[UPDATE Tealium Statement] Wie Tracker von Drittanbietern Facebook-Tools missbrauchen, um schnell auf Ihre Benutzerdaten zuzugreifen

Facebook scheint heutzutage einfach keine Pause zu machen. Selbst wenn die Wut um den Skandal von Cambridge Analytica in den USA und darüber hinaus weiter zunimmt, scheint ein neuer Bericht darauf hinzudeuten, dass mehrere Tracker von Drittanbietern im Internet das Facebook-Anmeldesystem missbrauchen, indem sie persönlich identifizierbare Informationen über die API herausfiltern.

Zu den heimlich gesammelten Daten gehört nach Angaben der Forscher die eines Benutzers "Name, E-Mail-Adresse, Altersgruppe, Geschlecht, Gebietsschema und Profilfoto".

Dem Bericht zufolge ist die einfache Verfügbarkeit von Facebook-Daten für JavaScript-Tracker von Drittanbietern "Aufgrund der fehlenden Sicherheitsgrenzen zwischen den Skripten von Erstanbietern und Drittanbietern im heutigen Web". In diesem Fall besteht für Personen das Risiko, dass ihre Privatsphäre durch zwei verschiedene Sicherheitslücken im System beeinträchtigt wird.

Zuerst, "Wenn ein Benutzer einer Website Zugriff auf sein Social-Media-Profil gewährt, vertraut er nicht nur dieser Website, sondern auch auf dieser Website eingebetteten Dritten.". Dritte, denen Benutzer keine Berechtigung zum Zugriff auf ihre Daten erteilt haben. "Diese Skripte sind in insgesamt 434 der Top-1-Millionen-Websites eingebettet, darunter fiverr.com, bhphotovideo.com und mongodb.com.", sagt der Bericht.

Update: Tealium, das in der ursprünglichen Studie erwähnt wurde, hat uns mit einer offiziellen Erklärung zur Datenerfassung erreicht. „Als Reaktion darauf stellt Tealium klar, dass Facebook-Daten nicht in der von den Forschern beschriebenen Weise verwendet werden: „Die Software von Tealium wird von Unternehmen verwendet, um ihre eigenen Benutzerdaten zu verwalten, und Tealium selbst verwendet diese Daten nicht für irgendeinen Zweck und kauft, teilt oder verkauft diese Daten nicht. Tealium setzt sich für den Datenschutz der Kunden, eine starke Datenverwaltung und Transparenz ein. “

Zweitens, "Versteckte Tracker von Drittanbietern können auch Facebook Login verwenden, um Benutzer für gezielte Werbung zu dekanonymisieren." ohne ihr Wissen. Dies geschieht, wenn ein Benutzer die Website eines dieser Tracker direkt besucht, sie so zu einem Erstanbieter macht und den Zugriff auf einen Schatz an Facebook-Daten ermöglicht. Laut der Meldung, „Genau das haben wir bei Bandsintown gefunden. Schlimmer noch, sie haben dies auf eine Weise getan, die es jeder böswilligen Site ermöglichte, Bandsintowns Iframe einzubetten, um ihre Benutzer zu identifizieren. “.

Der Bericht wurde gestern von Forschern von Freedom to Tinker veröffentlicht - einer digitalen Initiative des Center for Information Technology Policy der Princeton University. Nach seiner Veröffentlichung hat der Social-Media-Riese eine Erklärung gegenüber TechCrunch veröffentlicht, in der er untersucht, wie JavaScript-Tracker auf Websites und Diensten von Drittanbietern mithilfe der Social-Login-APIs des Unternehmens so einfach auf die Benutzerdaten von Facebook zugreifen können.