No ano passado, a Assembleia Global de Privacidade (GPA), uma associação que reúne mais de 130 órgãos reguladores e fiscalizadores de proteção de dados e privacidade, alertou que o preenchimento de credenciais realizado por bots representava um risco global à privacidade dos dados e que as organizações são obrigadas a adotar medidas razoáveis para evitá-lo. Agora, o Grupo de Trabalho de Cooperação Internacional em Fiscalização (IEWG) da GPA emitiu uma declaração conjunta alertando que as empresas de redes sociais e outros sites são responsáveis por proteger as informações pessoais dos indivíduos contra a coleta ilegal de dados.
O que é raspagem de dados?
Raspagem de dados é a extração automatizada de dados de aplicações web e móveis. Os scrapers extraem dados por diversos motivos, desde a obtenção de vantagem competitiva até a agregação de dados para comparação de preços. As organizações frequentemente tentam impedir a raspagem porque não querem que os concorrentes tenham acesso aos seus dados de preços ou estoque, ou porque o volume de tráfego de raspagem afeta o desempenho das aplicações. Em muitos casos, o tráfego de raspagem pode representar mais de 95% do tráfego total e tornar as aplicações mais lentas ou até mesmo causar falhas.
Como a raspagem de dados coloca a privacidade dos dados em risco?
As regulamentações de privacidade visam proteger os direitos dos indivíduos à privacidade de dados, permitindo que decidam quem pode usar seus dados, para qual finalidade e por quanto tempo. Quando os usuários compartilham dados nas redes sociais, esperam que eles sejam visualizados por um determinado grupo de pessoas, conforme definido nas configurações e políticas de privacidade do aplicativo. Quando esses dados são coletados por raspagem sem o conhecimento dos usuários, eles perdem o controle sobre suas informações pessoais, pois os responsáveis pela raspagem podem usá-las para finalidades diferentes daquelas originalmente pretendidas.
A coleta automatizada de dados também viola o direito dos indivíduos de solicitar a exclusão ou a correção de seus dados pessoais. Depois que os dados são coletados, mesmo que o autor os exclua da rede social, os responsáveis pela coleta continuarão usando e compartilhando esses dados.
Essa perda de controle sobre os dados pessoais, segundo a declaração conjunta da GPA, expõe as pessoas a riscos de diversas formas. Criminosos podem usar esses dados para engenharia social, phishing direcionado e fraude de identidade. Os dados podem permitir que criminosos criem perfis de indivíduos com a intenção de contornar sistemas de autorização. Além disso, profissionais de marketing pouco escrupulosos podem usar os dados para marketing direto e spam.
Isso representa um risco de conformidade para as organizações?
De acordo com a declaração conjunta da GPA, as informações pessoais, mesmo quando disponíveis publicamente na internet, estão sujeitas às leis de proteção de dados. Isso significa que a coleta em massa de informações pessoais por meio de raspagem de dados pode constituir uma violação de dados que deve ser notificada em muitas jurisdições.
A declaração conjunta recomenda medidas para impedir a coleta automatizada de dados, as quais são exigidas por lei em muitas jurisdições e podem ser “assim interpretadas pelos tribunais e pelas autoridades de proteção de dados”.
O que a GPA recomenda?
Para mitigar os riscos à privacidade decorrentes da raspagem de dados, a GPA recomenda controles técnicos e procedimentais em várias camadas, começando pela criação de uma equipe dedicada à implementação dos controles e ao monitoramento de sua eficácia. Outros controles incluem limitar a taxa de acesso dos usuários, monitorar a criação rápida de conexões na rede social, tomar medidas legais contra os responsáveis pela raspagem de dados para garantir a exclusão dos dados e notificar os indivíduos e órgãos reguladores sobre atividades de raspagem que constituam uma violação de dados.
Como parte dos controles em várias camadas, a GPA também recomenda mitigar os bots que coletam dados. A declaração conjunta menciona especificamente o CAPTCHA e a limitação de taxa por IP. As organizações que desejam uma proteção eficaz em várias camadas devem considerar soluções de gerenciamento de bots que utilizem a coleta de sinais e IA para mitigar bots avançados que contornam o CAPTCHA e a limitação de taxa por IP.
O que mudou para tornar essa ameaça mais preocupante?
Se considerarmos a extração de dados à luz dos recentes avanços em phishing, a ameaça à privacidade individual se torna ainda mais alarmante. Os fornecedores de Phishing como Serviço (PhaaS) oferecem conjuntos completos de ferramentas para lançar ataques de phishing, incluindo modelos de e-mail, sites falsos criados para parecer autênticos, dados de contato de possíveis alvos, instruções detalhadas e suporte ao cliente. Tudo isso torna o phishing mais eficaz até mesmo para invasores com pouca experiência. Além disso, o phishing se tornou o principal meio de burlar a MFA por meio de proxies de phishing em tempo real, que induzem os usuários a inserir senhas de uso único em aplicativos controlados por invasores. (Consulte o relatório da F5 Labs sobre como o phishing está tornando a MFA ineficaz.)
Devemos esperar que o phishing se torne cada vez mais eficaz com a aplicação de grandes modelos de linguagem. Relatos sobre novas ferramentas de ataque à venda na dark web, incluindo WormGPT e FraudGPT, indicam que criminosos começaram a adaptar a IA generativa para fins maliciosos, incluindo phishing. É quase certo que essas ferramentas se beneficiarão da ingestão de dados pessoais extraídos de vários aplicativos para criar mensagens de phishing personalizadas e eficazes, um avanço que pode levar à automação do spear phishing.
Por que devemos nos importar?
A raspagem de dados e outros usos de automação maliciosa, como o preenchimento de credenciais, ameaçam expor nossos dados a criminosos. Esses criminosos podem agregar esses dados e usá-los contra nós em esquemas de engenharia social e ataques de phishing, que resultarão em fraudes financeiras e outros prejuízos. A GPA presta um importante serviço público ao emitir esses alertas e conscientizar as organizações sobre as consequências nocivas de permitir que bots coletem nossos dados pessoais. Para saber como a F5 pode ajudar você a lidar com a raspagem de dados e a privacidade de dados, acesse www.f5.com/go/solution/scraping.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...