Conclusiones clave
- Los investigadores encontraron miles de los principales sitios web que capturan y comparten datos de formularios incluso antes de que los usuarios presionen el botón Enviar.
- La colección no siempre tiene fines publicitarios, sugieren los expertos en privacidad.
- Muchos sitios web admitieron y corrigieron los errores, pero varios aún desafían las reglas.
Los sitios web son cada vez más hábiles para recopilar y compartir su información.
Un amplio estudio de los 100.000 principales sitios web reveló que muchas personas filtraron información ingresada en los formularios del sitio a rastreadores de terceros antes de que las personas presionaran el botón de enviar. Encontró miles de esos sitios web que filtraron todo, desde direcciones de correo electrónico hasta contraseñas, aunque, afortunadamente, muchos solucionaron los problemas una vez que los investigadores se pusieron en contacto con ellos.
"Es preocupante ver sitios web que filtran contraseñas", dijo Rick McElroy, estratega principal de seguridad cibernética de VMware, a Lifewire por correo electrónico, en respuesta a la investigación. "Estoy feliz de ver que una vez notificados, las organizaciones hicieron cambios en su código para detener esa práctica".
Entrar a la fuga
El estudio se realizó para determinar si los rastreadores en línea hacen un mal uso del acceso a los formularios web. Los investigadores señalan una encuesta en la que el 81 % de los encuestados admitió haber abandonado los formularios en línea en algún momento.
"Creemos que va en contra de las expectativas de los usuarios recopilar datos personales de formularios web con fines de seguimiento antes de enviar un formulario", señalaron los investigadores. "Queríamos medir este comportamiento para evaluar su prevalencia".
En total, probaron 2,8 millones de páginas en los sitios mejor clasificados del mundo. De estos, 1.844 sitios web permitieron a los rastreadores filtrar las direcciones de correo electrónico antes del envío, cuando se visitaron desde Europa. Cuando se visitó desde los EE. UU., la cantidad de sitios que recopilaron información antes del envío aumentó a 2, 950.
Los investigadores señalan que las filtraciones de datos aparentemente no fueron intencionales en algunos casos, y que la recopilación incidental de contraseñas en 52 sitios web se resolvió gracias a los hallazgos del estudio.
"Algunos sitios web nos dijeron que no estaban al tanto de esta recopilación de datos y rectificaron el problema con nuestras divulgaciones", escribieron los investigadores, quienes presentarán sus hallazgos en el próximo Simposio de seguridad de USENIX, en Boston, Massachusetts.
Mantente a salvo
Chris Hauk, defensor de la privacidad del consumidor en Pixel Privacy, dijo que si bien las filtraciones de datos provienen de los sitios web, hay un par de cosas que las personas pueden hacer por su parte para al menos frenar las filtraciones de datos.
"Los usuarios pueden visitar el sitio web Cover Your Tracks de Electronic Frontier Foundation para determinar cómo los rastreadores de sitios web ven su navegador, revelando cómo los sitios pueden rastrearlo mientras está en línea y qué puede hacer para evitarlo, al menos parcialmente", sugirió Hauk a Lifewire por correo electrónico.
Los datos personales y su valor forman el modelo comercial de muchas empresas digitales modernas durante los últimos 20 años o más…
El consejo habitual de usar una VPN para cubrir sus huellas en línea no será de mucha utilidad para evitar este tipo de fugas. Hauk sugiere usar una dirección de correo electrónico desechable, separada de su cuenta de correo electrónico personal habitual, para usar en sitios web que soliciten dicha información.
McElroy pidió a las personas que usaran un navegador web creado para la privacidad como Brave o que instalaran complementos de privacidad, como Privacy Badger, en su navegador habitual. También abogó por la autenticación multifactor para minimizar el daño de las filtraciones de contraseñas.
Además, los investigadores han desarrollado un complemento de navegador de prueba de concepto llamado Leak Inspector que advierte y protege contra la exfiltración de datos.
Economía de datos
Al expresar su sorpresa por el alcance de la recopilación, McElroy dijo que la gente debe entender que los datos generados por humanos son una mercancía que se recopilará, compartirá, analizará y usará para múltiples propósitos.
"La mayoría de las veces, estos propósitos no son necesariamente maliciosos (como compartir datos con un anunciante externo); sin embargo, el flujo entre sistemas con varios niveles de seguridad hace que todos los consumidores sean vulnerables y crea un panorama propicio para atacantes para aprovechar ", explicó McElroy.
David Rickard, CTO North America en Cipher, una empresa de Prosegur, cree que las personas deben suponer que cada formulario que completan en Internet está guardando datos mientras se realiza la entrada de datos, y cada formulario que completan se convierte en propiedad del sitio web y revendido a terceros.
"Los datos personales y su valor forman el modelo comercial de muchas empresas digitales modernas durante los últimos 20 años, incluso si sus políticas de privacidad establecen explícitamente que no recopilan PII [Información de identificación personal] y la venden, Rickard le dijo a Lifewire por correo electrónico.
Él dijo que los agregadores de datos funcionan alrededor de las regulaciones de privacidad mediante la recopilación de varios conjuntos de datos diferentes que pueden no incluir el nombre, la dirección, etc., que no son PII como tales, pero cuando se comparan con cientos de puntos de datos adicionales de otros conjuntos de datos, puede identificar individuos con una tasa de éxito de más del 90%.
"Esto da lugar a servicios que son algo así como tablas actuariales (o que se cree que en realidad son tablas actuariales) que indican solvencia crediticia, asegurabilidad, empleabilidad, probabilidad de diferentes adicciones, probables afiliaciones políticas y religiosas, lo que sea, " dijo Rickard.
