pokud nejsou pro hlášení nezbytné.
  • Přeskočte volitelné kontaktní údaje. Pokud nepotřebujete odměnu ani zpětné volání, nechte tato pole prázdná.
  • Odstraňte metadata příloh. Fotografie a dokumenty mohou obsahovat údaje o poloze nebo zařízení. Pokud je to možné, odstraňte je.
  • Zvažte kanál. Pokud je konkrétní program pozastaven, řiďte se pokyny svého místního policejního sboru ohledně alternativních způsobů hlášení.
  • Nástroj pro soukromí používejte opatrně. VPN může skrýt vaši IP adresu před navštívenou webovou stránkou, ale nemůže ochránit to, co napíšete do samotného tipu, ani zabezpečit databázi služby.

Co to pro vás znamená

Pokud jste v minulosti zaslali tip Crime Stoppers, je rozumné se ptát, co jste uvedli a zda by vás to mohlo identifikovat. Reportáž zatím jednotlivým tipařům neobjasňuje, co bylo odhaleno, takže se vyhněte předpokladu nejhoršího, ale vyhněte se i předpokladu, že jste v bezpečí. Sledujte oficiální prohlášení svého místního policejního sboru a programu.

Pokud potřebujete nahlásit něco naléhavého nebo nebezpečného právě teď, kontaktujte záchranné složky nebo se řiďte pokyny místní policie. Pozastavený program by vám neměl bránit vyhledat pomoc v nouzi.

Klíčové poznatky

Příběh o úniku dat Crime Stoppers a anonymitě je připomínkou, že sliby soukromí jsou jen tak silné jako systémy, které za nimi stojí. Než odešlete informace jakékoli službě pro tipy nebo nahlašování, zkontrolujte, jaká identifikační data shromažďuje, jak dlouho je uchovává a zda můžete volitelná pole nechat prázdná. Sdílejte minimum nezbytné a k obsahu své zprávy přistupujte jako k potenciálně identifikujícímu.

Pro kontext o tom, jak dochází k velkým kompromitacím dat třetích stran, si přečtěte naši zprávu o případu cloudového hacku 165 organizací.