Nowe badanie firmy Jscrambler pokazuje, że instytucje finansowe w Europie i USA przesyłały wrażliwe dane klientów do zewnętrznych platform reklamowych, analitycznych i personalizacyjnych za pośrednictwem trackerów cookie, pikseli i skryptów działających w przeglądarce. Problem dotyczy ścieżek klienta, takich jak otwieranie konta, wnioski hipoteczne, symulacje kredytowe i procesy pożyczkowe, w których użytkownicy mogą wprowadzać bardzo wrażliwe dane finansowe i osobowe.
Problemem nie jest jedynie samo istnienie śledzenia. Większy kłopot polega na tym, że śledzenie czasami uruchamiało się, zanim użytkownicy wyrazili zgodę, trwało nadal po odrzuceniu plików cookie albo nie respektowało wyborów dotyczących zgody w poddomenach i osadzonych elementach iframe.
Co się wydarzyło
Jscrambler przeanalizował 14 witryn usług finansowych, w tym banki detaliczne, banki inwestycyjne, dostawców płatności i platformy kredytów konsumenckich. W tych przypadkach technologie śledzące uruchamiały się bez ważnej zgody w dziewięciu odrębnych firmach. Dane trafiały do podmiotów trzecich, w tym Google, Meta, TikTok, LinkedIn, Pinterest, Adobe, Salesforce i innych.
Dane obejmowały według doniesień adresy e-mail w postaci zahaszowanej i niezahaszowanej, numery telefonów, rządowe numery identyfikacji podatkowej, szczegóły pożyczek, warunki spłaty oraz sygnały zamiaru finansowego. W niektórych przypadkach dane były jedynie zakodowane lub deterministycznie zahaszowane, a nie solidnie chronione, co oznacza, że w sprzyjających warunkach nadal mogły potencjalnie zostać powiązane z konkretnymi osobami.
Dlaczego to ma znaczenie
Instytucje finansowe należą do najbardziej regulowanych i obdarzanych największym zaufaniem powierników danych osobowych. Klienci oczekują, że banki będą chronić informacje dotyczące tożsamości, zadłużenia, dochodów, kredytów, płatności i aktywności na rachunkach.
Jednak współczesne witryny bankowe coraz częściej polegają na zewnętrznym kodzie JavaScript w obszarach marketingu, analityki, personalizacji, zapobiegania nadużyciom, ścieżek klienta, osadzonych formularzy i pomiaru konwersji.
To tworzy ryzyko po stronie klienta.
Nawet jeśli systemy zaplecza banku są bezpieczne, wrażliwe dane nadal mogą wyciekać z przeglądarki, jeśli skrypty podmiotów trzecich zbierają lub przesyłają informacje z formularzy, adresów URL, przycisków, osadzonych stron lub zdarzeń śledzących.
Dotknięte były wrażliwe strony
Problem nie ograniczał się do zwykłych stron marketingowych.
Jak wynika z doniesień, trackery pojawiały się w wrażliwych procesach, takich jak wnioski hipoteczne, formularze otwarcia konta i symulatory pożyczek. W jednym przykładzie, dotyczącym hiszpańskiego banku, proces hipoteczny po zaakceptowaniu plików cookie wysyłał zahaszowany adres e-mail i numer telefonu do punktu końcowego piksela TikToka, mimo że TikTok nie figurował w polityce cookie ani w polityce prywatności banku.
Inny przypadek dotyczył procesu otwierania konta w portugalskim banku, w którym dane klienta, w tym adres e-mail, imię i nazwisko, wiek, krajowy numer identyfikacji podatkowej oraz klucz kontaktu Salesforce Marketing Cloud, były wysyłane do platformy marketingowej Salesforce.
Badacze opisali również procesy symulacji kredytów i pożyczek, w których szczegóły finansowe, takie jak kwota pożyczki, okres, oprocentowanie i całkowity koszt kredytu, były wysyłane do Google Analytics.
Mechanizmy zgody zawiodły na wiele sposobów
Badanie wskazało trzy powtarzające się błędy w obsłudze zgody.
Po pierwsze, śledzenie uruchamiało się, zanim użytkownik dokonał wyboru dotyczącego plików cookie. Po drugie, śledzenie trwało nadal nawet po wybraniu przez użytkownika opcji „odrzuć wszystkie”. Po trzecie, wybory dotyczące zgody były rejestrowane w jednej części witryny, ale nie były przenoszone do poddomen ani elementów iframe obsługujących kolejny krok tej samej transakcji.
Ten ostatni punkt jest ważny.
Wiele procesów finansowych nie odbywa się na jednej prostej stronie. Użytkownik może zacząć w głównej witrynie, przejść do kalkulatora hipotecznego, kontynuować w osadzonym formularzu i zakończyć w innej poddomenie lub komponencie hostowanym przez podmiot trzeci.
Jeśli egzekwowanie zgody przekracza te granice, klient może sądzić, że odrzucił śledzenie, podczas gdy dane nadal płyną.
Dlaczego banery cookie nie wystarczą
Banery cookie często sprawiają wrażenie, że prywatność jest kontrolowana na poziomie interfejsu użytkownika.
Prawdziwe ryzyko leży jednak głębiej.
Baner może pokazywać opcję „odrzuć wszystkie”, ale jeśli skrypty podmiotów trzecich nadal się uruchamiają, zbierają dane lub wysyłają zdarzenia śledzące, mechanizm zgody w praktyce nie spełnia swojej roli.
Zespoły ds. bezpieczeństwa muszą weryfikować rzeczywiste zachowanie w czasie działania, a nie tylko deklarowaną politykę.
Kluczowe pytanie nie brzmi: „Czy witryna wyświetliła baner?”.
Kluczowe pytanie brzmi: „Czy przeglądarka faktycznie zaprzestała nieautoryzowanego zbierania danych po tym, jak użytkownik odrzucił śledzenie?”.
Ryzyko podmiotów trzecich w przeglądarce
Ten problem leży na styku prywatności, bezpieczeństwa i ryzyka związanego z podmiotami trzecimi.
Instytucje finansowe mogą nie pisać ani w pełni nie kontrolować kodu wykonywanego przez dostawców reklam, analityki, personalizacji i śledzenia. Mimo to kod ten działa w witrynie banku, w przeglądarce klienta, podczas wrażliwych procesów finansowych.
Gareth Bowker z Jscrambler opisał ten problem jako w istocie problem ryzyka podmiotów trzecich, ponieważ na najbardziej wrażliwych stronach organizacji wykonuje się kod, którego organizacja nie kontroluje w pełni. Staje się to problemem prywatności, gdy dane osobowe trafiają na platformy, na które użytkownicy nie wyrazili zgody, oraz problemem bezpieczeństwa, gdy wrażliwe wartości pojawiają się w adresach URL żądań lub w systemach podmiotów trzecich.
Konsekwencje w zakresie zgodności z przepisami
Wyniki badania budzą obawy dotyczące zgodności z kilkoma ramami regulacyjnymi.
W Europie najbardziej oczywiste wątpliwości dotyczą RODO i dyrektywy o prywatności i łączności elektronicznej (ePrivacy), zwłaszcza tam, gdzie śledzenie odbywa się bez ważnej zgody lub gdzie wrażliwe dane osobowe są udostępniane podmiotom trzecim. Instytucje finansowe podlegają także rozporządzeniu DORA, które koncentruje się na cyfrowej odporności operacyjnej i ryzyku związanym z technologiami podmiotów trzecich w sektorze finansowym.
Dla banków i firm finansowych nie jest to po prostu kwestia konfiguracji marketingowej.
Może to stać się problemem z zakresu ochrony danych, zarządzania dostawcami, monitorowania bezpieczeństwa i odporności operacyjnej.
Co powinny zrobić instytucje finansowe
Organizacje finansowe powinny wyjść poza statyczne audyty plików cookie i jednorazowe przeglądy dostawców.
Zalecane działania obejmują:
- ciągłe monitorowanie zachowania skryptów działających w przeglądarce
- weryfikowanie, czy odrzucenie zgody faktycznie zatrzymuje śledzenie
- egzekwowanie zgody w elementach iframe, poddomenach i osadzonych ścieżkach klienta
- blokowanie nieautoryzowanej eksfiltracji danych z formularzy i adresów URL
- wyłączanie automatycznego zaawansowanego dopasowywania tam, gdzie nie jest to uzasadnione
- przegląd skryptów podmiotów trzecich na stronach otwierania konta, kredytów hipotecznych, kredytów i pożyczek
- sprawdzanie, jakie dane są wysyłane do platform analitycznych i reklamowych
- traktowanie tagów marketingowych jako kodu podmiotów trzecich, który wpływa na bezpieczeństwo
- skoordynowanie działań zespołów ds. prywatności, AppSec, prawnych i marketingu wokół mechanizmów kontroli w czasie działania
Jscrambler konkretnie zaleca monitorowanie w czasie działania, mechanizmy wymuszające, weryfikację zgody w poddomenach i elementach iframe oraz blokowanie nieautoryzowanej eksfiltracji danych, w tym danych umieszczanych w adresach URL żądań.
Co powinni wiedzieć klienci
Klienci nie mogą łatwo zobaczyć, co skrypty podmiotów trzecich robią w tle.
Użytkownik może odrzucić pliki cookie i nadal nie mieć prostego sposobu, by sprawdzić, czy śledzenie ustało. Może też nie wiedzieć, że wrażliwe czynności, takie jak symulacje kredytu hipotecznego, kroki otwierania konta czy obliczenia pożyczek, mogą generować przepływy danych do platform analitycznych i reklamowych.
W przypadku osób prywatnych praktyczna ochrona jest ograniczona. Narzędzia prywatności w przeglądarce, blokery trackerów i restrykcyjne ustawienia plików cookie mogą pomóc zmniejszyć narażenie, ale odpowiedzialność spoczywa głównie na instytucji finansowej i jej dostawcach technologii.
Klienci powinni mimo to zachować ostrożność przy wprowadzaniu wrażliwych informacji w internecie i wybierać instytucje, które jasno wyjaśniają, jak dane są zbierane, udostępniane i chronione.
Podsumowanie
Ustalenia Jscrambler pokazują, że wyciek danych finansowych nie zawsze jest spowodowany naruszeniem bazy danych czy zhakowanym serwerem.
Czasami dzieje się to bezpośrednio w przeglądarce.
Trackery, piksele i skrypty personalizacyjne podmiotów trzecich mogą po cichu zbierać i przesyłać wrażliwe informacje podczas ścieżek klienta, które użytkownicy uznają za prywatne i bezpieczne.
Ochrona danych klientów nie może kończyć się na obwodzie zaplecza. Przeglądarka jest dziś częścią granicy bezpieczeństwa.
Jeśli banki pozwalają na uruchamianie kodu podmiotów trzecich na wrażliwych stronach, muszą stale monitorować, co ten kod robi, egzekwować decyzje dotyczące zgody w praktyce i blokować nieautoryzowane przepływy danych, zanim informacje o klientach opuszczą witrynę.
