Еще в августе я писал про австралийского подростка, который накопал каких-то бэкдоров в системы Apple, и накачал оттуда гигабайты данных (тогда фигурировало число в 90ГБ). В процессе расследования у него в итоге обнаружилось более 1 терабайта(!) деликатной информации Apple, которую он накачал за время своих похождений. Его взломы проходили в период с июня 2015г до ноября 2016 года, а также в апреле 2017 года. Apple утверждает, что утечки пользовательских данных не было. Теперь он получил 8 месяцев испытательного срока за свои преступления.

https://www.bloomberg.com/news/articles/2018-09-27/teen-apple-hacker-sentenced-to-8-months-probation-in-australia

PS Совет: если занимаетесь взломами, не храните на столе папку "Hacky Hack Hack Methods Exclude" с описанием методов взломов (как делал это герой этой истории).

Каждый раз, когда мне пишут "фейсбук точно меня слушает", я закатываю глаза и думаю "мы даже не представляем себе, сколько всего о нас знает Facebook для того, чтобы попадать в нас рекламой". На неделе вышла интересная статья в Gizmodo об исследовании про так называемые "теневые" профили пользователей. Речь идет об информации, которую пользователь как бы напрямую в Facebook не загружал, но у Facebook она есть, и может быть использована для таргетирования пользователя рекламой.

Давно известный пример, о котором я как-то уже писал. Вы, может, и не хотели бы отдавать свой номер телефона в Facebook, но кто-то из ваших друзей умудрился залить в ФБ всю свою адресную книгу, и привет — ваш номер телефона и ваше имя уже есть у ФБ, и, скорей всего, будет привязано к вашему профилю. А потом рекламодатели приходят в ФБ, загружают туда списки номеров телефонов или адресов электронной почты, и таргетируют прямо конкретных пользователей социальной сети. Но в статьей есть и хуже пример.


Необязательно вводить свой номер телефона в свою "контактную" часть профиля, чтобы он стал доступен для рекламодателей. До недавнего времени (мая этого года), чтобы настроить двухфакторую аутентификацию для входа в Facebook (понятное дело, для защиты аккаунта), нужно было ввести номер телефона, а на него потом приходили сообщения с кодом. В мае ситуация изменилась, но номера-то у Facebook остались, плюс далеко не все перешли на безтелефонную 2FA. Так вот, оказалось, что номера телефонов, которые пользователи вводили для 2FA, могут тоже быть использованы для таргетинга рекламой, хотя никакой информации об этом на странице настроек безопасности, разумеется, не было.

Но основное резюме, конечно, это то, что пользователи просто не имеют возможности контролировать то, что Facebook знает о них, когда речь заходит о теневых профилях и информации, которую пользователь самостоятельно не отдавал Facebook. В общем, спасения нет и всё тлен.

PS пока я писал эту статью, на The New York Times вышла новость о том, что Facebook стал жертвой компьютерного взлома, в результате которого до 50 млн пользовательских записей могло быть прочитано злоумышленниками (якобы некая уязвимость позволяла получить контроль над учетной записью пользователя). fuck this shit.

Если вы пользуетесь Telegram на Маке или Windows, вам будет интересно узнать об обнаруженной в продукте уязвимости, позволявшей выяснить IP адрес собеседника при голосовом p2p звонке. В вышедшем обновлении Telegram теперь появилась возможность настроить и другие опции при голосовых звонках, что минимизирует риски с этой проблемой.

Об уязвимости
https://www.inputzero.io/2018/09/bug-bounty-telegram-cve-2018-17780.html

Официальное письмо из Эппл в американский Конгресс. Чтобы долго не читать: все что написано в Блумберге про чипы — заблуждение или ложь, если бы мы нашли что-то такое у себя, мы бы об этом вам рассказали.

Чем больше оправданий, тем подозрительнее, не находите? https://www.documentcloud.org/documents/4995755-Apple-Bloomberg-Congressional-Letter.html

Итак, Гугл+ официально все. Понадобилось 7 лет, чтобы закрыть то, чего не надо было запускать.
Если серьезно, то гугл плюс принес в мир интернет-проектов много новых и сильных концепций в интерфейсах. Показал другим корпорациям, что такое настоящая принудительная интеграция продуктов. Ввел идею “кругов”, которую никто так и не повторил, хотя она кажется правильной. Но никто не будет жалеть о закрытом гуглплюс. По признанию самого гугла, последние годы у 90% посетителей плюса сессии не превышали 5 секунд”. При этом последней каплей для закрытия явилось обнаружение утечки данных персональных данных около полумиллиона пользователей.

https://blog.google/technology/safety-security/project-strobe/