обратите внимание что то пошло не так бургер кинг
Разбираемся, что записывает, а что не записывает приложение Burger King
С помощью небольшой инструкции размещенной в комментарии вы можете самостоятельно получить видео, которое отправляет Appsee. И убедиться какие данные ретушируются, а какие нет.
Моему анализу подверглось Android приложение версии 2.2.2 с датой обновления 9 июля 2018г. Результаты на других платформах и в других версиях приложения могут отличаться от приведенных в этой статье.
Инициализация Appsee
Appsee это одна из систем аналитики применяемая для улучшения опыта взаимодействия пользователя с клиентским приложением. Она записывает экран и ваши действия, когда вы находитесь в приложении. В общем-то в этом ничего страшного нет, в Web повсеместно распространена технология Вебвизор от Яндекса, которая имеет тоже самое назначение.
На начальном этапе своей работы Appsee запрашивает конфигурацию для конкретного приложения с сервера, именно этот запрос поймал автор в оригинальной статье, в моем же случае ответ выглядел примерно так:
Можно заметить, что параметры HideInput, HideSensitiveViews имеют значение true, скрывая тем самым важную информацию в видео. Сразу возникает вопрос как определяется важность информации, для ответа обратимся к документации Appsee. Если коротко, то по умолчанию скрытию подвергаются все поля для ввода данных, дополнительно можно настроить скрытие для других полей или частей интерфейса.
Так же обратим внимание с каким качеством ведется запись видео, в моем случае это было видео с разрешением 320 на 160 пикселей, с частотой три кадра в секунду.
Реальные данные собираемые Appsee
Я решил проверить какие данные действительно отправляются на сервера Appsee, для этого я использовал Proxy из Burp Suite. Сначала система аналитики передает файл с действиями пользователя внутри приложения, там в том числе есть координаты нажатий пользователя, нажатия на клавиатуре не фиксируются.
Видео передаваемое на сервера Appsee, как и следовало ожидать большинство данных скрыты
Смотрим, что происходит дальше
«Мобильное приложение Burger King с удаленным заказом не собирает персональных данных своих подписчиков. Все транзакции надежно защищены одним из лучших эквайеров страны — Яндекс.Касса. Данные о поведении пользователей в приложении не содержат информации о банковских картах и не хранятся на сервере», — сообщает компания.
Звучит достаточно убедительно, а теперь смотрим реальный трафик. Для оплаты действительно используется процессинг от Яндекса, это можно определить по запросу с адресом
Полезной нагрузкой запроса является параметр request с некоторыми данными:
Те, кто хоть раз работали с JSON Web Token сразу заметили, что это он. С помощью онлайн-декодера получим исходные данные. В общем-то ничего удивительного онлайн-процессингу передается информация о карте, которая ему и предназначается
Изначально в следующем разделе содержалось неверное предположение о логировании всей информации о карте, после замечания staticlab в комментариях, раздел про логирование был изменен. Приношу свои извинения читателям, которых я ввел в заблуждение.
Логи всему голова
Казалось бы, что может пойти не так, карта должна надежно обрабатываться на Яндекс.Касса. Если бы разработчики приложения Burger King не решили добавить немного логирования со своей стороны. Тем самым все же, собирая некоторую информацию о картах, в частности 4 последние цифры карты, месяц и год окончания действия карты. Лог с информацией приведенной ниже отправляется по адресу:
Данные отправляются как при успешной, так и при неудачной попытке вызвать процессинг карты. Почти уверен, что логи сохраняются, иначе зачем их отправлять?
Burger King: тайная слежка, ложь, хищение банковских карт. Продолжение
UPD: Пользователь Sabubu рассказал о том, что IT-директор компании Burger King начал публично угрожать автору расследования.
Вступление
Первое расследование о приложении Burger King создало резонанс в СМИ, а также оказалось в топе Пикабу, TJournal, и Хабрахабр.
Как выяснилось — людям небезразличен шпионаж за ними.
Расследование понравилось и хакерам. С момента публикации, на мой блог совершили десятки хакерских атак.
Примечание: все ссылки на официальные ответы и ресурсы Burger King — архивные, в целях предотвращения редактирования либо подмены своих постов администрацией Burger King после или во время написания данной статьи.
Для архивирования ссылок используется проверенный сервис archive.is.
Все оригинальные ссылки — в конце данной статьи.
Часть I. Ответы.
Компания Burger King молчала и нагло игнорировала вопросы своих клиентов в течении целого дня после публикации расследования, и ответила только после прямого обращения РосКомНадзора.
Какой ответ мы получили?
I.I. Официальный ответ Burger King ВКонтакте.
Ну что же, давайте разбирать по пунктам.
Во-первых — под «европейским законом о защите персональных данных» подразумевается GDPR. Он действует только для Европейского Союза, и Россия де-факто не имеет к нему никакого отношения.
Российский Burger King ему не подчиняется.
Burger King обязан следовать Федеральному закону «О персональных данных», но он ему не следует.
Во-вторых — «мы не делаем запись».
В моём оригинальном расследовании чётко видно, что приложение Burger King не просто записывает экран, а делает это постоянно.
В том числе — во время ввода реквизитов банковских карт.
В-третьих — «получаем обезличенную аналитику по работе приложения».
О какой обезличенности идёт речь, если Burger King получает номер телефона, имя, и почтовый адрес клиента (компания-разработчик приложения Burger King сама об этом говорит) при регистрации и использовании приложения?
Также, Burger King хранит детальные данные о каждом пользователе, что подтвержает директор по digital-проектам Burger King Сергей Очеретин.
Сергей Очеретин. Директор по digital-проектам Burger King.
Фотография из открытых источников.
Сергей открыто заявил, что «проверил мои аккаунты» (после недвусмысленного намёка на то, что знает мое местоположение; на момент написания статьи комментарий удален) и что у Burger King есть «логи» (запись действий) каждого пользователя.
Скриншот с форума 4PDA.
В-четвёртых: «или об этом уже нельзя говорить?»
Burger King ни разу не отвечал на вопросы о слежке до этого комментария.
Они наглейшим образом игнорировали вопросы своих клиентов и начали отвечать только после прямого обращения РосКомНадзора. (о чем я написал выше).
Здесь Burger King делает вид, что они якобы уже об этом говорили, но на самом деле — не было ни одного ответа.
Ответ на обращение РосКомНадзора — их первый за все время, и они сразу же пытаются манипулировать мнением говоря «или об этом уже нельзя говорить?».
Запись экрана — доказана.
Благодаря вышеперечисленным аргументам можно сделать вывод, что Burger King снова лжёт.
I.II. «Опровержение»
Вскоре, после того как Burger King ответил ВКонтакте — опровержение выпустила и компания-разработчик приложения Burger King.
Они говорят, что (далее цитата):
Давайте пройдемся по каждому из пунктов.
Пункт первый — «скрытие личных данных при записи видео для аналитики прописано в коде приложения, данные скрываются до того, как покинут мобильное устройство».
Скрытие личных данных не прописано в коде приложения.
Скрытие личных данных при записи видео — это параметр, который приложение запрашивает каждый раз у удаленного сервера, и только после получения ответа («да» или «нет») оно устанавливает значение параметра в «скрывать личные данные» или «не скрывать личные данные».
Данный параметр контролируется удаленно и поменять его Burger King может в любой момент. Проще говоря: хочет — не скрывает, хочет — скрывает.
Комментарий пользователя на Habr.com
Таким образом, мы делаем вывод, что утверждение «данные скрываются» — это очередная наглая ложь со стороны Burger King и их команды разработчиков.
Пункт второй — «Burger King, e-Legion и Appsee не имеют доступа к банковским данным пользователей. Эти данные не записываются, не хранятся и не передаются третьим лицам».
Как мы выяснили в разборе первого пункта — данные не скрываются и не шифруются. Они передаются на удаленный сервер в открытом виде, и там хранятся.
Доступ к этим данным имеют все, кто связаны с приложением, а также с метрикой AppSee.
Заявление о том, что Burger King, e-Legion (разработчик приложения), и AppSee «не имеют доступа к банковским данным пользователей» — это очередная наглая ложь.
Пункт третий — «Burger King получает только имя, email и телефон пользователя в соответствии с Пользовательским соглашением».
Как мы выяснили в первых двух пунктах — Burger King имеет доступ к записям экранов пользователей и их платежным данным, поэтому данное заявление — лживое и призвано ввести клиента в заблуждение.
Однако, Burger King действительно имеет доступ к именам, E-Mail, и телефонам клиентов, однако не «только», а «вместе» с записями экранов, банковских карт, и полной сводки действий каждого пользователя.
Также, в Пользовательском Соглашении
Заявление о том, что «Burger King получает только имя, email и телефон пользователя» — наглая ложь.
Пункт четвёртый — «Запись видео с экранов помогает собрать статистику с целью улучшения работы приложения».
Здесь мы приходим к официальному подтверждению записи экрана без размытых формулировок.
Однако, ведь в своём официальном заявлении Burger King говорил, что они не записывают экран! Как же так?
Судя по многочисленным жалобам и отзывам на приложение — оно очень медленное и плохо работает.
Никакого «улучшения работы приложения» нет.
Пункт пятый — «Appsee строго придерживается всех существующих законов о работе с персональными данными пользователей».
AppSee — сервис аналитики, и Burger King постоянно заявляет что сервис «следует GDPR», однако — как мы уже высянили, для России соблюдение GDPR ничего не значит. А вот Федеральному закону «О персональных данных» он не подчиняется.
Значит — опять ложь. Ведь главному закону о персональных данных — AppSee не подчиняется.
Пункт шестой — «передача данных в сервис аналитики Appsee происходит только по Wi-Fi и не расходует мобильный трафик».
Тестирование показало, что передача видео происходит и по Wi-Fi, и по сотовой сети.
Более того, собственное видео команды e-Legion (разработчик приложения Burger King) из их поста доказывает, что загрузка происходит и по сотовой сети.
Скриншот из видео выше, «Cellular» — сотовые данные.
Из этого делаем вывод — очередная наглая ложь.
Часть II. Доказательство записи и передачи банковских данных.
Вступление
Самой главной претензией ко мне было то, что я показал только скриншот из перехваченного мною видео, а само видео — не показал.
Этим мгновенно воспользовался Burger King и в отдельности Сергей, чтобы обвинить меня якобы во лжи.
Это же подхватили и все остальные, начав беспочвенно обвинять меня в «набросе», аргументируя это тем, что я не показал видео. Доходило до прямых оскорблений и угроз.
Почему же я не показал сначала видео?
Все просто — я тоже человек 🙂
Во-первых — я не сохранил видео с банковскими картами (я его смотрел из программы-инспектора трафика, и не сохранил), а скриншот показал из другой записи, которую загружать смысла не было.
Во-вторых — сделав оригинальный пост-расследование ночью, я не пошел спать. Я забыл про сон и стал отвечать каждому в комментариях. Чуть позже — журналисты обнаружили моё расследование, поднялся резонанс, и я сидел отвечал не только на комментарии, а и на письма и сообщения журналистов.
Просидел я так очень долго, и сидел бы дальше.
Но увы, у меня нет кнопки «отключить сон и отвечать всем», поэтому я пошел спать.
Проснувшись от кучи уведомлений на своём телефоне, я в полусне увидел что от меня хотят видео.
Причем не просто хотят, а хотят с оскорблениями, с угрозами, с хамством.
Я думаю, что моя реакция на подобные требования ночью была очевидна — послав всех оскорбляющих меня хамов я лег спать дальше.
А люди, поливающие меня помоями, видимо считали, что я обязан по первому щелчку пальцев бежать что-то делать. Нет уж.
В какой-то момент я решил вообще всё послать и ничего не делать (оскорбления не добавляют желания что-то делать). Но, решил все-таки доказать, что я был прав.
Когда проснулся — вспомнил что нужно сделать видео. Сделал. 🙂
Часть II.I. Видеозапись, сделанная приложением
Данное видео было перехвачено мной из копии трафика приложения Burger King для iOS (версия 2.2.0 — последняя).
Видео никоим образом не модифицировалось, трафик и код приложения не менялись.
Как Вы можете видеть, детали банковской карты — не скрываются.
Не скрываются и поля ввода телефона, E-Mail, имени, и клавиатура.
Также, в начале видео я убрал подтверждение согласия с правилами использования, но запись видео не прекратилась и оно все равно отправилось на сервер.
Часть II.II. Техническая информация
По параметрам (разрешение, FPS, битрейт) — моё видео полностью совпадает с видео, на которое ссылается команда-разработчик приложения Burger King в своем посте, заявляя что поля ввода данных «закрашиваются».
Часть II.III. Почему моё видео — настоящее.
Хочу отметить очень важное доказательство того, что моё видео — действительно из приложения: на нём не видно статус-бара (строки с уровнем сотового сигнала, времени, заряда батареи), вместо него — пустое место.
Слева — моя запись, справа — официальный скриншот приложения
Такое видео может записать только само приложение.
На iPhone (а именно на нём я и запускал приложение) — невозможно скрыть статус-бар при использовании средств ОС для записи дисплея (а других — не существует).
На моем iPhone нет jailbreak (взлома ОС) и стоит последняя версия iOS, поэтому у меня нет возможности скрыть статус-бар или использовать сторонее приложение для записи экрана.
Поэтому единственный вариант получить такую запись — это чтобы приложение само себя записало, так как на iOS оно не может записать системные элементы кроме клавиатуры.
Также сравните пустые статус-бары на записях предоставленных Burger King, и на моем видео. Они совпадают, их нет.
Часть III. Заключение.
Часть III.I. Итоги
Каждый пункт «опровержения» Burger King — разбит мною в пух и прах.
Здесь же — доказательства прямой лжи Burger King.
Часть III.II. Проверка РосКомНадзором
Я (и многие люди) хотели бы, чтобы РосКомНадзор проверил Burger King насчет их небезопасного и пофигистичного обращения с персональными данными и банковскими картами клиентов.
И чтобы это ограничилось не постом в ВК с мемасиками, а серьезной проверкой.
Часть III.III. А зачем мои карты Бургер Кингу?
— «Зачем Burger King воровать данные платежных карт? Они и так богатые, а кражей карт — испортят себе репутацию.» (цитата реального вопроса на форуме)
Дело в том, что приложение Burger King делает не директор сети собственноручно. Поверьте, он не сидит на кожанном кресле за компьютером, прикуривая кубинские сигары пачкой баксов и набирая код приложения, чтобы украсть деньги у россиян.
Приложение Burger King делает нанятая ими компания e-Legion, а к записям экрана имеют доступ все (я не верю заявлениям e-Legion о том, что доступ есть только у сотрудников Burger King после прямой лжи, которую я доказал): и e-Legion, и Burger King, и все в промежутке.
Там может быть и студент, работающий за дошираки, и захотевший легкой наживы.
А может быть и злоумышленник, который прямо сейчас поймал Вашу карту и уже купил себе новенький айфон.
Вы никогда не узнаете, ведь если такое произойдет — то Burger King как обычно нагло Вам наврёт и скажет что все «окей, и вообще — «вы окурели».
И репутацию там портить ниже некуда.
Часть III.IV. Сотрудники, которых нельзя пускать к людям.
Наглая ложь, угрозы, хамство, оскорбления. Это только начало.
Хотя чего ожидать от компании с такой рекламой:
И такими сотрудниками:
Ссылки в статье — это архивные копии ссылок ниже, сделанные в целях предотвращения изменения или удаления постов/сообщений Бургер Кингом.
Я не рекомендую читать ответы Бургер Кинга по ссылкам ниже, так как их могли изменить после публикации моей статьи.
Приложение Burger King: насмешка над защитой персональных данных. Исправляем?
После того, как Хабр буквально за сутки разорвала серия статей про вкусную еду слежку за пользователями от Burger King (раз, два, три), разработчик приложения e-Legion опубликовал на Хабре ответный пост.
Да, ажиотаж эта тема вызвала серьезный, на текущий момент суммарно эти статьи просмотрели больше 230 тысяч раз и оставлено больше 1000 комментариев.
В своей статье разработчик пытается опровергнуть доводы молодого человека, рассказавшего о том, как приложение Burger King не очевидным образом мониторит поведение пользователей, и утверждает, что обработка персональных данных соответствует даже GDPR, который строже отечественного закона №152-ФЗ «О персональных данных».
РосКомСвобода покажет, почему приложение Burger King не соответствует закону №152-ФЗ и подарит ООО «Бургер Рус» час бесплатной консультации юриста по персональным данным.
При скачивании, установке и первом запуске приложения перед использованием, ООО «Бургер Рус» (официальное юрлицо) не дает возможности ознакомиться с Политикой обработки персональных данных, сведениями о реализуемых требованиях к защите персональных данных, как того требует ст. 18.1 152-ФЗ. Идет запрос мобильного телефона, предлагается ознакомиться с пользовательским соглашением. Номер мобильного телефона в данном случае относится прямо к определенному физическому лицу и является персональными данными.
В попытках отыскать Политику обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных переходим на сайт burgerking.ru
Ссылки на политику при беглом осмотре не найдено.
Переходим на страницу обратной связи.
Предлагается оставить целый букет персональных данных, при этом Политику их обработки и сведений о реализуемых требованиях к их защите также при беглом осмотре найти не удалось.
Одновременно выясняем, что через страницу обратной связи персональные данные обрабатываются на основании согласия, которое дается в неявной форме путем заполнения полей и нажатия на кнопку отправить. Других согласий на обработку персональных данных по обратной связи нам найти не удалось.
Обработка персональных данных на основании согласия подразумевает уведомление Роскомнадзора в соответствии со ст. 22 152-ФЗ. Ищем ООО «Бургер Рус» в реестре операторов персональных данных, ОГРН берем из соглашения пользователя. Найти также не удалось:
В процессе дальнейшей установки приложения также запрашивалось разрешение на управление вызовами, документальное отражение данной привилегии на сайте компании найти не удалось. Не ясно зачем и в каком объеме, нет транспарентности.
Из приложения также не найдена ссылка на сведения о Политике обработки персональных данных с соответствующими сведениями об их защите.
Посмотрим на Пользовательское соглашение.
п.2.7. обязывает покинуть приложение, если с чем-то не согласны. Это может говорить о том, что Burger King на компромиссы не готов. Запомним.
Вместо адреса электронной почты указана страница с контактами, что не соответствует сути условия. Соглашением адрес электронной почты не установлен, на странице контактов адрес электронной почты также отсутствует. Соглашение таким образом не устанавливает возможности электронного взаимодействия с пользователем, т.к. форма обратной связи договорной не является.
В пункте 3.3. похоже, что компания лукавит. Пусть банковские карты не обрабатываются непосредственно ей, зато явно идет сбор идентификаторов по оплате, времени оплаты (и других данных по заказу), которые прямо или косвенно относятся к определяемому или определенному лицу. Хотелось бы посмотреть, нашло ли это отражение в политике.
п.4.10 вообще отличный. Если пользователь удалит приложение, расторгнув договор, его персональные данные продолжат обрабатываться в полном объеме, пока не будет направлено письменное уведомление. Не забываем про п.2.7.
Явное нарушение принципов обработки по ст.5 152-ФЗ и оснований обработки по ст.6 152-ФЗ
По п.5.1. вам безальтернативно предложено получать рекламу в неограниченном объеме, даже если вы расторгните договор по п.4.10
По п.5.4. с вами расторгнут соглашение в любой момент, заблокируют приложение. Скорее всего персональные данные в нарушение 152-ФЗ никто не уничтожит, рекламу получать продолжите.
В п.5.6. Соглашения, согласие на передачу персональных данных дано с нарушением п.3 ст.6 152-ФЗ, в частности не указаны третьи лица, которым передаются персональные данные.
Напоследок можно сказать, что по п.7.3. Компания не отвечает за утерю любых данных Пользователя. Уже только это — вопиющее нарушение положений 152-ФЗ (ст. 7, ст. 19)
GDPR накладывает более строгие требования к обработке персональных данных. Если нарушены основные принципы обработки персональных данных по 152-ФЗ, о возможных нарушениях по GDPR (если он применяется) можно даже и не говорить. Когда нарушения в компании видны только лишь при визуальном осмотре сайта, скорее всего нет (или присутствует формально) должной организационно-распорядительной документации, это прямое следствие. Внешние документы (это те, с которыми может или должен ознакомиться любой) должны быть всегда идеальными, а разработка приложения не только по GDPR, но даже по 152-ФЗ должна начинаться с принципов “privacy by design”.
Юристы РосКомСвободы полагают, что у ООО «Бургер Рус» есть как минимум признаки нарушений по п.5, п.6, п.18.1, п.19 Федерального закона «О персональных данных» и мы готовы подарить час бесплатной консультации Центра цифровых прав, юридическая служба которого поможет обеспечить безопасность пользователей на должном уровне.