Опубликовано видео, показывающее работу AppSee в приложении Бургер Кинг
Пользователь @3amynoK опубликовал кадры работы AppSee
0 просмотренных постов скрыто
Пикабу в новостях
Россиянин уличил приложение Burger King в слежке
Приложение сети быстрого питания Burger King записывает на видео все, происходящее на экране смартфона во время его использования, и даже в свернутом виде продолжает отсылать записи на сервер. Об этом написал изучивший код программы пользователь Pikabu fennikami.
Burger King использует приложение в информационных целях, для проведения промо-акций и приема заказов, есть версии для iOS (fennikami пишет именно о ней) и для Android. Как выяснилось, применяется программа не только для этого — iPhone автора поста с момента запуска приложения транслировал на удаленный сервер содержимое экрана.
Причем запись ведется даже тогда, когда пользователь вводит данные банковской карты. Отправляются ролики на сайт appsee.com — он принадлежит аналитической компании Appsee, которая помогает разработчикам приложений оптимизировать их, анализируя поведение пользователей при помощи такого, довольно неоднозначного метода.
В пользовательском соглашении Burger King (редакция от февраля 2018-го года, которая была опубликована на сайте на момент написания этой заметки) утверждается (пункт 3.3), что "передача данных банковской карты производится с соблюдением всех необходимых мер безопасности", "только на Авторизационный сервер по защищенному каналу" и "сохраняются только на специализированном сервере платежной системы", при этом самой компании Burger King данные банковской карты не сообщаются.
О записи содержимого экрана в пользовательском соглашении прямо ничего не говорится, с натяжкой такой метод исследования поведения пользователей можно подвести под пункт 5.2 ("компания имеет право контролировать и корректировать содержимое приложения"), а передачу данных на сервер Appsee — под пункт 5.6 ("компания вправе передать права и обязанности по настоящему Соглашению третьим лицам в целях исполнения настоящего соглашения, без дополнительного согласия пользователя").
В пункте 7.4 также сказано, что "компания не несет ответственности за возможный ущерб или убытки, вызванные использованием приложения". То есть если записанное для Appsee видео с данными банковской карты попадет к киберпреступникам, и они обчистят банковский счет пользователя, привлечь за это к ответственности Burger King будет практически невозможно.
Есть в соглашении и раздел о конфиденциальности пользовательских данных, где устанавливающий приложение (и, как правило, просто ставящий галочку на стартовом экране, не читая многостраничный текст) пользователь дает согласие на их хранение и обработку, в том числе "третьими лицами для исполнения обязанностей Компании". В список передаваемых данных включены "иные технические данные, необходимые для улучшения функционала и работоспособности приложения" — вероятно, под это определение можно подвести фиксацию действий пользователя в программе. Правда, квалифицировать так данные банковской карты вряд ли получится.
Показать полностью
Что на самом деле пишет приложение БургерКинг или разоблачение разоблачений
Доброго времени суток, вчера в горячее вышел пост https://pikabu.ru/story/prilozhenie_burger_king_tayno_zapisy... где тс @fennikami рассказывал как приложение БургерКинг пишет видео с экрана телефона и собирает персональную информацию с помощью сервиса appsee.
Заранее скажу что я не защищаю БургерКинг (к меня в стране его даже нет), просто стало обидно смотреть на стадный инстинкт пользователей пикабу, которые вывели пост в лучшее, а комментарии пользователей которые объясняли как работает сервис appsee и что никакой персональной информации не собирается минусили.
Так вот, я хочу вкратце рассказать что собирает сервис appsee, как выглядит видео в лк сервиса, зачем нужна запись касаний экрана. Изначально хотел вставить скрины с реального приложения, но думаю не имею права на это, к тому же много коллег сидят на пикабу. Поэтому будет только теория и несколько скринов с офф сайта апси.
Как Вы уже поняли appsee записывает видео каждой сессии (каждого запуска приложения). Качество конечно не хулхд но понять что происходит можно. Эта фича отличает appsee от ряда других аналитик таких как Гугл аналитика или крашлитикс. Так же как и в других аналитиках можно передавать события с параметрами при каких-то действиях пользователя.
Также при первом запуске новой версии приложения сервис делает скриншот каждого экрана чтобы потом на них наносить хитмапы (точки касаний по экрану).
И вот мы пообщались к самому интересному, как выгялдят поля ввода личных данных в appsee. Что по поводу этого говорит нам пользовательское соглашение самого appsee?
Вкратце для тех кто не учил английский - сервис сам прячет элементы которые могут содержать персональную информацию. Если разработчик показывает её каким-то изощренным образом то он должен сам прятать её или вообще тормозить запись видео. Поэтому на видео поля ввода видны как черные прямоугольники.
Так для чего же это все нужно спросите Вы? По видео очень легко воспроизвести краш приложения, а не сидеть гадать почему приложение упало смотря на строчку текста в крашлитиксе. Также видео и хитмапы дают понять удобен ли для пользователя интерфейс или он в истерике закрывает и удаляет приложение после безуспешных попыток найти личный кабинет. Все это направлено на то чтобы сделать приложения удобными для пользователя, а не для того чтобы навредить ему.
Кстати пока писал этот пост услышал что представитель БургерКинг предоставил видео( что @fennikami не сделал) в котором видно что данные карт закрываются хотя само видео найти не смог.
Показать полностью
2
А что такое этот ваш AppSee? [Re: Приложение Burger King тайно записывает экран телефона! ]
Привет, Пикабу! Сегодня мы с вами разберём, почему бугурт на тему сбора данных и записи экрана в уже нашумевшем приложении БК с помощью AppSee не несёт в себе ничего дельного.
Итак, что же такое Appsee и как работает его метрика?
Appsee - это мощный инструмент для аналитики, созданный для анализа поведения пользователя в приложениях. он включает в себя: "Карту тепла" - вольный перевод "Touch heatmap" ; позволяет отслеживать карту нажатий пользователя в приложении, распознавание пользователей, позволяет разработчику отслеживать местонахождение пользователя и вести статистику падений приложения, ошибок и пользовательского поведения.
Какие именно данные собирает AppSee?
Из политики конфиденциальности мы с вами узнаем, что:
Вольный перевод:
8. Данные Конечного Пользователя
Используя наши услуги, вы можете предоставить нам следующие данные конечного пользователя:
1 техническую информацию и статистические данные об использовании, которые могут содержать, среди прочего, тип и вариант функционирования системы, длительность использования, модель телефона, страну, экраны ,посещённые в мобильном приложении, жесты, проведенные в мобильное приложение, прокрутки и любые другие действия конечного пользователя выполняется в процессе их использования вашего мобильного приложения.
2 частично-хэшированных IP-адрес пользователя, уникальный идентификатор пользователя, генерируемый Подписчиком* уникальный идентификатор пользователя.
3 данные, полученные через стороннюю интеграцию при условии, что Абонент несет полную ответственность за обеспечение законности и защиты данных (включая персональные данные), переданных такие комплексные услуги.
За исключением вышеизложенного, подписчики не должны предоставлять нам какие-либо персональные данные о своих конечных пользователях. В частности, подписчики должны воздерживаться от предоставления Appsee любых персональных данных детей в возрасте до 16 лет, любых медицинских, финансовых или страховых данных или других данных, подпадающих под конкретные нормативные или нормативные режимы защиты (включая данные "специальной категории" В соответствии с GDPR ЕС).
Каждый Подписчик несет полную ответственность за выбор полей и экранов, которые могут быть проанализированы с помощью услуг, а также за учет конфиденциальности применимых данных конечного пользователя, которые могут быть доступны конечным пользователям подписчика в любом таком поле или странице, и характер услуг appsee analytics .
Если вы решите предоставить нам личную информацию о ваших конечных пользователей, Вы должны получить явное согласие пользователя на такое использование.
Наши услуги не будут собирать полный IP-адрес конечного пользователя, любые нажатия на клавиатуру, размещенную конечным пользователем, а также любую информацию о других приложениях или программах, которые конечные пользователи запускают на своем мобильном телефоне/компьютере. Службы не отслеживают активность конечного пользователя в приложениях/службах, которые не используют службы, и не собирают пароли, введенные для разблокировки устройства конечного пользователя.
Мы будем использовать данные пользователей в следующих целях:
1 для хранения и обработки данных конечных пользователей для подготовки и предоставления наших услуг, включая составленные аналитические отчеты;
2 для использования на анонимной основе, в совокупности, для выполнения анализа "использования приложений" и статистических отчетов, в том числе для работы и улучшения наших услуг.
Мы оставляем за собой право хранить данные о конечных пользователях, которые мы обрабатываем от Вашего имени, в течение всего времени, пока мы предоставляем Вам услуги, и в течение разумного времени после этого, в соответствии с планом хранения данных, который приобрел Подписчик, или более длительного периода, как это требуется по закону.
*подписчик appsee
Из этого соглашения мы видим, что:
1-appsee не собирает и не обрабатывает любую введённую пользователем информацию
2-appsee не собирает и не обрабатывает IP адрес устройства и лишь обезличенную информацию
3-appsee не собирает и не обрабатывает любую информацию об устройстве кроме информации, касающейся приложения
4-разработчик сам выбирает, какие поля будут доступны для обработки appsee
5-для предоставления личных данных разработчик должен получить явное согласие пользователя на это
Теперь посмотрим, какую информацию собирает само приложение Бургер Кинг:
Из этого соглашения мы видим, что:
1-БургерКинг не собирает и не обрабатывает любую информацию, относящуюся к биометрической.
2-БургерКинг не собирает и не обрабатывает данные о банковских счетах и другую персональную информацию, относящуюся напрямую к пользователю, кроме: имени, фамилии, даты рождения, номера телефона, адреса электронной почты, данных о модели мобильного устройства
3-БургерКинг в соответствии с законами РФ обрабатывает ваши данные, а именно:
сбор (получение), запись, систематизация, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), блокирование, обезличивание, удаление и уничтожение, персональных данных.
НИКАКУЮ другую информацию приложение и сервисы Бургер Кинга обрабатывать не могут.
Спасибо!
Показать полностью
2
Зачем БургерКинг (и другие) снимают наши экраны
На волне интересной публикации о том, что приложение БургерКинг сливает видеозапись ваших действий на какие-то левые сайты (https://pikabu.ru/story/prilozhenie_burger_king_tayno_zapisy...)
и общей реакции "а не ох&ели ли они"? имеет смысл немного понизить градус безумия и разобраться, что происходит, и зачем.
Приложение БургерКинг активно общается с ресурсом appsee.com, отправляя туда видео и вероятно, скриншоты наших экранов, вместе с дополнительной информацией о клиенте. Этот факт, разумеется, нас возмущает.
А теперь мы идём на https://www.appsee.com/customers и видим список их клиентов:
Для лучшего понимания, смотрим видео о том, как это всё работает:
Делаем выводы.
Судя по всему, компания Appsee предоставляет готовые API и фреймворки для записи экранов ваших приложений в картинки и видео прямо по шагам UIView, с заливом на их сервера и последующим автоматическим разбором статистики.
Зачем это нужно? А вот, зачем. Вы директор по маркетингу или владелец бизнеса, и говорите своим подчинённым: эй маркетологи-разработчики, на дворе кризис, а у нас тут куча юзеров с такими-то ID оформили заказы, но оплачивать не стали и отменили заказы. Посмотрите-ка запись их действий, что конкретно им не зашло? Кроме того, разработчикам хорошо видно, как возникают крэши – для этого, собственно, и стриминг в реальном времени, чтобы успеть заснять момент крэша приложения и оперативно поправить ошибки.
Как разработчик или как маркетолог, я был бы в восторге от такой штуки, но разумеется, как пользователь — я в бешенстве, что кто-то видит и пишет мой экран. Скажем честно, такие инструменты можно и нужно применять на стадии тестов UI/UX на закрытой выборке тестеров, а использовать их на обычных пользователях – уже перебор и противоречит духу новых законов о персональных данных по всему миру.
Однако, мы уже живём в мире, где идёт война маркетинга и приватности, а их задачи прямо противоположны. Разумеется, любой бизнес хочет иметь максимальную информацию о своих клиентах для анализа, а любой человек хочет эти данные скрыть. Любой большой супермаркет отслеживает ваши перемещения с камер, чтобы лучше расставить товары и пустить вас по длинному пути. Любой крупный сайт сейчас использует инструменты типа Яндекс.метрики, Гугл.аналитикс или виджеты соцсетей, а они, строго говоря, имеют все возможности для перехвата всех производимых на странице действий. "Карты кликов" и "схемы поведений пользователя" – яркие тому примеры.
Каков же вывод? Вероятно, можно только расслабиться, игла тонкая и больно не будет. Мы УЖЕ окружены сбором бигдаты на каждом шагу, сотовые компании знают любой наш шаг, банки знают все наши покупки, Яндекс знает, где мы ходим и ездим, фейсбук имеет полную информацию о наших перемещениях по интернету и бороться с этим так же наивно, как воевать с ветряными мельницами. Поезд приватности уже ушёл и мир уже изменился. Можно, конечно, стать параноиком, оказаться от карточек, смартфонов и переехать в Монголию, но это уже слегка попахивает безумием.
А можно ли что-то сделать? Можно подумать, чем это конкретно мешает и сопротивляться в частном порядке, ибо в стаде слепых и одноглазый – король. Можно ставить блокировщики рекламы, включить VPN, завести отдельную банковскую карточку для интернет-приложений, не использовать он-лайн сервисы для особо приватной информации, включить шифрование на своих ноутбуках. Но по большому счёту, эта война уже проиграна, и имхо, имеет смысл получать удовольствие от интеграции сервисов, а не пытаться вернуться в прошлое.
Живите, как живут звёзды и политики. Обычной жизнью, но помня, что любой шаг снимает камера, везде и всегда. Как верно подметил Виктор Пелевин в романе S.N.U.F.F.: "Современный человек должен постоянно прикидывать, как он выглядит, и вести себя так, будто его снимают. Потому что съемка может начаться в любой момент."
Добро пожаловать в будущее.
Показать полностью
1
По поводу шпионских бургеров
Сегодня в горячем пролетел пост про то, какой же страшный бургеркинг и как он шпионит за людьми (https://pikabu.ru/story/prilozhenie_burger_king_tayno_zapisyivaet_yekran_telefona_6021526).
Если кратко, то некий юный пикабушник обнаружил в приложении для iOS (а может и андроид) сервисы Яндекс.Метрика и AppSee, который способны фиксировать происходящее на экране и сохранять это на удаленном сервисе.
Учитывая то обилие одобрительного гула, которое разразилось в комментариях, хотелось бы внести немного ясности:
1. Запись экрана происходит только во время работы приложения. Если тот факт, что бургеркинг видит как вы листаете меню бургеркинга в официальном приложении бургеркинга вас смущает, то по-моему это нефигово отдает паранойей!
2. Касательно "информация как и видео доступна целой куче людей" - какой куче? Все данные передаются по зашифрованному протоколу HTTPS, что видно даже из приведенных автором оригинального поста скриншотов. Соответственно, "куча людей" - это:
а) Бургеркинг;
б) Администрация серверов AppSee;
в) Вы;
...
г) Надмозгу, который чисто случайно умудрился угадать полный УРЛ видеоролика, состоящий из длиннющего хэш-кода (но в таком случае ему уж проще угадать ваш логин/пароль от интернет-банкинга, а потом угадать комбинацию из отправленного СМС).
3. Про Яндекс.Метрику, от которой, по словам автора "Глаза на лоб лезут": данный сервис записывает информацию о перемещении курсора по экрану, скроллах страницы и некоторую информацию об устройстве пользователя (разрешение экрана, версию ОС и прочую информацию, которую ваше устройство ИТАК СООБЩАЕТ КАЖДОМУ САЙТУ ПРИ ПОСЕЩЕНИИ). Если же и вы считаете, что Яндекс.Метрика - это ужас, способный поработать человечество, то у меня для вас плохие новости:
Вы уже давно "под колпаком".
Там еще был момент про то, что приложение записывает видео и в момент ввода данных кредитной карты. Но:
1. Кроме слов никакого доказательства этого факта, ВНЕЗАПНО, нет (а ведь это была бы самая мякотка);
2. С учетом приведенного на скриншоте качества картинки, за сохранность данных можно вообще не беспокоиться, а догадка, что "кто-то может удаленно включить HD" - это всего лишь догадка.
Помните, что у любого автора приложений есть куда больше способов нагрести о вас конфиденциальной информации (а может они ее и нагребают), используя куда менее "палевные" методы. Ну и не стоит видеть заговоры там, где их нет - авторы апплетов просто хотят видеть, как оные ведут себя на устройствах их клиентов. Как правило, это делается с одной целью - обнаружить недоработки и исправить их, так что тут я полностью на стороне разрабов бургеркинговского приложения.
Напоследок хочется сказать, что за три месяца своего существования, автор оригинального поста уже предпринимал несколько попыток кого-нибудь "разоблачить", начиная от псевдоДурова, заканчивая излиянием на тему какой плохой Сбербанк, и какой при этом хороший Тинькоф. Ну и немного подозрительный на этом фоне заминусованный пост про яндекс/убер был... Вряд ли это засланный казачок, но определенное мнение складывается...
P.S. Что касается меня, то я вообще из провинциального казахстанского городка - о бургеркинге я могу сказать то же, что и о макдональдсе - видел в кино :) Соответственно, никак с оным не связан и в глаза никогда не видел.
P.P.S. Пардон за сумбур, просто как-то резко бомбануло от того, как много народу купилось на паранойю - старался писать быстро, пока стул не дотлел.
Показать полностью
1
Приложение Burger King тайно записывает экран телефона!
UPD: Ответ от Burger King Мобильное приложение Burger King с удаленным заказом не собирает персональных данных своих подписчиков.
Информация, что имеется открытая передача личных данных (данные карт) не подтверждена.
UPD (14:46): От автора поста
___________________________________
Мой блог: https://fennikami.cf, для связи со мной пишите на https://fennikami.cf/contact/
Привет! Мне 18 и я бородат в свободное время ковыряю разные приложения.
Сегодня дошли руки до распиаренного приложения Бургер Кинга (того самого, где «бургер — бесплатно» и промокоды для друзей).
Значит открываю приложение на своем айфончике, смотрю за трафиком. И обнаруживаю это:
Что это такое?
А это запрос от приложения к серверу (сверху) с инфой вроде его версии, модели телефона, времени запуска, разрешении дисплея. Вроде бы все окей, да?
Но! В ответ телефону прилетает информация (снизу) о том, как записывать видео с экрана. o_O
Причем, параметр MaxVideoLength (максимальная длина видео) указан как "0", что значит — бесконечная запись (при запущенном приложении)!
Т. е. — приложение не просто записывает экран, а делает это постоянно, и ровно таким же образом постоянно отсылает запись на сервер. Как Вам, пользователи мобильного интернета? :)
О, а вот и запись экрана отправляется на сервер!
Обратите внимание на адрес *.appsee.com/upload (о том, что такое AppSee — в конце) слева и сам файл mp4 справа (все эти квадраты — видео с сыром виде, которое в живом эфире отправляется на сервер).
Ну и вишенка на торте: экран записывается даже тогда, когда Вы вбиваете данные своей банковской карты в приложение (и это необходимо для совершения заказа).
Ну и финальная вишенка: AppSee — это такая метрика (статистика) для приложений, и чуваки специализируются на таком вот способе отслеживать приложение для разработчиков/маркетологов.
Мало того, что записывать экран ни разу не круто, так еще к этим видео имеют доступ не только разработчики приложения Burger King, а и всякая шушера вроде партнеров AppSee (то есть — совершенно левые люди), да и сам AppSee тоже.
Напомню — видео записывается даже тогда, когда вы вбиваете данные своей банковской карты. И к нему имеют доступ кто попало.
Вот так выглядит само видео:
Слегка ужато, да, но ничто не мешает серверу в какой-то момент прислать конфиг для записи видео в HD и тогда будет совсем грустно.
Как же так, Burger King? :(
P. S: Еще там страшная Яндекс.Метрика и Crashlytics, и вот если Crashlytics можно хоть как-то доверять, то Яндекс собирает инфы столько, что глаза на лоб лезут.
______________________________________________________________________________________________________
UPD: приложение Burger King записывает прикосновения к экрану и может сопоставлять их с видео на экране, и эта информация как и видео доступна целой куче людей
Показать полностью
3
Яйцебургер БК
Пробовали? Как он? Стоит ли пробовать?