Блог

За последний год стало известно о множестве случаев слежки с помощью меток AirTag. Рассказываем, как это работает и что делать для защиты.

Брелоки AirTag компании Apple поступили в продажу только весной прошлого года, но уже успели заслужить дурную репутацию как средство помощи криминалу и слежки за людьми без спроса. В этой статье мы разбираемся, как работает AirTag, почему он может быть опасен, а также как защититься от слежки с использованием AirTag и других видов киберсталкинга.

Метки AirTag были представлены в апреле 2021 года как средство поиска легко теряемых вещей. Внутри метки находится плата с беспроводным модулем и заменяемая батарейка. Также в AirTag есть достаточно крупный динамик, частью которого, по сути, является корпус устройства.

В самом простом случае работают метки так: вы цепляете «таблетку» как брелок к ключам, и если вдруг опаздываете на работу, а ключи потерялись где-то в квартире — активируете режим поиска в вашем айфоне. Используя технологию ultra-wide band (она же UWB), телефон указывает вам направление в сторону метки и дает подсказки типа «горячо-холодно».

Более сложный случай: вы прикрепляете AirTag к рюкзаку, а рюкзак успешно забываете в метро. Поскольку вы и ваш айфон на момент обнаружения пропажи от рюкзака уже очень далеко, то UWB тут не поможет. В дело вступают все пользователи относительно современных мобильных устройств Apple (iPhone 7 и более новых). При помощи технологии Bluetooth они определяют наличие метки поблизости и передают примерные или точные координаты в вашу учетную запись Apple. При помощи сервиса Apple Find My вы можете посмотреть, куда в итоге попал ваш рюкзак — в бюро находок или к новому владельцу. Самое главное, что все это происходит автоматически, и даже устанавливать ничего не надо. Все нужное для работы системы поиска AirTag уже встроено в iOS у сотен миллионов пользователей.

Правда, учитывая максимальную дальность работы Bluetooth в десятки метров, такая схема работает только в крупных городах, где людей с айфонами очень много. Если ваш рюкзак попал в деревню, где все жители поголовно пользуются смартфонами на Android, установить местоположение AirTag будет затруднительно. В этом случае срабатывает третий механизм обнаружения: встроенный в метку динамик через несколько часов отсутствия связи хоть с каким-то iPhone начнет издавать звук. Если нашедший сообразит приложить к метке смартфон с поддержкой NFC, та сообщит ему номер телефона для связи с владельцем пропажи.

В теории AirTag — полезный и относительно недорогой аксессуар для повседневного отслеживания легко теряемых вещей, который поможет найти спрятавшиеся ключи или забытую сумку. Один из примеров полезного применения технологии, который довольно часто обсуждали за последний год, — это возможность прикрепить AirTag к чемодану перед авиаперелетом. Уже неоднократно путешественникам удавалось установить местоположение утерянного багажа быстрее, чем сотрудникам авиакомпаний.

На практике же сразу после поступления устройств в продажу начали появляться сообщения о не совсем правомерном их использовании или даже об откровенном криминале. Вот самые важные примеры:

• Активистка из Германии раскрыла местоположение засекреченного государственного агентства, отправив им конверт с AirTag по почте. Подобной деятельностью — более или менее легальной в зависимости от законодательства конкретной страны — занимаются многие, отслеживая, например, реальные пути доставки почты. Но возможен и такой вариант использования, как у немецкой активистки: если кто-то использует абонентский ящик для получения посылок, чтобы не светить свой почтовый адрес, посылка с меткой внутри раскроет его реальное место жительства.
• А теперь серьезно: в декабре прошлого года полиция Канады расследовала несколько случаев использования AirTag для угона автомобилей. Преступники действовали так: на общественной парковке приклеивали метку к автомобилю, определяли таким образом домашний адрес владельца и ночью угоняли автомобиль, пока он стоит на стоянке в пригороде, подальше от возможных свидетелей.
• Наконец, есть множество свидетельств слежки за женщинами с помощью AirTag. Метку приклеивают к машине, подкладывают в сумку, определяя таким образом и место жительства, и повседневные маршруты передвижения по городу. Против такой слежки в AirTag есть защита — если метка постоянно перемещается, а телефона, к которому она привязана, рядом нет, она начинает издавать звук при помощи того самого динамика. Однако народные умельцы довольно быстро сообразили, что можно этому противопоставить: некоторое время назад в сети начали торговать модифицированными AirTag с отключенной пищалкой.

И знаете, это еще не самый страшный сценарий. Теоретически AirTag можно взломать и модифицировать поведение метки программно. Определенные шаги к этому уже сделаны: в частности, уже в мае прошлого года исследователю удалось получить доступ к защищенной прошивке устройства. И вот это будет наиболее опасным и для Apple, и для пользователей — ситуация, когда кто-то сможет воспользоваться сетью из сотен миллионов iPhone для незаконной слежки без ведома производителя, владельцев участвующих в поисковой операции смартфонов и самих жертв.

Самое страшное пока не произошло, и вряд ли произойдет — Apple все-таки заботится о безопасности собственной инфраструктуры. Также надо понимать, что AirTag — далеко не единственное устройство подобного плана. Различного рода легальные и нелегальные устройства для слежки существуют уже не одно десятилетие.

Более того, даже потребительские брелоки с похожей функциональностью давно продаются. Метки Tile выпускаются с 2013 года, и они также имеют средства поиска потерянных вещей на большом расстоянии с использованием того же самого принципа. Конечно, этой компании вряд ли удастся достичь «покрытия» из сотен миллионов iPhone — тут нужна мощь экосистемы Apple. Плюс подобные устройства стоят денег, иногда немалых, и относительно легко обнаруживаются.

В случае с AirTag метки нужно обязательно привязывать к учетной записи Apple, которую сложно завести анонимно, без указания реального имени и (чаще всего) номера кредитной карты. Если полиция обратится в Apple по поводу незаконной слежки, то компания эти данные предоставит (остается, правда, убедить полицию запросить такие данные, что, по свидетельствам жертв в разных странах, получается не всегда).

В итоге все как обычно: AirTag — это полезная технология, которая также может использоваться во вред. Apple не изобрела киберсталкинг, но придумала удобную технологию, которая, так уж получилось, позволяет реализовать незаконную слежку. Поэтому на компании лежит и ответственность для усложнения нежелательного использования.

Здесь снова стала актуальной критика закрытой экосистемы программ и устройств Apple. Если вы владелец iPhone и кто-то подложил вам в сумку AirTag, ваш телефон сообщит об этом. А если у вас нет iPhone? Пока производитель решил эту проблему выпуском приложения для Android-смартфонов. Которое еще надо установить, чтобы обнаружить слежку. Получается, Apple создала проблему для всех, а простое решение предложила только для собственных клиентов. Всем остальным приходится как-то подстраиваться.

В феврале 2022 года Apple постаралась ответить на массу критики одним большим заявлением. В нем она признала, что далеко не все сценарии использования AirTag (как легальные, так и незаконные) были предусмотрены до выпуска устройства. Пообещала более четко сообщать покупателям AirTag о том, что использовать их для слежки нельзя. Планирует сделать погромче звуковой сигнал, по которому вы можете найти «чужой» AirTag. Это похвально, но всех проблем пока не решает. Будем надеяться, что со временем Apple удастся четко разделить законные и незаконные варианты использования AirTag.

В 2020 году Россия заняла третье место в мире по количеству камер видеонаблюдения на своей территории. Страна также инвестировала миллионы долларов в программное обеспечение для распознавания лиц и запустила в Москве одну из самых всеобъемлющих систем наблюдения в мире.

Власти заявляют, что это повысит общественную безопасность и поможет бороться с пандемией коронавируса, однако правозащитники выразили обеспокоенность отсутствием регулирования и возможными нарушениями конфиденциальности данных.

Согласно исследованию информационно-аналитического агентства TelecomDaily, в 2020 году в России насчитывалось более 13 миллионов камер видеонаблюдения. Только в Китае и Соединенных Штатах их было больше 200 миллионов и 50 миллионов соответственно. По количеству камер на 1000 человек Россия заняла третье место после США и Китая.

Профессор Дуглас Дж. Лейт (Douglas J. Leith) из дублинского Тринити-колледжа опубликовал научное исследование, посвященное сбору телеметрии в мобильных ОС. Оказалось, что компания Google собирает примерно в 20 раз больше телеметрии с устройств на базе Android, чем компания Apple с устройств на базе iOS.

Для сбора статистики и проведения анализа эксперт изучил трафик, исходящий от устройств iOS и Android на серверы Apple и Google на различных этапах работы девайса, например:

• при первом запуске после восстановления заводских настроек;
• когда SIM-карта вставлена​/ извлечена;
• когда телефон простаивает;
• при просмотре экрана настроек;
• когда геолокация включена/отключена;
• когда пользователь входит в предустановленный магазин приложений.

При этом в исследовании учтено, что данные могут собираться как самой операционной системой, так и приложениями по умолчанию, включая поисковики (Siri, OkGoogle), облачные хранилища (iCloud, Google Drive), карты и геолокационные сервисы (Apple Maps, Google Maps), хранилище фотографий (ApplePhoto, Google Photos). Разделив эту активность, Лейт сосредоточился именно на сборе данных ОС.

В итоге профессор пришел к выводу, что «и iOS, и Google Android собирают телеметрию, несмотря на то, что пользователь явно отказался от этой [опции]». Хуже того, «эти данные передаются компаниям, даже если пользователь не вошел в систему (даже если он никогда не входил в систему)».

Согласно документу, Apple склонна собирать больше типов данных со своих iOS-устройств, но Google собирает «заметно больший объем данных».

«В течение первых 10 минут после запуска смартфон Pixel отправляет в Google около 1 Мб данных, тогда как iPhone отправляет в Apple около 42 Кб данных.
Когда телефоны простаивают, Pixel отправляет примерно 1 Мб данных в Google каждые 12 часов по сравнению с iPhone, отправляющим 52 Кб в Apple. То есть Google собирает примерно в 20 раз больше данных с мобильных устройств, чем Apple», — пишет эксперт.

Столь обширная телеметрия может повлечь за собой как минимум две серьезные проблемы. Во-первых, ее можно использовать для привязки физических устройств к личным данным, которые обе компании, скорее всего, используют в рекламных целях. Во-вторых, процесс сбора телеметрии позволяет производителям отслеживать местоположение пользователей на основе их IP-адресов.

Издание The Record, равно как и сам профессор Тринити-колледжа, попросило представителей Apple и Google прокомментировать выводы, сделанные в научной работе. Компания Apple не ответила на запросы профессора и журналистов, а в Google Лейту пообещали обнародовать общедоступную документацию по собираемым данным, хотя не назвали точную дату, когда это произойдет. Журналистам же в Google ответили несколько иначе:

«В этом исследовании рассказывается о том, как работают смартфоны. Современные автомобили регулярно отправляют производителям основные данные о компонентах транспортного средства, состоянии их безопасности и графиках обслуживания, и мобильные телефоны работают аналогичным образом. В этом отчете подробно рассказывается о таких сообщениях, которые помогают гарантировать, что программное обеспечение iOS или Android обновлено, службы работают должным образом, а телефон безопасен и работает эффективно».

Кроме того, производитель оспаривает саму методологию сбора данных. По мнению Google, в исследовании недооценивается объем телеметрии iOS, и исключаются определенные типы трафика, а это приводит к искажению результатов.

Кто бы не хотел заглянуть в будущее, чтобы увидеть себя старше? Это то, что делает FaceApp, но есть одна загвоздка — пользователи отправляют горы данных и дают право использовать свои изображения практически при любых обстоятельствах. Учитывая сомнительное право собственности на приложение, невозможно точно сказать, как эти данные могут использоваться.

FaceApp существует уже несколько лет, но в какой то момент оно стало вирусным из-за своего нового фильтра старения. Приложение использует ИИ, чтобы показать, как вы можете выглядеть через 20 или 30 лет. Эти изображения стали настолько популярными, что даже знаменитости начали публиковать их в социальных сетях с тегом #faceappchallenge. Однако многие люди были удивлены, когда начали копать глубже и читать Условия и положения приложения, в которых говорится:

“Вы предоставляете FaceApp бессрочную, безотзывную, неисключительную, безвозмездную, всемирную, полностью оплаченную, передаваемую сублицензионную лицензию на использование, воспроизведение, модификацию, адаптацию, публикацию, перевод, создание производных работ, распространение, публичное исполнение и отображение вашего пользовательского контента, а также любого имени, имени пользователя или подобия, предоставленного в связи с вашим пользовательским контентом во всех медиа-форматах и каналах, известных в настоящее время или разработанных позже, без какой-либо компенсации вам.”

Это означает, что приложение имеет право использовать ваше имя, фотографии и другой контент так, как захочет.