Маркус Хатчинс (он же MalwareTech), остановивший в свое время WannaCry (но замешанный в банковском вредоносном ПО Kronos и за это арестованный в США), легко отделался. Ему засчитали уже отсиженный за время следствия год, отменили штрафы и вернут домой в Великобританию, с запретом возвращаться в США. Легко обделался.
https://techcrunch.com/2019/07/26/marcus-hutchins-sentenced-kronos/
https://www.vice.com/en_us/article/9kxewv/malwaretech-wannacry-ransomware-sentencing
https://techcrunch.com/2019/07/26/marcus-hutchins-sentenced-kronos/
https://www.vice.com/en_us/article/9kxewv/malwaretech-wannacry-ransomware-sentencing
TechCrunch
Marcus Hutchins, malware researcher and ‘WannaCry hero,’ sentenced to supervised release
Marcus Hutchins, the malware researcher who became known as an “accidental hero” for stopping the WannaCry ransomware attack in 2017, has been sentenced to supervised release for one year on charges of making and selling the Kronos banking malware.
Последняя тема с голосовыми помощниками - материал в Guardian о том, что у Apple, как и у Google, Amazon и Яндекс, есть команда людей, которые получают небольшие сегменты голосовых записей команд Siri для последующей обработки и улучшения систем распознавания.
https://www.theguardian.com/technology/2019/jul/26/apple-contractors-regularly-hear-confidential-details-on-siri-recordings
В результате к прослушивающим попадают и записи от случайных срабатываний, в том числе содержащие какую-то личную информацию. Что отличает этот кейс от других - позиция Apple, которая давно и много говорит о защите частной информации. И хотя проверяемые аудиозаписи составляют небольшой объём от общего количества запросов (менее 1%) и отвязаны от данных типа Apple ID, но что-то личное просочиться все равно может. При этом Apple до этого момента открыто не раскрывала тот факт, что часть аудиозаписей прослушивается живыми людьми. В политике конфиденциальности компании есть только такой момент:
We may collect and store details of how you use our services, including search queries. This information may be used to improve the relevancy of results provided by our services. Except in limited instances to ensure quality of our services over the Internet, such information will not be associated with your IP address.
Официальный комментарий компании по этому поводу следующий:
“A small portion of Siri requests are analysed to improve Siri and dictation. User requests are not associated with the user’s Apple ID. Siri responses are analysed in secure facilities and all reviewers are under the obligation to adhere to Apple’s strict confidentiality requirements.” The company added that a very small random subset, less than 1% of daily Siri activations, are used for grading, and those used are typically only a few seconds long.
Короче, формально как-то и не придерёшься, а по сути какая-то фигня. Для компании, которая использует свой подход к конфиденциальности пользовательских данных в качестве отличия от конкурентов, это прям очень существенное упущение. Неважно, что там прослушивание происходит «анонимно и в защищённых местах», у пользователей должна быть четкая возможность узнать о такой функциональности и принять решение о том, могут ли записи использоваться для изучения, или не могут. Либо трусы, либо крестик.
https://www.theguardian.com/technology/2019/jul/26/apple-contractors-regularly-hear-confidential-details-on-siri-recordings
В результате к прослушивающим попадают и записи от случайных срабатываний, в том числе содержащие какую-то личную информацию. Что отличает этот кейс от других - позиция Apple, которая давно и много говорит о защите частной информации. И хотя проверяемые аудиозаписи составляют небольшой объём от общего количества запросов (менее 1%) и отвязаны от данных типа Apple ID, но что-то личное просочиться все равно может. При этом Apple до этого момента открыто не раскрывала тот факт, что часть аудиозаписей прослушивается живыми людьми. В политике конфиденциальности компании есть только такой момент:
We may collect and store details of how you use our services, including search queries. This information may be used to improve the relevancy of results provided by our services. Except in limited instances to ensure quality of our services over the Internet, such information will not be associated with your IP address.
Официальный комментарий компании по этому поводу следующий:
“A small portion of Siri requests are analysed to improve Siri and dictation. User requests are not associated with the user’s Apple ID. Siri responses are analysed in secure facilities and all reviewers are under the obligation to adhere to Apple’s strict confidentiality requirements.” The company added that a very small random subset, less than 1% of daily Siri activations, are used for grading, and those used are typically only a few seconds long.
Короче, формально как-то и не придерёшься, а по сути какая-то фигня. Для компании, которая использует свой подход к конфиденциальности пользовательских данных в качестве отличия от конкурентов, это прям очень существенное упущение. Неважно, что там прослушивание происходит «анонимно и в защищённых местах», у пользователей должна быть четкая возможность узнать о такой функциональности и принять решение о том, могут ли записи использоваться для изучения, или не могут. Либо трусы, либо крестик.
the Guardian
Apple contractors 'regularly hear confidential details' on Siri recordings
Workers hear drug deals, medical details and people having sex, says whistleblower
в рамках минимизации политоты в канале просто набор ссылок про кибервойны . там и Россия, и США, и Германия, и Иран, и много кибер-убер-пупер. Попкорна и пива нужно много. За часть ссылок спасибо читателям.
https://www.nytimes.com/2019/06/22/us/politics/us-iran-cyber-attacks.html
https://web.br.de/interaktiv/winnti/english/
https://www.nytimes.com/2019/06/17/world/europe/russia-us-cyberwar-grid.html
https://www.wired.com/story/triton-hackers-scan-us-power-grid/
https://www.nytimes.com/2019/06/15/us/politics/trump-cyber-russia-grid.html
https://techcrunch.com/2019/07/22/cyber-threats-from-the-u-s-and-russia-are-now-focusing-on-civilian-infrastructure/
https://www.nytimes.com/2019/06/22/us/politics/us-iran-cyber-attacks.html
https://web.br.de/interaktiv/winnti/english/
https://www.nytimes.com/2019/06/17/world/europe/russia-us-cyberwar-grid.html
https://www.wired.com/story/triton-hackers-scan-us-power-grid/
https://www.nytimes.com/2019/06/15/us/politics/trump-cyber-russia-grid.html
https://techcrunch.com/2019/07/22/cyber-threats-from-the-u-s-and-russia-are-now-focusing-on-civilian-infrastructure/
NY Times
U.S. Carried Out Cyberattacks on Iran (Published 2019)
The operation went forward because it was intended to be below the threshold of armed conflict — using the same shadow tactics that Iran has used.
Воу, воу, мегаутечка у банка Сaptial One в США.
19 июля банк обнаружил, что была взломана база заявок на открытие кредитных карт банка. Сам несанкционированный взлом произошёл 22 и 23 марта 2019 года. Были украдены заявки людей, которые подавались на открытие карт в период между 2005 и 2019 годом.
Это около примерно 100 млн человек в США и еще около 6 млн человек в Канаде.
Среди украденных данных:
- персональная информация: имена, адреса, номера телефонов, адреса электронной почты, даты рождения и самостоятельно указанный доход
- финансовая информация: кредитный рейтинг, текущий баланс, история платежей
- около 140 тысяч номеров социального страхования в США, около 1 млн канадских номеров социального страхования
- данные о транзакциях за примерно 23 дня, которые «размазаны» между 2016 и 2018 годами.
http://press.capitalone.com/phoenix.zhtml?c=251626&p=irol-newsArticle&ID=2405043
Что отличает этот взлом от многих других — злоумышленник, осуществивший взлом, уже арестован. Ею оказалась женщина из Сиэтла по имени Paige A. Thompson, причем арестовали её по результатам заявлений, которые она сама делала в онлайне, хвастаясь этим взломом. Она работала в неназванной на данный момент компании по предоставлению облачных услуг, и (сюрприз!) банк был клиентом этой компании. Хорошие новости также в том, что она, похоже, никуда не успела продать эти данные.
https://www.washingtonpost.com/national-security/capital-one-data-breach-compromises-tens-of-millions-of-credit-card-applications-fbi-says/2019/07/29/72114cc2-b243-11e9-8f6c-7828e68cb15f_story.html
IT NEVER ENDS, THIS SHIT
19 июля банк обнаружил, что была взломана база заявок на открытие кредитных карт банка. Сам несанкционированный взлом произошёл 22 и 23 марта 2019 года. Были украдены заявки людей, которые подавались на открытие карт в период между 2005 и 2019 годом.
Это около примерно 100 млн человек в США и еще около 6 млн человек в Канаде.
Среди украденных данных:
- персональная информация: имена, адреса, номера телефонов, адреса электронной почты, даты рождения и самостоятельно указанный доход
- финансовая информация: кредитный рейтинг, текущий баланс, история платежей
- около 140 тысяч номеров социального страхования в США, около 1 млн канадских номеров социального страхования
- данные о транзакциях за примерно 23 дня, которые «размазаны» между 2016 и 2018 годами.
http://press.capitalone.com/phoenix.zhtml?c=251626&p=irol-newsArticle&ID=2405043
Что отличает этот взлом от многих других — злоумышленник, осуществивший взлом, уже арестован. Ею оказалась женщина из Сиэтла по имени Paige A. Thompson, причем арестовали её по результатам заявлений, которые она сама делала в онлайне, хвастаясь этим взломом. Она работала в неназванной на данный момент компании по предоставлению облачных услуг, и (сюрприз!) банк был клиентом этой компании. Хорошие новости также в том, что она, похоже, никуда не успела продать эти данные.
https://www.washingtonpost.com/national-security/capital-one-data-breach-compromises-tens-of-millions-of-credit-card-applications-fbi-says/2019/07/29/72114cc2-b243-11e9-8f6c-7828e68cb15f_story.html
IT NEVER ENDS, THIS SHIT
Наташенька (она же Натали Сильванович, http://natashenka.ca/about/), сотрудник Google Project Zero, обнаружила 6 уязвимостей в iMessage (системе сообщений для iOS-устройств Apple). Информация о 5 уязвимостях опубликована, так как в последнем апдейте iOS 12.4 Apple исправила эти баги:
https://bugs.chromium.org/p/project-zero/issues/list?q=label%3AiMessage&can=1
а вот информация о шестой (CVE-2019-8641) пока что скрыта, так как выкаченный фикс не исправил ее. 4 из 6 уязвимостей приводили к исполнению вредоносного кода на удаленном iOS-устройстве, без участия пользования. То есть при получении сообщения код исполнялся без какого-либо взаимодействия со стороны пользователя. остальные уязвимости приводили к утечке памяти и чтению файлов на устройстве жертвы. Детальная презентация этих уязвимостей пройдет на Black Hat в Лас Вегасе на следующей неделе.
Надо отдать должное исследователям, которые находят такие баги и передают информацию о них разработчикам. Подобные уязвимости iOS на рынке могут стоить 1-2 млн долл за штуку. А пользователям айфонов хочется только посоветовать включить автоматические апдейты, и убедиться, что 12.4 уже установлена.
https://bugs.chromium.org/p/project-zero/issues/list?q=label%3AiMessage&can=1
а вот информация о шестой (CVE-2019-8641) пока что скрыта, так как выкаченный фикс не исправил ее. 4 из 6 уязвимостей приводили к исполнению вредоносного кода на удаленном iOS-устройстве, без участия пользования. То есть при получении сообщения код исполнялся без какого-либо взаимодействия со стороны пользователя. остальные уязвимости приводили к утечке памяти и чтению файлов на устройстве жертвы. Детальная презентация этих уязвимостей пройдет на Black Hat в Лас Вегасе на следующей неделе.
Надо отдать должное исследователям, которые находят такие баги и передают информацию о них разработчикам. Подобные уязвимости iOS на рынке могут стоить 1-2 млн долл за штуку. А пользователям айфонов хочется только посоветовать включить автоматические апдейты, и убедиться, что 12.4 уже установлена.
natashenka
About
I’m Natalie Silvanovich and I like to hack Tamagotchis! By day, I’m a Security Engineer on Project Zero at Google, where my work involves breaking Flash among other things, but unfortun…
10 серьезных утечек 2019 года (пока что):
https://searchsecurity.techtarget.com/news/252467602/2019-data-breach-disclosures-10-of-the-biggest-so-far
https://searchsecurity.techtarget.com/news/252467602/2019-data-breach-disclosures-10-of-the-biggest-so-far
Security
2019 data breach disclosures: 10 of the biggest -- so far
As expected, the list of 2019 data breach disclosures is long and features a number of well-known enterprises. Here's a look at 10 of the biggest and most notable data disclosures for the first hal...
камера с огромным количеством отзывов на Амазон, и бонусом в виде возможности прослушивать аудио с камеры по HTTP без аутентификации. Удобно!
https://medium.com/tenable-techblog/i-always-feel-like-somebodys-w̶a̶t̶c̶h̶i̶n̶g̶-listening-to-me-938cc14aa13c
https://medium.com/tenable-techblog/i-always-feel-like-somebodys-w̶a̶t̶c̶h̶i̶n̶g̶-listening-to-me-938cc14aa13c
Medium
I Always Feel Like Somebody’s W̶a̶t̶c̶h̶i̶n̶g̶ Listening to Me
Amcrest Camera Unauthenticated, Remote Audio Streaming
интересная тема о возможности подмены электронных данных, которые ходят по CAN-шине в небольших самолетах. Не то, чтобы прям новость, если уж есть физический доступ к устройству, но подчеркивает "электронизацию" всего вокруг и тот факт, что дальше будет только хуже. Луддиты всех стран, объединяйтесь!
https://blog.rapid7.com/2019/07/30/new-research-investigating-and-reversing-avionics-can-bus-systems/
https://blog.rapid7.com/2019/07/30/new-research-investigating-and-reversing-avionics-can-bus-systems/
Rapid7
[Security Research] CAN Bus Network Integrity in Avionic Systems | Rapid7 Blog
Rapid7's recently released research report examines the security (or lack thereof) of CAN bus networks in small aircraft.
Читатель прислал ссылку на исследование, которое продемонстрировало уязвимости и недостатки реализации протокола Apple Wireless Direct Link (AWDL). Этот протокол используют iOS-устройства и компьютеры Mac для передачи информации и файлов между собой в рамках функциональности AirDrop. Так вот, в рамках исследования эксперты продемонстрировали, как, перехватывая частичную информацию, можно вычислить номер телефона iPhone при передаче файлов или изображений. При передаче транслируется часть SHA256 хеша, и исследователи по трем байтам могут определить полный номер телефона жертвы. Не то, чтобы это была мегауязвимость, и в целом исследователи сами признают, что это вопрос баланса между безопаностью, удобством и обеспечением работы функциональности, но если вас это напрягает, то можно выключить AirDrop, чтобы ничего не транслировать.
https://hexway.io/blog/apple-bleee/
https://www.usenix.org/system/files/sec19fall_stute_prepub.pdf
https://hexway.io/blog/apple-bleee/
https://www.usenix.org/system/files/sec19fall_stute_prepub.pdf
Hexway
Hexway Apple bleee. Everyone knows what’s on your iPhone | Hexway
Users value their privacy, and Apple understands that. We even see related PR activities. "What happens on your iPhone, stays on your iPhone." Let's see if it's true. TL;DR If Bluetooth is ON on your…
красиво работает уязвимость в iOS iMessage, позволяющая воровать файлы. Кто не проапдейтился до 12.4, тот сам виноват (ну и Эпол, конечно, с такими-то дырами)
https://www.youtube.com/watch?v=ld2m0CPR1nM
https://www.youtube.com/watch?v=ld2m0CPR1nM
YouTube
Remotely Stole Files Through iMessage on iOS 12.3.1 (CVE-2019-8646 by natashenka)
Remotely Stole Files Through iMessage on iOS 12.3.1 (CVE-2019-8646 by natashenka)
Twitter @ SparkZheng
Reference: https://bugs.chromium.org/p/project-zero/issues/detail?id=1858
Twitter @ SparkZheng
Reference: https://bugs.chromium.org/p/project-zero/issues/detail?id=1858
Тема аудиозаписей, собираемых Siri на iPhone и прочих гаджетах Apple, часть из которых затем анализируется живыми людьми, приобрела некое продолжение. Apple рассказала Теккранч, что компания приостанавливает процесс анализа записей, и пересмотрит саму процедуру того, как это происходит в будущем. Более того, компания выпустит апдейт для своих продуктов, который сделает очевидным запрос для пользователей о том, хотят ли они, чтобы их записи были использованы для анализа и последующего обучения.
https://techcrunch.com/2019/08/01/apple-suspends-siri-response-grading-in-response-to-privacy-concerns/
в то же время у the verge выходит материал о том, как сложно у Apple удалить записи, которые собрала Siri у пользователей (в отличие от Google или Amazon). Надеюсь, что вместе с опцией не участвовать в анализе Apple добавит и опцию по нормальному удалению данных, пусть и анонимизированных.
https://www.theverge.com/2019/8/2/20734681/apple-siri-privacy-settings-how-to-delete-voice-servers
Ну и продолжая тему голосовых помощников, записей и анализов их людьми. В прошлом месяце я писал про то, что у Google есть подобная Apple лаборатория, где живые люди анализируют записи. Тогда Google тоже достаточно быстро отреагировала и приостановила анализ данных людьми. Но Европа не дремлет, и в рамках GDPR специальный орган ЕС приказал Google прекратить безобразия, и, скорей всего, Google не сможет продолжать делать это в Европе. Непонятно, как вообще в этом случае объединять необходимые исследования и ограничения конфиденциальности.
https://datenschutz-hamburg.de/pressemitteilungen/2019/08/2019-08-01-google-assistant
https://techcrunch.com/2019/08/01/apple-suspends-siri-response-grading-in-response-to-privacy-concerns/
в то же время у the verge выходит материал о том, как сложно у Apple удалить записи, которые собрала Siri у пользователей (в отличие от Google или Amazon). Надеюсь, что вместе с опцией не участвовать в анализе Apple добавит и опцию по нормальному удалению данных, пусть и анонимизированных.
https://www.theverge.com/2019/8/2/20734681/apple-siri-privacy-settings-how-to-delete-voice-servers
Ну и продолжая тему голосовых помощников, записей и анализов их людьми. В прошлом месяце я писал про то, что у Google есть подобная Apple лаборатория, где живые люди анализируют записи. Тогда Google тоже достаточно быстро отреагировала и приостановила анализ данных людьми. Но Европа не дремлет, и в рамках GDPR специальный орган ЕС приказал Google прекратить безобразия, и, скорей всего, Google не сможет продолжать делать это в Европе. Непонятно, как вообще в этом случае объединять необходимые исследования и ограничения конфиденциальности.
https://datenschutz-hamburg.de/pressemitteilungen/2019/08/2019-08-01-google-assistant
TechCrunch
Apple suspends Siri response grading in response to privacy concerns
In response to concerns raised by a Guardian story last week over how recordings of Siri queries are used for quality control, Apple is suspending the program world wide. Apple says it will review the process that it uses, called grading, to determine whether…
немножко накопившихся утечек-взломов за последние пару дней:
stockX, который своим поведением (сначала сбросили пароли, потом объясняли это обновлением, потом нехотя признали попытку несанционированного доступа), показывают, как не нужно себя вести в подобных ситуациях
https://stockx.com/news/update-on-data-security-issue/
Monzo, модный растущий банк из Великобритании, рассказал, что какое-то время неправильно хранил PIN-коды клиентов в своих внутренних системах
https://monzo.com/blog/2019/08/05/weve-fixed-an-issue-storing-some-customers-pins
E3 Expo случайно выложили Excel-файл с персональными данными на 2+ тысячи журналистов
https://kotaku.com/e3-expo-leaks-the-personal-information-of-over-2-000-jo-1836936908
Сегодня наткнулся на новость месячной давности об утечке 450 тысяч логинов и паролей Ozon, которую я как-то пропустил (ну, или не нашел в истории)
https://www.rbc.ru/technology_and_media/10/07/2019/5d25c3d99a794775f79f0816
https://thebell.io/utechka-v-ozon-chem-ona-grozit-kompanii-i-polzovatelyam/
stockX, который своим поведением (сначала сбросили пароли, потом объясняли это обновлением, потом нехотя признали попытку несанционированного доступа), показывают, как не нужно себя вести в подобных ситуациях
https://stockx.com/news/update-on-data-security-issue/
Monzo, модный растущий банк из Великобритании, рассказал, что какое-то время неправильно хранил PIN-коды клиентов в своих внутренних системах
https://monzo.com/blog/2019/08/05/weve-fixed-an-issue-storing-some-customers-pins
E3 Expo случайно выложили Excel-файл с персональными данными на 2+ тысячи журналистов
https://kotaku.com/e3-expo-leaks-the-personal-information-of-over-2-000-jo-1836936908
Сегодня наткнулся на новость месячной давности об утечке 450 тысяч логинов и паролей Ozon, которую я как-то пропустил (ну, или не нашел в истории)
https://www.rbc.ru/technology_and_media/10/07/2019/5d25c3d99a794775f79f0816
https://thebell.io/utechka-v-ozon-chem-ona-grozit-kompanii-i-polzovatelyam/
Monzo
We’ve fixed an issue that meant we weren’t storing some customers’ PINs correctly
No information has been exposed outside Monzo, and there’s no evidence that this data has been used for fraud. We’ve updated the app, and we’ve contacted some of you to let you know you should change your PIN as a precaution.
АПД. Забыл еще CafePress, популярный сайт с футболками и прочим мерчем. 23 млн юзеров, всем спросили пароли под видом изменения внутренней политики (молодцы какие).
https://www.theregister.co.uk/2019/08/05/cafebreach_breach_23m_user_records/
https://www.theregister.co.uk/2019/08/05/cafebreach_breach_23m_user_records/
www.theregister.co.uk
We've, um, changed our password policy, says CafePress amid reports of 23m pwned accounts
Three-quarters of email addys already in breach database
ух! Qualpwn, уязвимости в чипах Qualcomm, включая такую, которая позволяет получить доступ к телефону удаленно и скомпроментировать Android Kernel
информация об уязвимостях
https://blade.tencent.com/en/advisories/qualpwn/
информация о фиксах
https://source.android.com/security/bulletin/2019-08-01
https://www.qualcomm.com/company/product-security/bulletins
полная информация будет раскрыта на Blackhat и DEFCON
информация об уязвимостях
https://blade.tencent.com/en/advisories/qualpwn/
информация о фиксах
https://source.android.com/security/bulletin/2019-08-01
https://www.qualcomm.com/company/product-security/bulletins
полная информация будет раскрыта на Blackhat и DEFCON
Tencent
QualPwn - Exploiting Qualcomm WLAN and Modem Over The Air
Tencent Blade Team
В кои-то веки хорошие новости в канале: Казахстан остановил внедрение государственного сертификата, который бы позволил компании перехватывать и анализировать трафик пользователей интернет. Говорят, «это был тест».
https://www.reuters.com/article/us-kazakhstan-internet-surveillance/kazakhstan-halts-introduction-of-internet-surveillance-system-idUSKCN1UX0VD
https://www.reuters.com/article/us-kazakhstan-internet-surveillance/kazakhstan-halts-introduction-of-internet-surveillance-system-idUSKCN1UX0VD
Reuters
Kazakhstan halts introduction of internet surveillance system
ALMATY (Reuters) - Kazakhstan has halted the implementation of an internet surveillance system criticized by lawyers as illegal, with the government describing its initial rollout as a test.
было много разговоров в последнее время о том, как Google, Apple, Amazon используют живых людей для проверки некоторых аудиозаписей, собираемых голосовыми ассистентами компаний. Основная проблема заключалась в том, что толком было непонятно, что это происходит и что какие-то частные данные могут попасть к тем людям, которые занимаются такими проверками. Так вот, тут оказалось, что в подобной ситуации оказалась и Microsoft, с помощницей Кортаной, а также со звонками Skype. У Скайпа есть функция перевода голосовых звонков, которая работает на основе AI, но оказалось, что некоторые звонки также попадают на прослушивание живым людям, и там тоже встречается персональная информация (в статье по ссылке ниже фигурирует наличие секса по телефону, который слушали проверяющие Microsoft)
https://www.vice.com/en_us/article/xweqbq/microsoft-contractors-listen-to-skype-calls
https://www.vice.com/en_us/article/xweqbq/microsoft-contractors-listen-to-skype-calls
Vice
Revealed: Microsoft Contractors Are Listening to Some Skype Calls
Documents, screenshots, and audio obtained by Motherboard show that humans listen to Skype calls made using the app's translation function.
Домашняя сигнализация глушится устройством за 2 доллара. Очень удобно! (рубрика #люблютакое)
https://www.youtube.com/watch?v=UlNkQJzw4oA
https://www.youtube.com/watch?v=UlNkQJzw4oA
YouTube
[935] SimpliSafe Alarm Bypassed With a $2 Device From Amazon
Твиттер "недавно обнаружил", что рекламные настройки некоторых пользовательских аккаунтов работали "не так, как предполагалось". В результате это могло приводить к тому, что рекламодателю при переходе пользователя по рекламной ссылке могла передаваться информация о стране местоположения пользователя. Во втором случае пользователям могла показываться реклама на основании предпочтений пользователей, даже если пользователь не давал разрешения на трекинг.
https://help.twitter.com/en/ads-settings
https://help.twitter.com/en/ads-settings
Twitter
An issue with your settings choices related to ads on Twitter