Τουλάχιστον έξι αστυνομικές μονάδες του Οντάριο έχουν αναστείλει τη χρήση του προγράμματος Crime Stoppers, μία ημέρα αφού το CBC News αποκάλυψε την έκταση μιας μαζικής διαρροής δεδομένων. Οι αναστολές αναδεικνύουν ένα κεντρικό ερώτημα που εγείρει η συζήτηση για την ανωνυμία στη διαρροή δεδομένων του Crime Stoppers: τι συμβαίνει όταν μια υπηρεσία που βασίζεται σε υποσχέσεις περί απορρήτου παραβιάζεται η ίδια;

Οι παρακάτω λεπτομέρειες περιορίζονται σε όσα έχουν αναφερθεί μέχρι στιγμής. Η κατάσταση εξελίσσεται ακόμη και οι αναγνώστες θα πρέπει να παρακολουθούν για ενημερώσεις από τις αστυνομικές υπηρεσίες και το ίδιο το πρόγραμμα.

Γιατί η αστυνομία του Οντάριο ανέστειλε το Crime Stoppers

Σύμφωνα με το CBC News, τουλάχιστον έξι αστυνομικές μονάδες στο Οντάριο έχουν πλέον σταματήσει να χρησιμοποιούν το Crime Stoppers. Η αναστολή ήρθε μία ημέρα αφού ο εκφωνητής δημοσίευσε την έρευνά του για την κλίμακα μιας διαρροής δεδομένων που συνδέεται με το πρόγραμμα. Το ρεπορτάζ που προηγήθηκε, το οποίο εμφανίζεται στα αποτελέσματα αναζήτησης για την ιστορία, αναφέρει ότι περισσότερες από ένα εκατομμύριο πληροφορίες που υποβλήθηκαν στο Crime Stoppers στον Καναδά τα τελευταία 25 χρόνια εκτέθηκαν.

Η αναστολή είναι ένα προληπτικό μέτρο. Από μόνη της δεν μας λέει πώς συνέβη η διαρροή, ποιος έχει τα δεδομένα ή τι ακριβώς περιέχει κάθε αρχείο. Οι αστυνομικές υπηρεσίες που αναστέλλουν ένα κανάλι υποβολής πληροφοριών συνήθως σηματοδοτούν ότι επί του παρόντος δεν μπορούν να εγγυηθούν την ασφάλεια των ατόμων που το χρησιμοποιούν.

Για ένα πρόγραμμα που εξαρτάται από την εμπιστοσύνη του κοινού, αυτό το μήνυμα έχει σημασία. Τα άτομα που καλούν ή υποβάλλουν πληροφορίες διαδικτυακά συχνά αναφέρουν γείτονες, γνωστούς ή άτομα που φοβούνται. Αν πιστεύουν ότι η ταυτότητά τους θα μπορούσε να αποκαλυφθεί, πολλοί απλώς θα σωπάσουν.

Πώς μια ανώνυμη γραμμή υποβολής πληροφοριών μπορεί να πάψει να είναι ανώνυμη

Η ανωνυμία είναι μια υπόσχεση που δίνεται στην είσοδο, αλλά τα δεδομένα συχνά ζουν κάπου αλλού. Πολλά προγράμματα υποβολής πληροφοριών βασίζονται σε μια πλατφόρμα τρίτου μέρους για τη λήψη, αποθήκευση και δρομολόγηση των υποβολών στην αστυνομία. Αυτό σημαίνει ότι το απόρρητο ενός πληροφοριοδότη εξαρτάται από την ασφάλεια ενός προμηθευτή, όχι μόνο από την αστυνομική υπηρεσία που διαφημίζει τη γραμμή.

Πολλά πράγματα μπορούν να υπονομεύσουν την ανωνυμία ακόμη και όταν ένα άτομο δεν πληκτρολογεί ποτέ το όνομά του:

  • Λεπτομέρειες ελεύθερου κειμένου. Μια πληροφορία που περιγράφει ένα συγκεκριμένο γεγονός, χρόνο ή σχέση μπορεί να υποδείξει ένα άτομο που θα μπορούσε να το γνωρίζει.
  • Τεχνικά μεταδεδομένα. Ανάλογα με την πλατφόρμα, οι υποβολές μπορεί να συνδέονται με λεπτομέρειες όπως διευθύνσεις IP ή πληροφορίες συσκευής. Το αν αυτό συμβαίνει ποικίλλει ανάλογα με την υπηρεσία και τη διαμόρφωση.
  • Μακρά διατήρηση. Δεδομένα που διατηρούνται για χρόνια δημιουργούν ένα μεγαλύτερο παράθυρο έκθεσης. Η διαρροή που περιγράφει το CBC φέρεται να καλύπτει 25 χρόνια πληροφοριών.
  • Κανάλια επικοινωνίας. Αν ένας πληροφοριοδότης παρέχει διεύθυνση email ή αριθμό τηλεφώνου για να λαμβάνει ενημερώσεις ή ανταμοιβές, αυτή η λεπτομέρεια επικοινωνίας γίνεται άλλο ένα στοιχείο ταυτοποίησης.

Μια παραβίαση μετατρέπει όλα αυτά σε μια ενιαία δεξαμενή αναζήτησης. Ακόμη και αν τα ονόματα δεν συλλέχθηκαν ποτέ, τα μοτίβα στο περιεχόμενο μπορούν να επιτρέψουν σε άλλους να καταλάβουν ποιος είπε τι.

Αυτό είναι επίσης ένα γνωστό μοτίβο σε μεγάλες παραβιάσεις τρίτων, όπου οι επιτιθέμενοι στοχεύουν μια κοινόχρηστη υπηρεσία αντί για κάθε πελάτη ξεχωριστά. Η κάλυψή μας για την ομολογία ενοχής σε υπόθεση παραβίασης cloud 165 οργανισμών δείχνει πώς ένα μόνο σημείο πρόσβασης μπορεί να έχει αντίκτυπο σε πολλούς οργανισμούς ταυτόχρονα.

Τι συλλέγουν οι υπηρεσίες υποβολής πληροφοριών και αναφορών για εσάς

Δεν συλλέγουν όλες οι υπηρεσίες τις ίδιες πληροφορίες και οι πολιτικές δεν είναι πανομοιότυπες. Δημόσιες σελίδες απορρήτου για προγράμματα υποβολής πληροφοριών εγκλήματος σε άλλες χώρες περιγράφουν δεσμεύσεις για σεβασμό της επιλογής ενός ατόμου να παραμείνει ανώνυμο και ορισμένες δηλώνουν ότι δεν παρακολουθούν διευθύνσεις IP ή τοποθεσία. Αυτές είναι δηλώσεις πολιτικής. Αξίζει να τις διαβάσετε, αλλά δεν αποτελούν εγγύηση κατά μιας παραβίασης των υποκείμενων συστημάτων.

Όταν χρησιμοποιείτε οποιαδήποτε υπηρεσία υποβολής πληροφοριών ή αναφορών, σκεφτείτε τι μπορεί να συλλέξει:

  • Το περιεχόμενο του μηνύματός σας, συμπεριλαμβανομένων τυχόν ονομάτων, τόπων και ημερομηνιών
  • Στοιχεία επικοινωνίας, αν επιλέξετε να λαμβάνετε ενημερώσεις ή ανταμοιβές
  • Τεχνικές πληροφορίες που παράγονται από τη σύνδεση ή τη συσκευή σας
  • Συνημμένα όπως φωτογραφίες, που μπορεί να φέρουν ενσωματωμένα δεδομένα
  • Αρχεία για το πότε και πώς έγινε η υποβολή

Το ρεπορτάζ του CBC υποδηλώνει ότι στους πληροφοριοδότες ειπώθηκε ότι η πλατφόρμα ήταν ανώνυμη και ασφαλής. Το δίδαγμα δεν είναι ότι κάθε γραμμή υποβολής πληροφοριών είναι ανασφαλής, αλλά ότι μια ετικέτα από μόνη της δεν μπορεί να σας πει πώς τα δεδομένα υποβάλλονται σε επεξεργασία, αποθηκεύονται ή προστατεύονται.

Πώς να περιορίσετε την έκθεσή σας όταν υποβάλλετε πληροφορίες διαδικτυακά

Δεν μπορείτε να ελέγξετε την ασφάλεια μιας υπηρεσίας, αλλά μπορείτε να ελέγξετε τι παραδίδετε.

  • Διαβάστε πρώτα την πολιτική απορρήτου. Αναζητήστε τι συλλέγεται, για πόσο καιρό διατηρείται και ποιος το επεξεργάζεται.
  • Μοιραστείτε μόνο ό,τι είναι απαραίτητο. Αποφύγετε λεπτομέρειες που μόνο εσείς θα μπορούσατε να γνωρίζετε, εκτός αν είναι ουσιώδεις για την αναφορά.
  • Παραλείψτε προαιρετικά στοιχεία επικοινωνίας. Αν δεν χρειάζεστε ανταμοιβή ή επιστροφή κλήσης, αφήστε αυτά τα πεδία κενά.
  • Αφαιρέστε τα μεταδεδομένα των συνημμένων. Οι φωτογραφίες και τα έγγραφα μπορεί να περιέχουν λεπτομέρειες τοποθεσίας ή συσκευής. Αφαιρέστε τις όπου είναι δυνατόν.
  • Σκεφτείτε το κανάλι. Αν ένα συγκεκριμένο πρόγραμμα είναι σε αναστολή, ακολουθήστε τις οδηγίες της τοπικής σας αστυνομικής υπηρεσίας για εναλλακτικούς τρόπους αναφοράς.
  • Χρησιμοποιήστε ένα εργαλείο απορρήτου προσεκτικά. Ένα VPN μπορεί να κρύψει τη διεύθυνση IP σας από τον ιστότοπο που επισκέπτεστε, αλλά δεν μπορεί να προστατεύσει αυτά που γράφετε στην ίδια την πληροφορία ούτε να ασφαλίσει τη βάση δεδομένων της υπηρεσίας.

Τι σημαίνει αυτό για εσάς

Αν έχετε υποβάλει πληροφορίες στο Crime Stoppers στο παρελθόν, είναι λογικό να αναρωτηθείτε τι συμπεριλάβατε και αν θα μπορούσαν να σας ταυτοποιήσουν. Το ρεπορτάζ δεν διευκρινίζει ακόμη για μεμονωμένους πληροφοριοδότες τι εκτέθηκε, οπότε αποφύγετε να υποθέσετε το χειρότερο, αλλά αποφύγετε επίσης να υποθέσετε ότι είστε ασφαλείς. Παρακολουθείτε για επίσημες δηλώσεις από την τοπική σας αστυνομική υπηρεσία και το πρόγραμμα.

Αν πρέπει να αναφέρετε κάτι επείγον ή επικίνδυνο τώρα, επικοινωνήστε με τις υπηρεσίες έκτακτης ανάγκης ή ακολουθήστε τις οδηγίες της τοπικής σας αστυνομίας. Ένα πρόγραμμα σε αναστολή δεν πρέπει να σας εμποδίσει να αναζητήσετε βοήθεια σε περίπτωση έκτακτης ανάγκης.

Βασικά συμπεράσματα

Η ιστορία για την ανωνυμία στη διαρροή δεδομένων του Crime Stoppers είναι μια υπενθύμιση ότι οι υποσχέσεις περί απορρήτου είναι τόσο ισχυρές όσο τα συστήματα που βρίσκονται πίσω τους. Πριν υποβάλετε πληροφορίες σε οποιαδήποτε υπηρεσία υποβολής πληροφοριών ή αναφορών, ελέγξτε ποια δεδομένα ταυτοποίησης συλλέγει, για πόσο καιρό τα διατηρεί και αν μπορείτε να αφήσετε κενά τα προαιρετικά πεδία. Μοιραστείτε το ελάχιστο απαραίτητο και αντιμετωπίστε το περιεχόμενο του μηνύματός σας ως δυνητικά ταυτοποιητικό.

Για πλαίσιο σχετικά με το πώς συμβαίνουν μεγάλες παραβιάσεις δεδομένων τρίτων, διαβάστε την αναφορά μας για την υπόθεση παραβίασης cloud 165 οργανισμών.