USPS, müşteri posta adreslerini Meta, LinkedIn ve Snap ile paylaştı

 (techcrunch.com)
1 puan yazan GN⁺ 2024-07-19 | 1 yorum | WhatsApp'ta paylaş
  • USPS web sitesindeki izleme pikseli, oturum açmış Informed Delivery müşterilerinin posta adreslerini Meta, LinkedIn ve Snap’e gönderdi; USPS, sorunu doğruladıktan sonra bunu durdurduğunu açıkladı
  • Adres toplama, gelecek postaların fotoğraflarını önceden gösteren Informed Delivery açılış sayfasında gerçekleşti; bu hizmet Mart 2024 itibarıyla 62 milyondan fazla kişi tarafından kullanılıyor
  • TechCrunch testinde, tarayıcının yerleşik araçlarıyla ağ trafiği incelendiğinde USPS site kodunun adreslerin yanı sıra cihaz ve tarayıcı bilgilerini de harici şirketlere gönderdiği akış doğrulandı
  • USPS, URL’den kişisel bilgi toplayıp sosyal medya ile paylaşan ayardan “haberdar olmadığını” söyledi; Meta ve LinkedIn ise reklam araçlarıyla hassas bilgi gönderilmesinin politikaları gereği yasak olduğunu belirtti
  • USPS web sitesine girilen takip numaraları ve bazı taşıma sırasındaki konum bilgileri de Bing, Google, LinkedIn, Pinterest, Snap gibi taraflarla paylaşıldı; USPS, toplanan verilerin silinmesini isteyip istemediğini açıklamadı

USPS web sitesindeki izleme pikseli sorunu

  • USPS, çevrimiçi müşterilerinin posta adreslerini Meta, LinkedIn, Snap gibi reklam ve teknoloji şirketleriyle paylaşıyordu
  • USPS, çarşamba günü sorunu çözdüğünü ve bu uygulamayı durdurduğunu açıkladı
    • USPS, bu uygulamadan “haberdar olmadığını” iddia etti
  • Paylaşım, USPS web sitesinin geneline yerleştirilmiş gizli veri toplama kodu, yani izleme pikseli üzerinden gerçekleşti
    • Bu kod, web sayfası müşterinin tarayıcısında yüklendiğinde ziyaret edilen sayfa gibi bilgileri toplar
    • Teknoloji ve reklam şirketleri, kullanıcı bilgilerini toplamak için bu tür kodlar sağlar

Informed Delivery üzerinden aktarılan bilgiler

  • Oturum açmış Informed Delivery müşterilerinin posta adresleri toplanan verilere dahil edildi
    • Informed Delivery, müşterilerin postaları gelmeden önce fotoğraflarını görebilmesini sağlayan bir hizmettir
  • Kaç kişinin bilgisinin toplandığı ve bunun ne kadar süreyle yapıldığı belirsiz
  • Informed Delivery kullanıcı sayısı Mart 2024 itibarıyla 62 milyonun üzerinde

USPS ve reklam platformlarının açıklamaları

  • USPS sözcüsü Jim McKean, USPS’in ürün ve hizmet kullanımını anlamak ve toplulaştırılmış pazarlamada kullanmak için kendi iç amaçlarına yönelik analiz platformlarından yararlandığını söyledi
  • USPS, söz konusu analiz platformunda toplanan kişisel bilgileri üçüncü taraflara satmadığını veya sağlamadığını açıkladı
    • Ancak URL’den kişisel bilgi toplayıp USPS’in bilgisi dışında sosyal medya ile paylaşan ayardan haberdar olmadığını söyledi
  • USPS, sorunu çözmek için derhal adım attığını belirtti, ancak somut olarak hangi adımların atıldığını açıklamadı
  • Meta, reklamverenlerin Business Tools üzerinden kişilerin hassas bilgilerini göndermemesi gerektiğini uzun süredir politikalarında açıkça belirttiğini söyledi
    • Meta, bu davranışın politika ihlali olduğunu ve sistemlerinin tespit edilebilir olası hassas verileri filtreleyecek şekilde tasarlandığını belirtti
  • LinkedIn, müşteri reklam araçları ve sözleşmelerinin hassas veri paylaşımını yasakladığının açık olduğunu söyledi
  • Snap, yorum talebine yanıt vermedi

TechCrunch testinde doğrulanan aktarım yöntemi

  • TechCrunch, modern tarayıcılarda yerleşik araçlarla ağ trafiğini inceleyerek USPS web sitesindeki veri aktarımını test etti
  • Test sonucunda USPS web sitesindeki veri toplama kodunun, müşteri oturum açtıktan sonra Informed Delivery açılış sayfasından müşteri adresini alıp Meta, LinkedIn ve Snap’e gönderdiği görüldü
  • Aynı kod, kullanıcının bilgisayar türünü ve tarayıcı bilgilerini de topluyor
    • Verilerin bir kısmı, gerçek müşteri adı yerine rastgele tanımlayıcılar kullanan kısmen takma adlandırılmış bir biçimde görünüyordu
    • Araştırmacılar uzun zamandır takma adlandırılmış verilerin de anonim gibi görünen kişileri yeniden tanımlamak için kullanılabileceği konusunda uyarıyor

Takip numarası paylaşımı ve benzer vakalar

  • USPS web sitesine girilen takip numaraları da reklam ve teknoloji şirketleriyle paylaşıldı
    • Paylaşılan taraflar arasında Bing, Google, LinkedIn, Pinterest ve Snap yer aldı
  • Taşıma sürecindeki bazı takip verileri de aktarıldı
    • Müşteri USPS web sitesinde oturum açmamış olsa bile, postanın posta sistemi içinde fiilen nerede olduğu gibi konum bilgileri paylaşıldı
  • USPS, teknoloji şirketlerinden topladıkları verileri silmelerini isteyip istemeyeceğini açıklamadı
  • USPS Office of Inspector General sözcüsü, haberin yayımlandığı zamana kadar yorum yapmadı
  • Son yıllarda birçok kuruluş web izleme kodu kullanımını azalttı
    • 2023’te tele-sağlık odaklı wellness girişimi Cerebral ile alkol bağımlılığından iyileşme uygulamaları Tempest ve Monument, kullanıcı değerlendirme içerikleri dahil özel sağlık bilgilerini teknoloji ve reklam şirketleriyle paylaştıklarını ve daha sonra izleme kodlarını kaldırdıklarını açıkladı
    • Aynı yıl FTC, GoodRx’in müşteri sağlık verilerini reklamverenlerle paylaşması konusunda yaptırım uyguladı ve GoodRx 1,5 milyon dolar ödemeyi kabul etti
    • BetterHelp’e, özel sağlık anketi yanıtlarının paylaşılmasıyla bağlantılı olarak hastalara 7,8 milyon dolar tazminat ödemesi emredildi

İlgili okumalar

1 yorum

 
GN⁺ 2024-07-19
Hacker News yorumları

  • Tıklama tuzağı bir başlık: USPS bunu kasıtlı olarak paylaşmadı; Informed Delivery sayfasında belirli şirketlerin izleme piksellerine dikkatsizce izin verildi
    Elbette gizlilik açısından korkunç, ama durumu olduğu gibi adlandırmak gerekir

    • Benzer bir özellik üzerinde çalışmak zorunda kaldığım olmuştu. Tek tek müşteri şirketler, kendi kullanıcı akışlarının çeşitli aşamalarına keyfî piksel izleyicileri serpiştirmek istiyordu; hâlâ yeterince paranoyak davranmamış olabilir miyim diye endişeleniyorum
      Merak edenler için ekleyeyim: Koşullar sağlandığında ana sayfa JavaScript’i geçici bir öğe oluşturuyor, imzalanmış ve süre sınırı olan hedef URL de başka bir alt alan adında içe sinmeyen keyfî işaretlemeyi barındırıyordu
      srcdoc özelliğini biliyordum ve çok daha kolay olurdu, ama bazı izleyici kodlarını bozuyordu. Özellikle Google Tag Manager sessizce çalışmayı bıraktı; çünkü “gerçek site” olup olmadığını kontrol eden bir mantık içeriyordu. Bu sorun srcdoc ile de ortaya çıktı ve file:// URL’siyle test ederken de kafa karıştırdı
    • Devlet web sitesi neden Facebook, Snapchat gibi yerlerden herhangi bir şeye bağlantı vermek zorunda olsun ki? USPS moda bir kahve dükkânı ya da tasarımcı markası değil, ABD federal kurumu; bu yüzden çok daha yüksek güven ve gizlilik standartlarına tabi olmalı
    • Makaleyi sonuna kadar okuman gerekirdi. TechCrunch bunu bizzat test etti ve söz konusu sitelerin USPS’ten posta adreslerini de içeren verileri çektiğini doğruladı
      Analitik olsun ya da Facebook vb. üzerinden elde edilen herhangi bir şey olsun, böyle bir gerekçeyle USPS’in bu bilgilerin sızmasına yol açan dikkatsizliği kabul edilemez; aynı etkiyi yaratan basit bir hack’ten sorumlu tutulacağı gibi USPS de açıkça sorumlu
    • İzleme piksellerine izin verdiysen verileri kasıtlı olarak paylaşmışsın demektir. İzleme piksellerinin ne yaptığını herkes biliyor
    • Bugün bir iş arkadaşımdan e-posta aldım; imzanın altında “Create your own email signature” bağlantısı vardı ve wisestamp.com’a gidiyordu. Meğer şirketlere e-posta imza hizmeti satan bir yermiş
      Şirket e-postasında alakasız bir şirketin reklamını yapmak zaten zevksiz, ama daha kötüsü, e-postanın içinde iş arkadaşıma özel bir izleme pikseli vardı. Bu, birisi o e-postayı her açtığında WiseStamp’in bunu bilebileceği anlamına geliyor
      Söyler söylemez hemen kaldırdı

  • Bu olay, reklam teknolojisinin geneline yayılmış gizlilik ihlalini iyi gösteriyor. Günümüzde birçok platform, reklam engelleyicilerin izleme piksellerini engellemesi gibi istemci tarafı tespit ve engellemeleri aşan sunucu tarafı etkinlik takibini bile destekliyor
    Gerçek kapsam, tıklama ve görüntülemelerin çok ötesine geçerek “MakeAnAppointment”, “AddPaymentInfo”, “LoanApplication” gibi etkinlikleri takip edecek kadar ciddi
    TikTok’un ulusal güvenlik riski olmasının gerçek nedeni de burada. Shopify, Adobe, Segment, WooCommerce gibi yaygın kullanılan TikTok reklam platformları; TikTok kullanıcısı olmayan kişilerin reçete, muayene randevusu, kredi başvurusu, kredi kartı ayrıntıları gibi hassas verilerini topluyor. TikTok ya da Facebook vb. hizmetleri hiç kullanmayan milyonlarca kişi de “kullanıcıları müşteriye dönüştürme” gerekçesiyle bu toplamanın hedefi oluyor
    https://abs.codes/blog/2024/03/tiktoks-all-seeing-eye-survei...
    Politika düzeyinde, bu yapısal sorunu ele alacak ulusal ölçekte bir veri gizliliği yasasına acilen ihtiyaç var; teknik düzeyde ise sıfır bilgi reklamcılığı gibi yaklaşımlar kullanıcı gizliliği riskini büyük ölçüde azaltabilir

  • Facebook sözcüsünün “reklamverenlerin Business Tools üzerinden hassas bilgi göndermemesi gerektiğine dair politikamızı net biçimde ortaya koyduk; bu tür davranış politika ihlalidir ve bunu önlemek için reklamverenleri doğru yapılandırma konusunda eğitiyoruz” demesi, sorumluluğu aracı kullanan kişiye yıkmak için gayet elverişli bir ifade gibi görünüyor
    “Sistem, tespit edilebilir potansiyel hassas verileri filtreleyecek şekilde tasarlandı” sözü de bunun düzgün çalışması için ne kadar özen gösterdiklerini sorgulatıyor. Yoksa sadece “denedik” diyebilmek için sonradan konmuş bir mekanizma mı, sürekli iyileştirme yok mu diye düşündürüyor

    • İnsanlar iMessage üzerinden uygunsuz mesajlar gönderirse bu da Apple’ın suçu mu?
    • İçinde adres geçen mesajları filtrelemek... Milyarlarca dolarlık bir şirketin makineleri için neredeyse imkânsız bir görev olmalı!

  • Hükümetin adresimi herhangi bir şekilde kamuya açması başlı başına beni gerçekten öfkelendiriyor. Seçmen kayıtları, emlak kayıtları, DMV ve USPS’nin hepsi bir şekilde vatandaşların adreslerini yayımlıyor ya da özel şirketlere satıyor.
    Bunun neden yasal olduğunu bilmiyorum; devlet dışındaki hiç kimsenin adresimi bilmemesini isterdim.

  • Reklam/izleme engelleyici açıkken adres değişikliği formunu düzgün gönderemememin nedeni bu olabilir. Bu nasıl yasal olabiliyor?

    • Çünkü yasalar, modern ağ üzerinden bilgi işlem gerçekliğine yetişecek kadar güncellenmedi. Kısa vadede de yasaları güncellememek daha kârlıydı.
      Bence artık o kısa vadenin sonuna geliyoruz. Bu kısa vadeli çıkarlar uğruna biriken yolsuzluk ve verimsizlik yüzünden üretkenlik düşüşü görülmeye başlayacak.
    • USPS’ye kalıcı adres değişikliği formu vermekten gerçekten kaçınmak en iyisi.
      USPS bu bilgiyi satar, lisanslar ya da reklam/pazarlama fuarlarında stant açıp adına ne derlerse desinler kullanır.
      Geçici adres değişikliği başvurusu yapmak, izin verilen tek yenilemeyi kullanmak ve sonra USPS ile bağı koparmak daha iyi. O zamana kadar önem verdiğiniz kişisel/iş bağlantılarını zaten doğrudan güncellemiş olursunuz.
      USPS, ABD’deki en büyük spam dağıtıcılarından biridir.
    • Pek çok yerde reklam/izleme kodu, hataları düzgün ele almayan yollara yerleştirilmiş durumda. Örneğin gerekli bir nesnenin her zaman var olduğunu varsaymak gibi (window.google.tag gibi).
      Uygulayıcılara, temel akışın çökmemesi için try/catch ve başka yöntemler kullanmaları gerektiğini öğretmek lazım.
      Yasal olup olmadığını bilmiyorum ama bunun kesinlikle başarısız bir test vakası olduğu açık.

  • Devlet siteleri üçüncü taraf içerik yüklememeli.

    • Bir iş projesi nedeniyle yakın zamanda dünya genelinde yaklaşık 200 devlet web sitesini ziyaret etmek zorunda kaldım.
      Şaşırtıcı biçimde, yalnızca üçüncü taraf içerik yüklemekle kalmayıp gerçekten banner reklamlar ve popover reklamlar gösteren çok sayıda site vardı; özellikle Asya ve Afrika’da böyleydi.
      Karşılaştırınca ABD’deki en kötü devlet web siteleri bile daha iyi kalıyor.
      ¹ https://njfamilycare.dhs.state.nj.us
    • ABD Hazine Bakanlığı web sitesinden I-bonds almaya çalıştım ama üçüncü taraf kimlik doğrulama kullandıkları için alamadım. Bu nasıl iş, anlamadım.
      Üçüncü taraf beni doğrulayamaz. Kişisel bilgilerimi korumak için özel şirketlere saçma sapan bilgilerle sızmış durumdayım. Beni doğrulamak istiyorlarsa IRS’ye, DMV’ye, DHS’ye, USCIS’e sorsunlar.
    • Bunu doğru yapan bir devlet sitesi var mı ki?
    • Bence paraları olmadığı için böyle.
    • USPS devlet değil; dünyada en çok spam yayan kuruluşlardan biri.

  • İzleme pikselleri gerçekten delilik. Dünyanın en büyük şirketleri sayfaya tek bir script koymanız karşılığında para veriyorsa, düzenleme ya da yasama dışında bir çözüm hayal etmek zor.
    Bununla rekabet ederek nasıl başa çıkarsınız? Daha zengin biri gelip kullanıcıları satmayın diye para mı verecek? Böyle şeyler doğrudan yasaklanmalı.

    • Reklam teknolojisi şirketleri, web sitelerine bunları kurmaları için para vermiyor. Müşteriler, zaten parasını ödedikleri reklamların önemsedikleri sonuçlara yol açıp açmadığını anlamak için kuruyor.
      Bununla ilgili şuraya da yazmıştım: https://news.ycombinator.com/item?id=41007679
      “İnsanların ücretsiz oyunuma kaydolmasını istiyorum”
      “İlgilenme ihtimali olan kişilere reklam gösterebiliriz”
      “Parasını ödediğim reklamın gerçekten kuruluma dönüştüğünü nasıl anlarım?”
      “Kayıt tamamlama sayfasına bu script’i kur”
      “Tamam, teşekkürler” şeklinde bir akış.
    • Kişisel olarak tanımlanabilir bilgi bulundurmayı başlı başına çok riskli hale getirirseniz, bu tür verileri toplamanın değeri negatife döner.
      O zaman yasadaki en yeni dolanma yollarının peşinden koşan kedi-fare tarzı düzenlemeler yapma ihtiyacı azalır. Çünkü şirketler baştan o veriyi tutmanın getirdiği sorumluluğu istemez.
    • Yasa bunu CDN’deki jQuery’den nasıl ayırabilir? CDN’ler de bir ölçüde izleme yapar ve bunun bir kısmı teknik olarak gerekli de olabilir. Google gerçekten de Google Fonts hizmetini trafik izleme için kullanıyor.

  • “Ah kusura bakmayın, bilgisayarın hatası, yapacak bir şey yok” türü mantıktan gerçekten nefret ediyorum. Sizin sistemlerinizse sorumluluk da sizindir.

  • Anlamıyorum. İzleme piksellerinin, derme çatma web sitelerinde ya da insanları birden fazla site arasında takip etmek isteyen yerlerde kullanılan şeyler olduğunu sanıyordum.
    USPS’in müşterisini tanıdığı kimliği doğrulanmış bir sayfası var. Neden üçüncü taraf reklam şirketlerine bel bağlamak yerine kendi loglarını analiz etmemişler?
    Bu gerçekten bir kaza mıydı?

    • Garip biçimde, piksel artık piksel değil. Eskiden piksellerle yapılan siteler arası takibi ifade eden bir pazarlama terimine dönüştü. Bu yüzden oldukça gelişmiş analiz platformlarına bile hâlâ “piksel” deniyor. Ben de bundan hoşlanmıyorum.
      USPS muhtemelen hangi reklam kampanyalarının başarılı olduğunu bilmek ve reklam hedeflemesi yapmak istediği için reklam platformunun JavaScript’ini sitesine yerleştirmiştir. Kendi finansmanını sağlamak zorunda olan bir devlet kurumu olduğu düşünülürse, bu kısmı bir ölçüde anlaşılır.
      Sorun, izleme kodunun olmaması gereken sayfalara konmuş olması ya da analiz platformuna gönderilebilecek verilerin sınırlandırılmamış olması.

  • Abartı gibi gelebilir ama ABD’nin başarısız bir devlet olduğunu düşünüyorum. Hegemon güç aşırı beceriksiz bir liderliğin elinde çöktüğü için insanlık kargaşa yaşıyor.
    Nesiller boyu süren nepotist elitler beceriksizlik doğurdu; çok basitçe söylersek, bugünün zenginleri aptal.