Flock und Cyble Inc. instrumentalisieren die Bekämpfung von „Cyberkriminalität“, um Kritiker zum Schweigen zu bringen

• Flock und Cyble Inc. sollen unter dem Vorwand der „Bekämpfung von Cyberkriminalität“ versucht haben, eine kritische Website aus dem Internet entfernen zu lassen
• Cyble reichte im Namen von Flock bei Cloudflare eine missbräuchliche, falsche Meldung ein und bezeichnete die Website als Phishing und Markenrechtsverletzung
• Die Meldung enthielt Vorwürfe wie die „Offenlegung sensibler Informationen von Flock“ und die „unbefugte Nutzung von Marken“, was die Website als Veröffentlichung öffentlicher Aufzeichnungen zurückwies
• Cloudflare verlangte einen Nachweis der Herkunft der Informationen; die Website zog daraufhin unabhängig von der Cloudflare-Infrastruktur um
• Der Fall gilt als Beispiel für Versuche von Überwachungsunternehmen, Kritik zu unterdrücken, und für die Problematik der Internetzensur

---

Cybles Versuch einer falschen Missbrauchsmeldung

• Cyble Inc. bewirbt seine Dienste als „Disrupt Cybercrime“, steht hier jedoch in der Kritik, die Rechenschaftspflicht für staatliche Überwachung behindern zu wollen
  • Cyble reichte im Namen von Flock mehrere falsche Missbrauchsmeldungen bei Cloudflare ein
  • Ziel der Meldungen war es, die Inhalte der Website Have I Been Flocked? aus dem Internet entfernen zu lassen
• Cyble behauptete, die Website betreibe Phishing und Markenrechtsverletzung
  • In der Meldung fanden sich Formulierungen wie, die „eingetragene Marke von Flock sei auf einer betrügerischen Webseite verwendet worden“, sowie der Vorwurf der „Offenlegung sensibler Informationen“
  • Als Einreicher wurde Thomas Siah genannt, mit der E-Mail-Adresse [e-mail]

Unklarheiten und Kritik an der Meldung

• In der Meldung blieb unklar, worin der konkrete Schaden oder die Grundlage des Verstoßes bestehen soll
  • Mehrere Vorwürfe wie „Markenverletzung“, „gefälschte Website“ und „Phishing“ wurden gleichzeitig erhoben
  • Die Website erklärte, dass die veröffentlichten Materialien öffentliche Aufzeichnungen seien und den Missbrauch umfassender Überwachung durch Flock offenlegten
• Kritiker werfen Cyble vor, mit einer Vielzahl unbegründeter Anschuldigungen Kritik unterdrücken zu wollen
  • Beschrieben wurde dies als Strategie, „einfach alle Vorwürfe zu erheben und zu hoffen, dass einer hängen bleibt“

Reaktion von Cloudflare

• Das Trust & Safety Team von Cloudflare sandte eine offizielle Antwort auf die Meldung
  • Darin wurde unter anderem verlangt: „Wenn die Informationen öffentlich zugänglich sind oder die Zustimmung der betroffenen Person vorliegt, legen Sie bitte deren Quelle vor“
  • Die Website wies darauf hin, dass sie bereits Links zu öffentlichen Quellen bereitgestellt habe
• Die Anfrage von Cloudflare wurde als unklare Forderung kritisiert, die nicht direkt mit der Beurteilung von Phishing zusammenhängt

Reaktion und Wiederherstellung der Website

• Der Betreiber der Website passte nach der vorübergehenden Sperrung durch Cloudflare innerhalb von etwa einer Stunde den Code an und migrierte die Infrastruktur
  • Der Umzug in eine Hosting-Umgebung, die vollständig unabhängig von der Cloudflare-Infrastruktur ist, wurde abgeschlossen
  • Ein Einspruch gegen die Sperrung läuft, zugleich hieß es jedoch, man warte nicht auf „eine Erlaubnis zur Existenz“
• Für den Fall einer erneuten Sperrung sei die Struktur außerdem so verbessert worden, dass ein weiterer Umzug leichter möglich ist

Fortgesetzte Aktivitäten und Problemaufriss

• Die Website kündigte an, den Missbrauch von Flocks umfassendem Überwachungssystem weiterhin offenzulegen
  • Zitiert wurde eine Aussage des Flock-CEO, der Kritik an Bürgerüberwachung als „Terrorismus“ bezeichnet habe
  • Der Vorfall zeige, so die Website, dass Flock die bürgerlichen Freiheiten gering schätzt
• Die Website ruft zur Beteiligung einer Community auf, die Überwachung, Rechenschaftspflicht und Rechtsstaatlichkeit ernst nimmt, und verweist auf einen Discord-Link

[GN⁺]

Hacker-News-Kommentare

• Wenn Flock tatsächlich eine Domainverletzung geltend machen wollte, hätte das Unternehmen das ICANN-UDRP-Verfahren genutzt
  Stattdessen scheint man sich dafür entschieden zu haben, einfach falsche Meldungen an Cloudflare oder Hetzner zu schicken, um Meineid zu vermeiden
  • Ich frage mich, ob Flock und Cyble wegen Betrugs (fraud) verklagt werden könnten
    Möglicherweise sind alle fünf Elemente von Betrug erfüllt: falsche Tatsachenbehauptung, Kenntnis der Falschheit, Absicht, Vertrauen und Schaden
  • Auch falsche DMCA-Meldungen kommen einem Meineid gleich
    ICANN hat Verfahren zur Tatsachenprüfung, aber DMCA verlangt von Hosting-Anbietern sofortiges Handeln und erzeugt damit eine unangemessene Belastung
    Es geht ihnen eher um das Ergebnis als um Meineid, und DMCA hilft ihnen dabei
    Phishing-Meldungen sind langsamer, aber Anbieter wie Cloudflare haben wahrscheinlich automatisierte Anti-Phishing-Systeme
  • Cloudflare und Hetzner sollten ihre selbst geschaffenen anfälligen Meldesysteme erkennen und Maßnahmen zu deren Verbesserung ergreifen
  • Cloudflare entwickelt sich zunehmend zur „Großen Firewall der USA“
  • Da ICANN-Verfahren mehrere Monate dauern, ist ein Vorgehen über Cloudflare oder Hetzner realistischer, wenn man eine Website schnell abschalten will
• Unsere Stadt hat kürzlich das Flock-Kamera-Pilotprogramm beendet
  Hoffentlich treffen andere Städte dieselbe Entscheidung
  Zugehöriger Artikel: Charlottesville ends Flock camera pilot program
  • Eine Credit Union in Eugene hatte ebenfalls Flock-Kameras installiert, sie nach Protesten von Anwohnern und einer E-Mail-Kampagne aber wieder entfernt
  • Als Domain-Idee für solche Aktionen schlage ich getTheFlockOutOfMyCity.com vor
  • Meine Stadt in Colorado hat dieselbe Entscheidung getroffen, und ich bin mit dem Ergebnis zufrieden
• Flock und Cyble reichen weiterhin falsche Meldungen ein
  Details stehen in diesem Artikel auf haveibeenflocked.com
• Das Eingabefeld der Website soll Kfz-Kennzeichen clientseitig hashen, aber Kennzeichen sind so kurz, dass sie sich selbst mit älteren GPUs leicht per Brute Force knacken lassen
  • Es wurden ohnehin bereits öffentlich zugängliche Daten indexiert, daher waren personenbezogene Informationen schon vor der Eingabe offengelegt
  • Flock könnte behaupten, ich würde „meine eigene Sicherheit brechen“, aber das ergibt keinen Sinn
  • Dass der Server das tatsächliche Kennzeichen nicht sieht, ist technisch nicht bedeutend, vermittelt nichttechnischen Nutzern aber ein psychologisches Gefühl von Sicherheit
  • Verwandte Konzepte: Salt und Pepper
• Zugehöriger Artikel: Flock Said It Does Not Use Dark Web Data. Code Analysis Tells a Different Story
  Link zum HN-Thread
  • Cyble sammelt Daten über ein in Indien ansässiges Dark-Web-Forschungsteam und verschafft Flock damit plausible Abstreitbarkeit
• Falls sie in Schwierigkeiten geraten, könnten sie versuchen, bei Freedom.nl zu hosten, das vom früheren xs4all-Team betrieben wird
• Zu dem Beitrag „Ein neues Divinity ist erschienen, also habe ich BG3 als Gale gespielt“:
  Ich stimme dieser Entscheidung zwar nicht zu, respektiere sie aber. Mich würde interessieren, was Cloudflare-Mitarbeiter dazu sagen
  • Entscheidend ist, warum Gale gewählt wurde. Wenn es für eine Romanze mit Shadowheart war, ist es akzeptabel
  • Schlechter als die bisherige Reaktion des Support-Teams kann es wohl kaum sein
• Flock treibt aktiv eine dystopische Überwachungsgesellschaft voran
• Es überrascht mich, dass Flock ein Y-Combinator-Unternehmen ist
  Ich frage mich, ob YC bei solchem unethischen Verhalten einen Ethikkodex anwendet
  YC-Unternehmensprofil
  • YC hat auf HN traditionell Kritik an eigenen Unternehmen nicht zensiert
    Beispiel
  • YC-Partner haben die illegalen Strategien von Startups teils als „regulatorische Herausforderung“ verpackt und geduldet
    Passendes Video
  • Der Ethikkodex von YC wirkt letztlich so, als zähle nur das Geld
  • Ich frage mich, ob dang und tomhow bei ethischen Problemen von YC-Unternehmen involviert sind
  • Aufgrund der VC-Struktur mit vielen beteiligten Investoren ist es für YC schwer, einzelne Unternehmen zu kontrollieren
• Ich erinnere mich daran, dass Zuckerberg seine Harvard-Kommilitonen damals als Idioten bezeichnete, weil sie ihm ihre Daten anvertraut hatten
  Die USA beschleunigen zunehmend in Richtung Techno-Autoritarismus, und es überrascht nicht, dass Unternehmen „die Firma über den Staat stellen“
  • Das Zitat bezog sich im Kontext darauf, dass er sich darüber lustig machte, dass Menschen ihm ihre Daten anvertraut hatten
  • Da der Antiintelektualismus in den USA schon lange besteht, wirkt die heutige Lage fast wie eine Art poetische Gerechtigkeit
    Die Leute, die früher „lernende Nerds“ verspotteten, leben jetzt in einer Zeit, in der sie durch Automatisierung ihre Jobs verlieren