时政·财经·军事 | 生活·家庭·娱乐 | 体坛·历史·科技 | 摄影·旅游·文化 | 移民·教育·就业 | 数码·健康·奇闻 | 评论·图片·视频
留园网首页 · 新闻速递首页 · 【繁體閱讀】 【网友评论:7 条】 【 热评新闻排行 】 【 热门新闻排行 】 【 即刻热度新闻排行 】 【 72小时神评妙论 】   

数千网站被曝偷看用户输入:还没点确定 信息就发走

新闻来源: 南方都市报 于2022-05-14 8:44:49  提示:新闻观点不代表本网立场

只是在登录界面打了几个字母,没确认没提交,网站居然就已经抓捕到了键入内容?

是的,根据来自欧洲顶尖研究型学术院校——荷兰拉德堡德大学、洛桑大学、鲁汶大学的三位科学家的最新研究,全世界前10万排名的网站中,有近5000个门户网站都有过这样的行为,如福克斯新闻、商业内幕(business insider)、时代(Time)等网站。

通过研究人员自制的爬虫脚本可以看到,在某一网站的登录界面输入邮件地址,鼠标移动到下一个输入框后,网站后台就已经准确抓取到了已输入数据:



用研究人员的话来说,就是“当点击下一个字段时,它们会收集前一个字段”,包括用户每一次修改的数据,甚至是账号密码。



那么,这样的抓取行为到底是如何做到的?

事实上,很多常见的登录窗口都是表单网页,这是HTML中的一种概念,可以使网页和用户之间进行交互,并将用户填写的数据发送给服务器端。所以这些网页也可以被看作是一张或多张表格,用户名、密码、邮件地址等输入信息就是表格中的一行行数据。

不仅为了满足基本的网页交互需求,还出于其他要求——比如检查键入的数据是否符合要求——用户的所有在线活动,包括鼠标点击和键入数据,对于网页来说都是“透明”且“可抓取”的。

于是,很多网站便会使用一些第三方追踪器来监测用户,用于提供服务、广告、营销活动。

这些活动的合法与否,就在于网页只是暂时抓取数据进行合法的交互,还是进行了行跨网站、跨平台和持久的识别。

以Meta为例,它曾开发过一款第三方的网站事件管理/收集工具,Meta Pixel。

Meta Pixel有一种叫做“自动高级匹配”的功能,可以自动从网页的表单数据中收集个人标识符,通过这一身份认证,就可以锁定同一用户在不同平台上的操作,进而测量广告的转化率和成效。



同时,官方文档里也写明:在用户提交表单时,Meta Pixel才会触发数据收集。

但研究人员在调查中发现,Meta Pixel脚本在没有识别到提交按钮,或者监听(表单)提交事件时,也会触发数据收集机制。

也就是说,安装有这一追踪器的网站,在用户点击提交按钮,甚至放弃表单关闭网页之前,就已经收集到了个人数据。

研究团队统计发现,有超过1.5万个网站可能通过Meta Pixel泄露了信息。



此外,另一个较为出名的第三方网站事件管理工具,TikTok Pixel也有和Meta Pixel同样的问题,涉及了上百个网站的信息泄露。

研究人员分别选出了美国和欧盟地区的十大泄露信息次数最多的网站,可以看到,其中的第三方网站事件管理工具除了上述两家,还有taboola、Bizible等广告商。



据了解,三位研究人员Asuman Senol、Gunes Acar、Mathias Humbert从去年开始调查,共爬取了10万多个网站。在发现问题后,团队已经在今年3月份向Meta提交了一份错误报告,该公司很快指派了一名工程师处理这个案件,但自那以后,就再也没有收到过更新报告。而TikTok在得到通知后,也并没有进一步的回应。

研究团队表示,针对上述问题,他们已经开发了一款检测网页非法表单的插件,并将在今年8月份的Usenix安全会议上展示他们的发现,包括调查结果和爬虫程序的构成。

采写:南都见习记者杨博雯
网编:和评

鲜花(1)

鸡蛋(1)
7 条
【手机扫描浏览分享】

扫一扫二维码[Scan QR Code]
进入内容页点击屏幕右上分享按钮
热门评论当前热评  更多评论...
评论人:wtaochange [品衔R2☆][个人频道][个人动态] 发送时间: 2022年05月14日 8:49:18 回复
这技术必须拥有啊。发财指日可待
3  
评论人:Edmondon [★品衔R5★][个人频道][个人动态] 发送时间: 2022年05月14日 9:06:04 回复
全球人民应该团结起来对抗互联网巨头,如果不早点出台法律条款,最后人类会变成机器的奴隶
13  
评论人:敞开裤裆任风吹 [★品衔R5★][个人频道][个人动态] 发送时间: 2022年05月14日 10:21:05 回复
也不是都这样啊,
实际有的时候是近似值查找。就像Google的联想搜索那样,对查找词补完 这种购物网站
或者是注册邮箱查重。
就实际应用场景来说, 你注册最后也是提交。 确实有可能出现填一半 最终放弃了的。但是这种可能也太小了,正常人谁没事把信息到处填着玩?
有些事 别上纲上线的骂。
1  
新闻速递首页 | 近期热门新闻 | 近期热评新闻 | 72小时神评妙论 | 即刻热度新闻
科技频道】【宠物情缘
敬请注意:新闻内容来自网络,供网友多视角阅读参考,观点不代表本网立场!若有违规侵权,请联系我们。
前期相关精彩新闻
新闻速递首页·网友新闻报料区·本地新闻·返回前页