USPS teilte Postadressen von Kunden mit Meta, LinkedIn und Snap

 (techcrunch.com)
1 Punkte von GN⁺ 2024-07-19 | 1 Kommentare | Auf WhatsApp teilen
  • Tracking-Pixel auf der USPS-Website übermittelten die Postadressen eingeloggter Informed-Delivery-Kunden an Meta, LinkedIn und Snap; USPS erklärte, man habe dies nach Bestätigung des Problems gestoppt
  • Die Erfassung der Adressen erfolgte auf der Landingpage von Informed Delivery, auf der Fotos eingehender Postsendungen vorab angezeigt werden; den Dienst nutzten im März 2024 mehr als 62 Millionen Menschen
  • Ein Test von TechCrunch, bei dem der Netzwerkverkehr mit integrierten Browser-Tools geprüft wurde, zeigte, dass der Code der USPS-Website neben Adressen auch Geräte- und Browserinformationen an externe Unternehmen sendete
  • USPS erklärte, man habe von einer Einstellung, die personenbezogene Daten aus der URL erfasst und mit Social-Media-Unternehmen teilt, „nichts gewusst“; Meta und LinkedIn teilten mit, dass das Senden sensibler Informationen an Werbetools laut ihren Richtlinien verboten ist
  • Auch auf der USPS-Website eingegebene Sendungsverfolgungsnummern und einige Standortdaten laufender Zustellungen wurden mit Bing, Google, LinkedIn, Pinterest, Snap und anderen geteilt; USPS äußerte sich nicht dazu, ob die Löschung der erfassten Daten verlangt wird

Problem mit Tracking-Pixeln auf der USPS-Website

  • USPS teilte die Postadressen von Online-Kunden mit Werbe- und Technologieunternehmen wie Meta, LinkedIn und Snap
  • USPS erklärte am Mittwoch, das Problem behoben und die Praxis eingestellt zu haben
    • USPS behauptete, von dieser Praxis „nichts gewusst“ zu haben
  • Die Weitergabe erfolgte über versteckten Datenerfassungscode, also Tracking-Pixel, die auf der gesamten USPS-Website eingebettet waren
    • Dieser Code erfasst Informationen wie die besuchte Seite, wenn eine Webseite im Browser des Kunden geladen wird
    • Technologie- und Werbeunternehmen stellen solchen Code bereit, um Nutzerdaten zu sammeln

Welche Daten über Informed Delivery weitergegeben wurden

  • Die Postadressen eingeloggter Informed-Delivery-Kunden gehörten zu den erfassten Daten
    • Informed Delivery ist ein Dienst, mit dem Kunden Fotos ihrer Postsendungen vor der Zustellung ansehen können
  • Unklar ist, wie viele Personen betroffen waren und wie lange die Daten erfasst wurden
  • Im März 2024 nutzten mehr als 62 Millionen Menschen Informed Delivery

Stellungnahmen von USPS und Werbeplattformen

  • USPS-Sprecher Jim McKean erklärte, USPS nutze eine Analyseplattform für interne Zwecke, um die Nutzung von Produkten und Diensten zu verstehen und für aggregationsbasierte Marketingzwecke
  • USPS erklärte, personenbezogene Daten aus dieser Analyseplattform weder zu verkaufen noch Dritten bereitzustellen
    • Allerdings habe man nicht gewusst, dass eine Einstellung personenbezogene Daten aus der URL erfasst und ohne Wissen von USPS mit Social Media teilt
  • USPS erklärte, man habe sofort Maßnahmen zur Behebung des Problems ergriffen, nannte jedoch keine Details
  • Meta erklärte, man habe stets klar kommuniziert, dass Werbetreibende über die Business Tools keine sensiblen Informationen von Personen senden dürfen
    • Meta sagte, ein solches Verhalten verstoße gegen die Richtlinien, und die Systeme seien darauf ausgelegt, erkennbare potenziell sensible Daten herauszufiltern
  • LinkedIn erklärte, die Verträge für Werbetools der Kunden machten klar, dass die Weitergabe sensibler Daten verboten ist
  • Snap reagierte nicht auf eine Bitte um Stellungnahme

So wurde die Übertragung im TechCrunch-Test bestätigt

  • TechCrunch testete die Datenübertragung auf der USPS-Website, indem der Netzwerkverkehr mit in aktuellen Browsern integrierten Tools geprüft wurde
  • Der Test zeigte, dass der Datenerfassungscode der USPS-Website nach dem Login des Kunden auf der Informed-Delivery-Landingpage die Kundenadresse abgriff und an Meta, LinkedIn und Snap übermittelte
  • Derselbe Code erfasste auch Informationen zum Computertyp und Browser des Nutzers
    • Ein Teil der Daten schien teilweise pseudonymisiert zu sein, indem statt echter Kundennamen zufällige Kennungen verwendet wurden
    • Forschende warnen seit Langem davor, dass auch pseudonyme Daten genutzt werden können, um scheinbar anonyme Personen erneut zu identifizieren

Geteilte Trackingnummern und ähnliche Fälle

  • Auch auf der USPS-Website eingegebene Sendungsverfolgungsnummern wurden mit Werbe- und Technologieunternehmen geteilt
    • Dazu gehörten Bing, Google, LinkedIn, Pinterest und Snap
  • Einige laufende Sendungsverfolgungsdaten wurden ebenfalls weitergegeben
    • Selbst wenn Kunden nicht auf der USPS-Website eingeloggt waren, wurden Standortinformationen geteilt, etwa wo sich eine Sendung tatsächlich im Postsystem befand
  • USPS äußerte sich nicht dazu, ob Technologieunternehmen zur Löschung der erfassten Daten aufgefordert werden
  • Ein Sprecher des USPS Office of Inspector General gab bis zum Zeitpunkt der Veröffentlichung keine Stellungnahme ab
  • In den vergangenen Jahren haben mehrere Organisationen den Einsatz von Web-Tracking-Code reduziert
    • 2023 erklärten das Telemedizin-Wellness-Startup Cerebral sowie die Alkohol-Recovery-Apps Tempest und Monument, sie hätten vertrauliche Gesundheitsdaten einschließlich Nutzerbewertungen mit Technologie- und Werbeunternehmen geteilt und danach den Tracking-Code entfernt
    • Im selben Jahr leitete die FTC Maßnahmen gegen GoodRx ein, weil das Unternehmen Gesundheitsdaten von Kunden mit Werbetreibenden geteilt hatte; GoodRx stimmte einer Zahlung von 1,5 Millionen US-Dollar zu
    • BetterHelp wurde angewiesen, Patienten im Zusammenhang mit der Weitergabe vertraulicher Antworten auf Gesundheitsfragebögen mit 7,8 Millionen US-Dollar zu entschädigen

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2024-07-19
Meinungen auf Hacker News

  • Clickbait-Titel: USPS hat die Daten nicht absichtlich geteilt, sondern auf der Informed-Delivery-Seite unvorsichtigerweise Tracking-Pixel bestimmter Unternehmen zugelassen.
    Aus Datenschutzsicht ist das natürlich furchtbar, aber man sollte es beim Namen nennen.

    • Ich musste einmal an einer ähnlichen Funktion arbeiten. Einzelne Kunden wollten in verschiedenen Schritten ihres User-Flows beliebige Pixel-Tracker verteilen, und ich mache mir bis heute Sorgen, ob ich nicht paranoid genug war.
      Für alle, die es interessiert: Wenn die Bedingungen erfüllt waren, erzeugte das JavaScript der Hauptseite ein temporäres Element, und eine signierte, zeitlich begrenzte Ziel-URL ließ eine andere Subdomain dubioses beliebiges Markup hosten.
      Das srcdoc-Attribut kannte ich und es wäre viel einfacher gewesen, aber ein Teil des Tracker-Codes ging dadurch kaputt. Insbesondere Google Tag Manager hörte stillschweigend auf zu funktionieren, weil darin Logik steckte, die prüfte, ob es eine „echte Website“ ist. Dieses Problem trat auch bei srcdoc auf und sorgte ebenfalls beim Testen mit file://-URLs für Verwirrung.
    • Warum um alles in der Welt sollte eine Regierungswebsite auf irgendetwas von Facebook, Snapchat und ähnlichen Diensten verlinken müssen? USPS ist kein angesagtes Café oder Designerlabel, sondern eine US-Bundesbehörde und sollte daher einem deutlich höheren Maßstab bei Vertrauen und Datenschutz unterliegen.
    • Du hättest den Artikel bis zum Ende lesen sollen. TechCrunch hat es selbst getestet und bestätigt, dass diese Websites bei USPS Daten einschließlich Postadressen abgreifen.
      Ob für Analytics oder für irgendetwas, das man von Facebook und Co. bekommt: Es ist schwer zu akzeptieren, dass USPS solche Informationen unter diesem Vorwand durch Nachlässigkeit preisgibt, und USPS trägt hier eindeutig Verantwortung, so wie man auch für einen kleinen Hack mit derselben Wirkung verantwortlich gemacht würde.
    • Wenn man Tracking-Pixel zugelassen hat, hat man die Daten absichtlich geteilt. Jeder weiß, was Tracking-Pixel tun.
    • Ich bekam heute eine E-Mail von einem Kollegen, und unter der Signatur stand ein Link „Create your own email signature“, der zu wisestamp.com führte. Wie sich herausstellte, verkauft das Unternehmen E-Mail-Signaturdienste an Firmen.
      Schon dass in Firmen-E-Mails für ein fremdes Unternehmen geworben wird, ist geschmacklos; schlimmer noch war aber, dass in dieser E-Mail ein auf den Kollegen bezogener Tracking-Pixel steckte. Das heißt, WiseStamp kann jedes Mal erfahren, wenn jemand diese E-Mail öffnet.
      Sobald ich ihn darauf hingewiesen hatte, entfernte er ihn sofort.

  • Dieser Fall zeigt sehr gut die in der gesamten Ad-Tech-Branche verbreitete Verletzung der Privatsphäre. Viele Plattformen unterstützen heute sogar serverseitiges Event-Tracking, um clientseitige Erkennung und Blockierung zu umgehen, etwa wenn Adblocker Tracking-Pixel blockieren.
    Der tatsächliche Umfang geht weit über Klicks und Views hinaus und ist so gravierend, dass sogar Events wie „MakeAnAppointment“, „AddPaymentInfo“ oder „LoanApplication“ verfolgt werden.
    Genau darin liegt der eigentliche Grund, warum TikTok ein Risiko für die nationale Sicherheit ist. Die TikTok-Werbeplattform, die von Shopify, Adobe, Segment, WooCommerce und anderen breit genutzt wird, sammelt sensible Daten wie Rezepte, Arzttermine, Kreditanträge und Kreditkartendetails von Menschen, die gar keine TikTok-Nutzer sind. Auch Millionen Menschen, die TikTok oder Facebook und dergleichen nie nutzen, werden unter dem Vorwand, „Nutzer in Kunden zu konvertieren“, zu Zielen dieser Sammlung.
    https://abs.codes/blog/2024/03/tiktoks-all-seeing-eye-survei...
    Auf politischer Ebene braucht es dringend ein landesweites Datenschutzgesetz, das solche strukturellen Probleme angeht; auf technischer Ebene könnten Ansätze wie Zero-Knowledge-Werbung die Risiken für die Privatsphäre der Nutzer deutlich reduzieren.

  • Dass ein Facebook-Sprecher sagte, man habe klar gemacht, dass Werbetreibende über Business Tools keine sensiblen Informationen senden dürfen, dass ein solches Verhalten gegen die Richtlinien verstoße und dass man Werbetreibende darin schule, die richtigen Einstellungen zu verwenden, klingt nach einer sehr bequemen Art, die Verantwortung auf die Nutzer des Tools abzuschieben.
    Auch die Aussage, „das System sei so entwickelt, dass es potenziell sensible Daten, die erkannt werden können, herausfiltert“, lässt mich fragen, wie viel Mühe man wirklich investiert, damit das zuverlässig funktioniert. Oder ob es nur eine nachgeschaltete Vorrichtung ist, um sagen zu können: „Wir haben es versucht“, ohne kontinuierliche Verbesserungen.

    • Wenn Leute über iMessage unangemessene Nachrichten verschicken, ist das dann auch Apples Schuld?
    • Nachrichten herauszufiltern, die Adressen enthalten – das ist für die Maschinen eines milliardenschweren Unternehmens sicher eine nahezu unmögliche Aufgabe!

  • Dass die Regierung meine Adresse in irgendeiner Form öffentlich macht, macht mich wirklich wütend. Wählerregister, Immobilienregister, DMV und USPS veröffentlichen alle auf irgendeine Weise die Adressen von Bürgern oder verkaufen sie an private Unternehmen.
    Ich verstehe nicht, warum das legal ist, und ich möchte, dass außerhalb der Regierung niemand meine Adresse kennt.

    • Streng genommen ist der USPS kein staatseigenes Unternehmen wie Amtrak, sondern wurde im Juli 1971 unter Nixon als unabhängige Behörde der US-Exekutive geschaffen.
      Der Leiter des USPS, der Postmaster General, derzeit der von Trump ernannte Louis DeJoy, berichtet an den Verwaltungsrat. Dieser besteht aus neun Direktoren sowie dem Postmaster General und dem Deputy Postmaster General, wird vom Präsidenten nominiert, und der Postmaster General kann mit absoluter Mehrheit des Verwaltungsrats abberufen werden.
      Der USPS unterliegt der Aufsicht des Office of Inspector General, des USPS-OIG; dessen aktuelle Leiterin ist Tammy Hull. Es gibt auch eine „Hotline“, über die man Betrug, Computerkriminalität, Fehlverhalten von Mitarbeitern usw. melden kann, was ein Ansatzpunkt sein könnte.
      [0]: https://en.wikipedia.org/wiki/United_States_Post_Office_Depa...
      [1]: https://about.usps.com/who/leadership/board-governors/
      [2]: https://www.uspsoig.gov/
      [3]: https://www.uspsoig.gov/hotline
      [4]: "Can Biden fire US Postmaster General Louis DeJoy?" https://www.federaltimes.com/federal-oversight/2022/08/24/ca...
    • Ehrlich gesagt wünschte ich, nicht einmal die Regierung würde meine Adresse kennen.

  • Das könnte erklären, warum ich das Adressänderungsformular nicht korrekt abschicken konnte, wenn Werbe- und Tracking-Blocker aktiviert waren. Warum ist das legal?

    • Weil die Gesetze nicht ausreichend angepasst wurden, um mit der Realität des modernen Network Computing Schritt zu halten. Und kurzfristig war es profitabler, die Gesetze nicht zu ändern.
      Ich denke, diese Kurzfristigkeit geht jetzt zu Ende. Wegen der Korruption und Ineffizienz, die sich für solche kurzfristigen Gewinne angesammelt haben, werden wir anfangen, Produktivitätsrückgänge zu sehen.
    • Man sollte es wirklich vermeiden, beim USPS ein Formular für eine dauerhafte Adressänderung einzureichen.
      Der USPS verkauft diese Informationen, lizenziert sie oder nutzt sie – wie auch immer man es nennen will – etwa indem er auf Werbe- und Marketingmessen einen Stand betreibt.
      Besser ist es, eine temporäre Adressänderung zu beantragen, die eine erlaubte Verlängerung zu nutzen und dann den USPS abzuschneiden. Bis dahin hat man die privaten und geschäftlichen Kontakte, die einem wichtig sind, direkt aktualisiert.
      Der USPS ist einer der größten Spam-Verteiler in den USA.
    • An vielen Stellen steckt Werbe- und Tracking-Code in Pfaden, die Fehler nicht korrekt behandeln. Zum Beispiel wird angenommen, dass ein benötigtes Objekt immer existiert (window.google.tag o. Ä.).
      Man muss Praktikern beibringen, try/catch und andere Methoden zu verwenden, damit kritische Pfade nicht abstürzen.
      Ob das illegal ist, weiß ich nicht, aber es ist definitiv ein fehlgeschlagener Testfall.

  • Regierungsseiten sollten keine Drittanbieter-Inhalte laden.

    • Wegen eines Arbeitsprojekts musste ich kürzlich etwa 200 Regierungswebsites weltweit besuchen.
      Überraschenderweise laden viele nicht nur Drittanbieter-Inhalte, sondern zeigen tatsächlich sogar Bannerwerbung und Popover-Werbung an, besonders in Asien und Afrika.
      Im Vergleich dazu sind selbst die schlechtesten Regierungswebsites der USA noch besser.
      ¹ https://njfamilycare.dhs.state.nj.us
    • Ich wollte auf der Website des US-Finanzministeriums I-Bonds kaufen, konnte es aber nicht, weil sie eine Drittanbieter-Identitätsprüfung verwenden. Was soll das?
      Ein Dritter kann mich nicht verifizieren. Um meine Privatsphäre zu schützen, habe ich bei privaten Unternehmen absichtlich unsinnige Informationen hinterlassen. Wenn man mich verifizieren will, soll man IRS, DMV, DHS oder USCIS fragen.
    • Gibt es überhaupt Regierungsseiten, die das richtig machen?
    • Ich glaube, das liegt daran, dass kein Geld da ist.
    • USPS ist keine Regierung, sondern eine der Organisationen, die weltweit am meisten Spam verbreiten.

  • Tracking-Pixel sind wirklich Wahnsinn. Wenn die größten Unternehmen der Welt Geld dafür zahlen, dass man ein Skript auf eine Seite setzt, kann ich mir kaum eine Lösung vorstellen, die nicht Regulierung oder Gesetzgebung ist.
    Wie soll man dagegen im Wettbewerb gewinnen? Kommt jemand, der noch reicher ist, und bezahlt dafür, Nutzer nicht zu verkaufen? So etwas sollte man einfach verbieten.

    • Ad-Tech-Unternehmen bezahlen Websites nicht dafür, so etwas zu installieren. Kunden installieren es, um zu verstehen, ob die Werbung, für die sie ohnehin bezahlen, zu den Ergebnissen führt, die ihnen wichtig sind.
      Dazu habe ich auch hier etwas geschrieben: https://news.ycombinator.com/item?id=41007679
      Der Ablauf ist etwa: „Ich möchte, dass Leute sich für mein kostenloses Spiel registrieren.“
      „Wir können Werbung Leuten zeigen, die interessiert sein könnten.“
      „Woher weiß ich, ob die Werbung, für die ich bezahlt habe, tatsächlich zu Installationen geführt hat?“
      „Installiere dieses Skript auf der Seite nach abgeschlossener Registrierung.“
      „Gut, danke.“
    • Wenn man schon den Besitz von personenbezogenen Daten extrem riskant macht, wird der Wert, solche Daten zu sammeln, negativ.
      Dann braucht man weniger Katz-und-Maus-Regulierung, die ständig den neuesten Umgehungstricks des Gesetzes hinterherläuft. Denn Unternehmen wollen dann von Anfang an nicht die Haftung, die mit dem Besitz dieser Daten einhergeht.
    • Wie kann das Gesetz das von jQuery über ein CDN unterscheiden? Auch CDNs betreiben in gewissem Maße Tracking, und ein Teil davon ist technisch notwendig. Google nutzt seinen Google-Fonts-Dienst tatsächlich für Traffic-Tracking.

  • Ich hasse Argumente wie „Oh, tut uns leid, das war der Computer, da können wir nichts machen“ wirklich. Wenn es eure Systeme sind, ist es eure Verantwortung.

  • Ich verstehe es nicht. Ich dachte, Tracking-Pixel würden auf schlampigen Websites oder dort eingesetzt, wo man Menschen über mehrere Websites hinweg verfolgen will.
    USPS hat authentifizierte Seiten, auf denen es seine Kunden kennt. Warum haben sie nicht ihre eigenen Logs analysiert, statt sich auf Werbefirmen von Drittanbietern zu verlassen?
    War das wirklich ein Versehen?

    • Seltsamerweise sind Pixel keine Pixel mehr. Es ist zu einem Marketingbegriff für Cross-Site-Tracking geworden, das früher mit Pixeln gemacht wurde. Deshalb nennen selbst ziemlich ausgereifte Analytics-Plattformen es immer noch „Pixel“. Gefällt mir auch nicht.
      USPS wollte wohl wissen, welche Werbekampagnen erfolgreich sind, und Werbung zielgerichtet ausspielen, und hat deshalb JavaScript der Werbeplattformen in die Website eingebunden. Wenn man bedenkt, dass es eine Regierungsbehörde ist, die sich selbst finanzieren muss, ist dieser Teil an sich bis zu einem gewissen Grad nachvollziehbar.
      Das Problem ist, dass der Tracking-Code auf Seiten gelandet ist, auf denen er nicht hätte sein dürfen, oder dass die Daten, die an die Analytics-Plattform gesendet werden konnten, nicht eingeschränkt wurden.

  • Es mag übertrieben klingen, aber ich halte die USA für einen gescheiterten Staat. Die Menschheit gerät ins Chaos, weil die Hegemonialmacht unter extrem inkompetenter Führung zusammenbricht.
    Eine über Generationen gewachsene nepotistische Elite hat Inkompetenz hervorgebracht; ganz simpel gesagt: Die Reichen von heute sind dumm.