Може да бъде плашещо да се определи кой е отговорен за показването на реклами в уебсайтовете, които посещаваме, или кой събира данни от мобилните приложения, които използваме всеки ден. Тази информация вече е полупублична, но не се анализира лесно и традиционно голяма част от нея остава скрита в ръцете на големите рекламни платформи. Вече не е така: нова, мощна и безплатна услуга, наречена DecryptAds, събира и съпоставя тези данни за рекламните технологии (adtech) и улеснява бързото научаване на много неща за субектите, които ви проследяват.

Новостартиралият сайт decryptads.com заявява, че непрекъснато събира файловете, които уебсайтовете и приложенията правят публично достъпни, за да разкрие компаниите, които имат разрешение да пускат реклами или да събират потребителски данни. Тези файлове включват:

  • ads.txt: всички компании за рекламни технологии и брокери на данни, които могат да пускат реклами или да събират данни от сайта;
  • app-ads.txt: субекти, които могат да събират данни от или да показват реклами в приложения за мобилни устройства и смарт телевизори;
  • buyers.json/sellers.json: субектите, които купуват, продават или препродават рекламно пространство за даден сайт или приложение.

Зак Едуардс е главен изследовател в DecryptAds и изследовател на заплахи в компанията за сигурност Infoblox. Едуардс споделя, че той и още двама основатели са решили, че услугата е необходима, тъй като данните за рекламните технологии в тези файлове обикновено са полезни само когато могат да бъдат съпоставени, за да се изгради по-пълна картина на рекламната екосистема за всеки уебсайт или приложение.

„Това е инструмент за рекламни технологии, но се опитваме да подходим към тях от гледна точка на сигурността“, казва Едуардс. „Той е създаден за много случаи на употреба, свързани с поверителността и сигурността, които са били изключително пренебрегвани.“

Тези случаи на употреба, според него, включват проследяване на източника на зловредни реклами, които се опитват да вкарат зловреден код на целеви потребители, идентифициране на рекламни мрежи, разположени в неприятелски държави, и откриване на бързо растящите рояци от генерирани от изкуствен интелект нискокачествени уебсайтове и приложения. И както показва decryptads.com, тези потенциални заплахи за сигурността и поверителността са почти невъзможни за откриване само чрез преглед на единичен файл ads.txt или app-ads.txt.

„Проблемите с интегритета на веригата за доставки рядко съществуват в един файл“, обясняват от сайта. „Те се появяват като нарушени кръстосани препратки между файловете ads.txt, app-ads.txt и sellers.json; като клонирани набори от декларации в несвързани домейни; като премахвания на продавачи, които имат смисъл само когато се разглеждат в различните платформи; и дори като пътища за доставка в регистрационните файлове за оферти, които всъщност никога не се появяват в списъка на оторизираните продавачи на конкретен издател.“

Търсене в DecryptAds за изключително популярната спортна мрежа espn.com разкрива 143 рекламни партньори и 19 регистрирани домейна на брокери на данни, изброени в нейните файлове ads.txt и app-ads.txt. Тази информация за брокерите на данни постепенно става достъпна, тъй като четири щата — Калифорния, Орегон, Тексас и Върмонт — наскоро приеха закони, изискващи брокерите на данни да се регистрират, ако купуват или продават данни за потребители от тези щати. DecryptAds съобщава, че почти половината от тези брокери на данни събират данни за геолокация от посетителите на espn.com, които не блокират реклами, докато други три разкриват, че събират цифрови отпечатъци на устройствата и чувствителна лична информация.

DecryptAds също така улеснява научаването на бенефициентите и националния произход на рекламните фирми, дебнещи в приложенията и уебсайтовете, като показва видно предупреждение, когато партньорите за рекламни технологии на дадено приложение или уебсайт са базирани в зони с „географски риск“ като Китай и Русия, или в страни със силни финансови и политически връзки с двете — като Кипър и Обединените арабски емирства (ОАЕ).

Според DecryptAds, espn.com работи с четири различни рекламни субекта, базирани в Русия, Китай или ОАЕ, включително фирмата за рекламни технологии Between Digital, която посочва адрес в Ню Йорк. Досието за Between Digital обаче ги маркира като руска фирма, показвайки, че техните оферти за издатели се обработват през Алфа Банк, най-голямата частна търговска банка в Русия и една от няколкото финансови институции, поставени под санкции от САЩ през 2022 г., след като Русия нахлу в Украйна. KrebsOnSecurity потърси коментар както от Between Digital, так и от основателя на компанията, и ще актуализира тази история в случай, че някой от тях отговори.

Търсене за няколко водещи новинарски уебсайта на американската армия — включително armytimes.com, airforcetimes.com, defensenews.com, navytimes.com, marinecorpstimes.com и federaltimes.com — показва, че всички те позволяват на Between Digital да обслужва реклами и да проследява потребителите, както и на два субекта в ОАЕ и още един в Панама, известна с поверителността на собствеността. DecryptAds съобщава, че Between Digital събира рекламни данни за приблизително 55 000 партньорски уебсайта.

Преминаването към файла app-ads.txt на Between Digital разкрива стотици домейни с прости уеб-базирани игри, които често биват прекъсвани от реклами. Едуардс споделя, че собствените декларации на Between Digital...