LinkedIn, il social network professionale di proprietà di Microsoft, è finito al centro di gravi accuse
Secondo quanto emerso da uno studio di Fairlinked, società tedesca che si occupa di trasformazione digitale – studio confermato anche da BleepingComputer – quando si accedere a LinkedIn da un computer il servizio web di rete sociale inizia a scansionare le estensioni installate nel browser Chrome e raccoglie dati di telemetria, senza ovviamente avvisare l’utente.
Lo script usato da LinkedIn raccoglie, tra le altre cose, dettagli sui core della CPU usata, la memoria RAM disponibile, la risoluzione dello schermo, il fuso orario, impostazioni sulla lingua e sullo stato della batteria (elemento che permettono di creare una sorta di impronta digitale univoca dell’utente).
Nel report di Fairlinked intitolato “BrowserGate” si afferma che lo script cerca di individuare la presenza di alcune estensioni nel browser basati sul “motore” Chromium. Molte delle estensioni che il servizio cerca di capire se l’utente usa, sono strumenti legati a LinkedIn, inclusi prodotti di Sales Intelligence di Apollo, Lusha e ZoomInfo in diretta competizione con prodotti simili di LinkedIn.
Nel report di Fairlinked si afferma che LinkedIn scansione il computer alla ricerca di oltre 200 strumenti concorrenti, ma anche estensioni per il controllo di scrittura e grammatica, strumenti per professionisti fiscali e altre categorie che non hanno alcun legame evidente con LinkedIn.
Tracciamento univoco dei dispositivi
Come accennato, oltre a individuare la presenza di estensioni nel browser, uno script raccoglie dati su hardware e software, informazioni utili per il “fingerprinting” (tecniche avanzata di tracciamento online che permettono di identifica in modo univoco un dispositivo basandosi su caratteristiche uniche dell’ambiente di navigazione), tenendo conto di elementi quali: il tipo di CPU usata, la memoria del dispositivo, la risoluzione dello schermo, la differenza di fuso orario, lo stato della batteria e la capacità di storage. Come è facile immaginare combinando questi dati, è possibile ottenere una sorta di impronta digitale che consente di identificare in modo univoco gli utenti e profilarlo ad esempio, per scopi pubblicitari.
Fairlinked afferma ancora che i dati raccolti da LinkedIn sono forniti a HUMAN Security, azienda di cybersicurezza israeliana, elemento sul quale però al momento non vi sono conferme dalle verifiche indipendenti.
Un portavoce di LinkedIn ha riferito al sito BleepingComputer che la scansione delle estensioni nei browser è sfruttata per individuare estensioni che violano i termini di servizio: “Per proteggere la privacy dei nostri membri, i loro dati, e per garantire la stabilità del sito, cerchiamo estensioni che estrapolano dati senza il consenso dei membri”. A detta del protavoce i dati non sono sfruttati per fornire a terzi informazioni sensibili sugli utenti.
LinkedIn afferma che il report di Fairlinked è stato pubblicato da qualcuno che usa un account limitato per via dello scraping, qualcuno legato a una estensione per browser denominata Teamfluence che, secondo LinkedIn, ha violato i termini d’uso della piattaforma. Un tribunale tedesco ha negato la richiesta di tale individuo per un’ingiunzione preliminare contro LinkedIn, affermando che è nel diritto della piattaforma bloccare account legati alla raccolta di dati.
LinkedIn non è la prima piattaforma a sfruttare aggressivi meccanismi di fingerprinting client-side. Nel 2020 anche eBay è stata beccata a sfruttare JavaScript per la scansione delle di porte dell’utente per individuare software di accesso remoto, uno script individuato anche in siti gestiti da Citibank, TD Bank, Ameriprise, Chick-fil-A, Lendup, BeachBody, Equifax IQ connect, TIAA-CREF, Sky, GumTree e WePay.
