Website 18+ không an toàn và mở ra những cơ hội tấn công người dùng cho những tin tặc

Một phân tích của 22.500 trang web khiêu dâm cho thấy việc theo dõi người dùng của bên thứ ba đang lan tràn, chính sách bảo mật rất khó hiểu và phần lớn không thực hiện mã hóa HTTPS cơ bản. Trong tất cả, đó là một công thức cho phép bạo lực tình dục và những hành vi xấu hổ, theo một bài báo học thuật được phát hành trong tuần này.

Theo một nhóm nghiên cứu từ Microsoft, Carnegie Mellon và Đại học Pennsylvania, 93 phần trăm các trang được phân tích – từ 22.484 trang web – đang rò rỉ dữ liệu người dùng cho bên thứ ba. Trong số các trang bị rò rỉ dữ liệu, họ đã làm như vậy với trung bình bảy tên miền bên ngoài. Khoảng 79 phần trăm các trang có cookie của bên thứ ba (thường được sử dụng để theo dõi). Và trong số đó, có trung bình chín cookie trên mỗi trang.

Trình theo dõi của bên thứ ba

Tìm hiểu sâu hơn về các thực thể bên thứ ba đang theo dõi khách truy cập khiêu dâm, nhóm đã xác định 230 công ty và dịch vụ khác nhau đang làm như vậy. Việc theo dõi có thể diễn ra ngay cả khi người dùng đang ở chế độ duyệt web riêng tư của Wikipedia hoặc chế độ ẩn danh của Google.

Theo dõi nghiên cứu , được theo dõi bởi một số ít các công ty lớn, một số trong đó đặc thù về nội dung khiêu dâm, theo bài báo nghiên cứu , được phát hành trong tuần này. Trong số các dịch vụ không dành riêng cho nội dung khiêu dâm, phân tích của Google và các dịch vụ khác theo dõi 74% trang web, tiếp theo là Oracle (24%), Facebook (10%), Cloudflare và Yadro (7% mỗi trang) và Relic và Lotame mới (6 mỗi phần trăm).

YouTube của Google là máy chủ video lớn nhất thế giới, nhưng không cho phép xem phim khiêu dâm. Tuy nhiên, Google không có chính sách cấm các trang web sử dụng lưu trữ mã của họ (Google API) hoặc các công cụ đo lường đối tượng (Google Analytics), theo tờ báo. Do đó, Google từ chối lưu trữ nội dung khiêu dâm, nhưng không có giới hạn trong việc quan sát mức tiêu thụ nội dung khiêu dâm của người dùng.

Các tác giả lập luận rằng theo dõi tràn lan này cho phép bên thứ ba truy cập vào dữ liệu nhạy cảm về sở thích tình dục của người dùng. Trong tay sai, điều này có thể dẫn đến quấy rối, hoặc tồi tệ hơn.

Theo báo cáo của tờ báo, mọi người đều có nguy cơ khi dữ liệu đó có thể truy cập được mà không có sự đồng ý của người dùng và do đó có khả năng bị các tác nhân độc hại hành động dựa trên các tuyên bố đạo đức về giới tính hoặc tình dục bình thường. Những rủi ro này được nâng cao đối với các nhóm dân số dễ bị tổn thương mà việc sử dụng khiêu dâm có thể được phân loại là không quy tắc hoặc trái với cuộc sống công cộng của họ.

Chính sách bảo mật

Khi xem xét các chính sách bảo mật cho 3.856 trang web, tương đương 17% tổng số, nghiên cứu xác định rằng trình độ học vấn trung bình cần thiết để giải mã chúng là hai năm đại học. Các chính sách có số từ trung bình là 1.750 và mất bảy phút để đọc.

Bên cạnh sự khó hiểu, chỉ có 11 phần trăm trình theo dõi của bên thứ ba được tiết lộ trong chính sách, khiến người dùng không thể đồng ý sử dụng dữ liệu của họ cho mục đích cấp ba, báo cáo cho biết.

Người dùng có thể không có phương tiện để tìm hiểu những công ty nào có thể có các dữ liệu về việc sử dụng nội dung khiêu dâm của họ Khó khăn trong việc hiểu chính sách cho thấy những người không có trình độ học vấn đại học (và có thể nhiều người làm như vậy), có thể không thể đồng ý với các trang web khiêu dâm.

Suy ra sở thích tình dục

Ngoài việc biết rằng người dùng đang truy cập một trang web khiêu dâm cụ thể, người theo dõi bên thứ ba cũng có thể suy luận nhiều về sở thích tình dục của một người chỉ dựa trên một URL, nghiên cứu nhận thấy. Điều này khuếch đại rất nhiều các cân nhắc về quyền riêng tư, các nhà nghiên cứu lưu ý.

Dựa trên một mẫu ngẫu nhiên, 44,97 phần trăm URL của trang web khiêu dâm có chứa các từ hoặc cụm từ thường được hiểu là một chỉ báo về sở thích hoặc sở thích tình dục cụ thể, nhóm nghiên cứu đã viết.

Theo các nghiên cứu, các kết quả này cho thấy mức độ mà các bên thứ ba có thể giả định các đặc điểm tình dục cụ thể của người dùng dựa trên các trang web được truy cập, theo nghiên cứu. Càng mạo hiểm hơn nữa vào một trang web sẽ cung cấp sự hiểu biết thậm chí đầy đủ hơn về nội dung trong đó.

Độ trễ

Cuối cùng, nhóm nghiên cứu lập luận rằng rò rỉ dữ liệu khiêu dâm mà họ phát hiện ra có nguy cơ cao và độc nhất so với nhiều loại dữ liệu khác.

Phần mềm [Một mối quan tâm đáng kể nằm ở chỗ] phần lớn các mẫu của chúng tôi bị rò rỉ dữ liệu tình dục của người dùng cho bên thứ ba, kết hợp với tiền lệ ngày càng tăng đối với các vụ rò rỉ quy mô lớn, hack và đánh lạc hướng với dữ liệu tình dục, nhóm nghiên cứu cho biết.

Các nhà nghiên cứu lưu ý các nhóm bên lề rất có thể bị nhắm mục tiêu và bị tổn hại bởi việc theo dõi như vậy. Mức độ mà các lợi ích giới tính và tình dục có thể được suy ra từ các URL của trang web cho thấy tiềm năng đáng lo ngại đối với việc theo dõi và kỷ luật các lợi ích tình dục được dán nhãn không quy tắc. Đã có tiền lệ cho việc lạm dụng mục tiêu của phụ nữ và các nhóm dân cư bị thiệt thòi khác trên mạng, và chúng tôi cho rằng họ dễ bị tấn công công nghệ dựa trên sự phẫn nộ về đạo đức đối với các lỗ hổng xã hội rộng lớn hơn khi đối mặt với các chuẩn mực xã hội liên tục thay đổi.

Trong khi đó, những phát hiện chính sách bảo mật cho thấy sự coi thường sự đồng ý và cơ quan, nhóm nghiên cứu lập luận.

Các trang web khiêu dâm và các diễn viên công nghiệp khác kinh doanh dữ liệu này phải thừa nhận rằng họ đang tham gia vào một giao dịch liên quan đến tình dục và quyền lực, và do đó cần có sự đồng ý xác nhận tình dục từ người dùng, theo tờ báo.

Tấn công và tấn công

Tờ báo cũng chỉ ra rằng hack trên các trang web người lớn không phải là hiếm.

Có lẽ nổi tiếng nhất là trang web ngoài hôn nhân Ashley Madison đã bị hack vào năm 2015, tiết lộ 32 triệu tên, số thẻ tín dụng, email và địa chỉ vật lý, cũng như các lợi ích tình dục. Báo cáo cũng nêu chi tiết về các vụ hack khác: Năm 2012, ông đã bị vi phạm lớn, làm lộ hàng ngàn email và mật khẩu của người dùng. Một trang web liên quan đến các hoạt động tình dục cụ thể hơn, Rosebudboard [.] Com, đã bị hack vào năm 2016, dẫn đến hơn 100.000 tài khoản người dùng bị lộ. Và vào năm 2018, hàng ngàn người dùng truy cập trang web của bestiality có thông tin cá nhân bao gồm địa chỉ email, ngày sinh và địa chỉ IP được lưu hành trên bảng hình ảnh công khai của tin tặc.

Đi về phía trước, nhóm nghiên cứu nói rằng họ tin rằng quy định có thể giải cứu du khách khiêu dâm khỏi vòng xoáy xâm phạm quyền riêng tư mà nó đã phát hiện ra.

Các nhà nghiên cứu lưu ý rằng, trong khi những phát hiện của nghiên cứu này không được khuyến khích, chúng tôi tin rằng sự can thiệp của cơ quan quản lý có thể có kết quả tích cực. Hiện tại hình thức đồng ý được tìm thấy trong các hệ thống ‘từ chối’ tự điều chỉnh của Hoa Kỳ không đáp ứng các tiêu chuẩn chấp thuận tình dục và củng cố tâm lý ‘đổ lỗi cho nạn nhân’ thường xuất hiện trong sự xấu hổ và các hình thức bạo lực tình dục khác.

Ngược lại, việc xây dựng sự đồng ý theo dõi trực tuyến GDPR của Liên minh Châu Âu phù hợp chặt chẽ hơn với các tiêu chuẩn cho sự đồng ý tình dục bằng cách nhấn mạnh sự đồng ý phải được khẳng định và tự do đưa ra, theo bài báo.

Kết quả của chúng tôi cho thấy sự bắt buộc phải tuân theo kết quả của GDPR và phát triển các mô hình chấp thuận kỹ thuật số khẳng định cho các trang web khiêu dâm đáp ứng các yêu cầu đa dạng để cung cấp và rút lại sự đồng ý trong các tương tác tình dục, nhóm nghiên cứu đã viết.