Aktualizacja nr 2, 8 lutego 2019 r. (10:15 ET):Dziś rano dowiedzieliśmy się od AT&T o skandalu dotyczącym danych lokalizacji opisanym poniżej. AT&T twierdzi również, że kończy wszelkie skojarzenia z usługami agregacji lokalizacji:

Nie jesteśmy świadomi niewłaściwego korzystania z tej usługi, która zakończyła się dwa lata temu. Zdecydowaliśmy już wyeliminować wszystkie usługi agregacji lokalizacji - w tym te, które przynoszą wyraźne korzyści dla konsumentów - po zgłoszeniu niewłaściwego użycia przez inne usługi lokalizacyjne obejmujące agregatory.

Oznacza to, że dwóch z trzech zaangażowanych przewoźników udzieliło odpowiedzi na (Sprint wcześniej powiedział nam, że kończy kojarzenie z agregatorami danych, patrz poniżej).

Oto pełne oświadczenie T-Mobile:

Zapewniliśmy sobie przejrzystość, że kończymy wszystkie nasze usługi agregatora lokalizacji i prawie zakończyliśmy ten proces. Pracowaliśmy nad jego likwidacją w odpowiedzialny sposób, aby nie wpływać na klientów korzystających z tych usług w sytuacjach takich jak pomoc w nagłych wypadkach. Poważnie podchodzimy do prywatności i bezpieczeństwa naszych klientów i byliśmy pierwszym dostawcą usług bezprzewodowych, który zobowiązał się do zakończenia tych usług do marca.

Dodamy drugą aktualizację do tego artykułu, jeśli otrzymamy odpowiedź od AT&T.

Artykuł oryginalny, 7 lutego 2019 (18:01 ET):W styczniu,Płyta główna opublikował artykuł bombshell, w którym opisano, w jaki sposób łowcy nagród mogą łatwo uzyskać dane o lokalizacji użytkownika smartfona, kupując informacje z nikczemnych źródeł. Te źródła z kolei uzyskują informacje bezpośrednio od trzech z czterech największych operatorów bezprzewodowych w kraju.

W tym artykule aPłyta główna dziennikarz szczegółowo opisuje, w jaki sposób zapłacili łowcy nagród 300 USD za znalezienie telefonu, co łowca zrobił bardzo łatwo.

W odpowiedzi na rażące lekceważenie prywatności użytkowników operatorzy bezprzewodowi stwierdzili, że takie sytuacje są rzadkie i stanowią marginesowy problem.

Teraz miesiąc późniejPłyta główna opublikował nowy artykuł na ten sam temat, tym razem wyjaśniając, że ten problem jest znacznie, znacznie większy, niż początkowo sądziliśmy.

Setki osób kupowały dane użytkowników przez dziesiątki tysięcy za stosunkowo niskie ceny.

Według raportu, setki łowców nagród i organizacji zajmujących się obligacjami za kaucją korzystały z firmy o nazwie CerCareOne, aby kupować dane lokalizacyjne dla klientów bezprzewodowych w Sprint, AT&T i T-Mobile. Niektórzy z tych łowców nagród korzystali z tej usługi dziesiątki tysięcy razy, a jedna firma zajmująca się poręczeniami kaucyjnymi korzystała z tej usługi nie mniej niż 18 000 razy.

Dowody na to pochodzą z wewnętrznej dokumentacji CerCareOne. Firma została zamknięta w 2017 roku.

Łańcuch źródeł pozyskiwania danych o lokalizacji użytkownika nie był długi. Firma agregująca dane o nazwie Locaid (później LocationSmart, o której pisaliśmy wcześniej, jeśli chodzi o niewłaściwe obchodzenie się z danymi użytkownika) uzyskuje dostęp do danych lokalizacji użytkownika od operatorów bezprzewodowych. Firmy takie jak Locaid sprzedają dostęp do tych danych innym firmom, które chcą śledzić swoich pracowników. Aby uzyskać ten dostęp, firmy takie jak Locaid muszą wyrazić zgodę na nieużywanie danych lokalizacji w żadnym innym celu.

CerCareOne i tak uzyskała dostęp do danych Locaid, a następnie odsprzedała je bezpośrednio łowcom nagród i firmom oferującym obligacje za kaucją. W umowie łowca nagród podpisałby się w celu uzyskania danych o osobie, klauzula wyraźnie stwierdza, że ​​mają oni utrzymać w tajemnicy samo istnienie CerCareOne.

Łowcy nagród zapłaciliby ceny nawet 1100 USD za dane lokalizacji użytkownika.

W niektórych przypadkach kupujący mieli dostęp do dokładnych danych GPS dla użytkownika, a nie tylko danych połączenia z wieżą komórkową.

Dla jasności nie jest to tylko informacja o możliwym miejscu pobytu osoby na podstawie jej połączeń z różnymi wieżami komórkowymi. W niektórych przypadkach łowcy nagród mieli dostęp do danych GPS, dzięki czemu mogli poznać dokładną lokalizację danej osoby w danym momencie.

Skontaktowaliśmy się z AT&T, T-Mobile i Sprint w sprawie tych nowych informacji. Dotarł do nas tylko Sprint, z bardzo krótkim oświadczeniem, że firma postanowiła zakończyć swoje ustalenia z agregatorami danych, takimi jak Locaid / LocationSmart. Jednak już to słyszeliśmy.

Zaktualizujemy ten artykuł, jeśli otrzymamy odpowiedź od innych operatorów bezprzewodowych zamieszanych w ten skandal.