ספק צ'יפ טלפוני אסף מידע ללא ידיעת לקוחות

This post is also available in: English (אנגלית)

חברת אמריקאית המתמחה בייצור חומרה אלחוטית למטרות תקשורת אספה יוזר דאטא ללא ידיעת לקוחות, לכאורה. צ'יפים שסופקו על ידי חברת קוואלקום משומשים בקרוב לשליש מכלל מכשירי אנדרואיד, ובכל מטלפוני חברת אפל.

מחקר שפורסם על ידי Nitrokey ב-27 באפריל מראה כי החומרה שפותחה על ידי חברת קוואלקום שלחה מידע אישי של יוזרים הישר לענן שמשויך לחברה, כולל כתובות IP ומידע נוסף, ללא הסכמתם.

מכיוון ששיתוף מידע עם חברת קוואלקום לא מצוין בתנאי השימוש של סוני (ספק המכשיר שנבחן במחקר), אנדרואי או OS, מעשה זה עלול להחשיב כהפרה של חוקי התקנה הכללית להגנה על נתונים (GDPR).

פול פריווסי, החוקר מאחורי הדוח שפורסם, טוען כי בנוסף לדאגות שעולות בנוגע לפרטיות והסכמת היוזרים, פקטות המידע נשלחו באמצעות פרוטוקול HTTP ולא הוצפנו בעזרת HTTPS, SSL, או TLS. מצב בו המידע הפרטי של יוזרים חשוף לחלוטין למתקפות.

על ידי איסוף המידע ויצירת תיעוד של היסטוריית יוזרים בעזרת שימוש ב-ID הייחודי והמספר הסידורי של כל טלפון, כל אחד שנמצא על גבי הרשת, כולל שחקנים עוינים, ארגונים ממשלתיים, אדמייני רשת ומפעילי תקשורת, יכולים בקלות לגשת למידע פרטי וסודי של יוזרים.

על פי דברי החברה, איסוף המידע חוקי ולגיטימי תחת תנאי השימוש והפרטיות שלהם.

בפוליסי נכתב כך: "דרך שימוש בממשק תוכנה, אנחנו יכולים לאסוף מידע אודות מיקום, מאפיינים ייחודיים (כגון מספר צ'יפ סידורי או מספר זהות בינלאומי), מידע על כיצד הורידו את הממשקים וכיצד הם פועלים על גבי המכשיר, מידע אודות קונפיגורציה כגון הייצור, המודל, הספק האלחוטי, מערכת ההפעלה וגרסאות המידע, התוכנה הבונה, בנוסף למידע אודות רמות ביצוע של אלמנטים מהמכשיר כגון הצ'יט, יעילות סוללה, ודאטא תרמי. אנחנו יכולים להשיג את המידע האישי הזה גם ממקורות צד שלילי כגון ספקי דאטא, רשתות חברתיות, פרטנרים נוספים, ומקורות ציבוריים."

דווח על ידי cyber news.