Amazon, FBI, 70k sites envoient vos données sur Twitter d’Elon Musk

En octobre, Elon Musk a acheté Twitter pour 44 milliards de dollars. Parmi les divers atouts et maux de tête, l’accord comprend une ressource jusqu’alors inexplorée : un vaste réseau de collecte de données couvrant les sites de plus de 70 000 entreprises du Fortune 500, agences gouvernementales, à but non lucratif, universitaires, etc. Compte tenu de l’historique des failles de sécurité de Twitter, dans quelle mesure toutes ces données sont-elles sécurisées ?

Au moins 70 772 sites Web utilisent un outil publicitaire Twitter appelé pixel pour envoyer à l’entreprise des informations sur chaque personne qui visite leurs sites, même les personnes qui n’ont pas de compte Twitter, selon une bombe. nouveau rapport d’Adalytics, une entreprise de technologie publicitaire. La liste comprend les sites Web d’agences gouvernementales – le ministère de la Sécurité intérieure, le FBI, le portail d’aide aux étudiants du ministère de l’Éducation – les géants du Fortune 500 – Amazon, General Motors, Pfizer – et des sociétés de soins de santé comme WebMD et UnitedHealth Group. General Motors, Pfizer et d’autres sociétés qui les ont réclamés ont pris leurs publicités sur Twitter après l’acquisition de Musk a continué à envoyer des données à Twitter en utilisant la publicité Pixel.

En envoyant des données à Twitter, les organisations peuvent se mettre elles-mêmes et leurs visiteurs en danger. Twitter a une longue histoire de violations de données, entrée par des gouvernements étrangers et des amendes pour des raisons de sécurité de la FTC. Récemment, l’ancien chef de la sécurité de Twitter a démissionné et déposé une plainte de lanceur d’alerte accusant l’entreprise de pratiques de sécurité désastreuses – et c’était avant le départ d’Elon Musk plus de la moitié du personnel de Twitter, y compris des parties de son équipe de sécurité. C’est parmi une foule d’autres entreprises technologiques qui collectent des données en utilisant des méthodes similaires, ce qui rend Twitter spécial.

Le rapport a également révélé que de nombreux sites Web n’avaient pas pris les précautions nécessaires pour prévenir les cybermenaces connues sous le nom d’attaque de chaîne d’approvisionnement et d’injection de code, qui pourraient permettre le piratage de sites Web si Twitter était compromis. . C’est un problème plus important compte tenu de l’historique des problèmes de sécurité de Twitter et du manque apparent de personnel d’ingénierie. Dans de telles attaques, des outils tiers sont compromis et utilisés pour infiltrer les systèmes organisationnels, une menace sérieuse lorsqu’il s’agit d’une entreprise Fortune 500 ou de FBI.gov. C’est peu probable, mais ce type d’attaque existe passé avant deet un mécanisme similaire conduit à Piratage de SolarWinds qui a compromis une grande partie du gouvernement américain et du secteur privé.

“De nombreux spécialistes du marketing admettent en privé avoir peu ou pas de compréhension des risques de sécurité, éthiques et commerciaux des pixels exécutés sur leurs sites Web”, a déclaré Krzysztof Franaszek, fondateur d’Adalytics. “C’est quelque chose que la publicité et les groupes commerciaux pourraient envisager de remédier grâce à de meilleurs programmes de formation.”

Twitter se réserve le droit d’utiliser toutes les données qu’il reçoit des annonceurs à d’autres fins commerciales, mais les annonceurs peuvent activer un paramètre de confidentialité Twitter spécial appelé Utilisation restreinte des données (RDU). Ce paramètre “permet à un annonceur de limiter l’utilisation par Twitter d’événements de conversion au niveau individuel à des fins commerciales spécifiques uniquement au nom de cet annonceur”. La plupart des sites Web qui utilisent le pixel n’ont pas ce paramètre activé, laissant Twitter libre de faire ce qu’il veut avec les informations.

“Il est possible que chaque site Web qui n’utilise pas cette fonctionnalité RDU permette à Twitter de mélanger et de réutiliser les données de trafic Web des annonceurs à d’autres fins”, a déclaré Franaszek.

Il y a un facteur de confidentialité clair ici. Mais pour de nombreuses personnes, il n’y a peut-être pas de menace immédiate pour que Twitter détienne une archive de certaines de leurs données de navigation sur le Web, a déclaré Franaszek. Cependant, “pour certaines personnes présentant un profil de risque personnel plus élevé, comme les militants des droits de l’homme, les journalistes ou les membres de minorités persécutées, la possibilité que les données collectées par Twitter à leur sujet soient utilisées par un tiers est probablement l’une des plus immédiates. . rappelez-vous », a-t-il dit.

“Aide fédérale aux étudiants La FSA utilise Twitter Pixel pour comprendre le comportement des utilisateurs sur StudentAid.gov, améliorer l’expérience utilisateur et les résultats des clients, et analyser les analyses de campagnes et de sites Web », a déclaré un porte-parole du ministère de l’Éducation. “La politique de confidentialité de la FSA pour studentaid.gov traite de l’utilisation de Twitter et d’autres plateformes de médias sociaux.

Amazon, General Motors, FBI, General Motors, Pfizer, United Health Group, Le département américain de la Sécurité intérieure et WebMD n’ont pas pu être joints dans l’immédiat pour commenter. Twitter, c’est-à-dire n’a pas de service de communication après les licenciements massifs de Musk, n’a pas répondu à une demande de commentaire.

Si vous n’êtes pas dans le fonctionnement interne des sites Web, il peut sembler étrange que tant d’entreprises envoient des données à Twitter, mais c’est une pratique courante en ligne. Les annonceurs utilisant des plates-formes telles que Twitter, Meta et Google utilisent ce que l’on appelle des pixels et d’autres trackers fournis par ces sociétés. Les trackers collectent des données sur les personnes visitant les sites Web des annonceurs, et ces données sont analysées par des plates-formes technologiques pour déterminer les bonnes personnes à qui diffuser des publicités et évaluer le fonctionnement de ces publicités.

Dans le cas de Twitter, le pixel est conçu pour mesurer les actions que les gens entreprennent sur un site Web, comme cliquer sur certains liens ou interagir avec des éléments de contenu spécifiques. Les pixels peuvent collecter des chaînes uniques de lettres et de chiffres qui identifient des personnes individuelles, des adresses e-mail, des adresses IP et d’autres détails sur l’appareil d’un utilisateur. Ces informations sont envoyées avec l’URL de la page que quelqu’un consulte. Dans des cas comme un site Web sur des problèmes de santé (WebMD, peut-être ?), Cela peut inclure un historique de recherche très sensible.

Quand j’ai écrit sur un phénomène similaire dans sites Web qui envoient des données à TikTok en septembre, plusieurs organisations ont déclaré qu’elles ne savaient pas que leurs sites avaient été configurés pour partager des données. Les services marketing ou les développeurs de sites Web chargent parfois des outils de suivi sans alerter les autres divisions d’une entreprise, et parfois ils oublient simplement et s’exécutent en arrière-plan.

Tous les annonceurs Twitter n’envoient pas les données de l’entreprise. Le rapport a révélé qu’aucun des sites Web d’Apple ne contient de pixels Twitter, malgré le fait que le fabricant d’iPhone dépenser des millions de dollars publicité sur la plateforme. Il en va de même pour les sites Web d’autres sociétés appartenant à Apple, notamment Shazam et Beats by Dre. Le rapport indique également que les autres sociétés de Musk, SpaceX et Tesla, n’utilisent pas non plus le pixel, malgré le fait que SpaceX ait été récemment acheté. au moins 250 000 $ des publicités Twitter.

Mise à jour 12/08/21, 9 h 20 HE : Cette histoire a été mise à jour avec les commentaires du ministère de l’Éducation.