👌🏿 👨🏼‍⚖️ 👩🏼‍🎨 बर्गर किंग: गुप्त निगरानी, झूठ, बैंक कार्ड की चोरी। विस्तार 📨 🧚🏾 🎿

UPD : यूजर साबु ने कहा कि बर्गर किंग के आईटी निदेशक ने सार्वजनिक रूप से जांच के लेखक को धमकी देना शुरू कर दिया।

प्रविष्टि

बर्गर किंग एप्लिकेशन की पहली जांच ने मीडिया में एक प्रतिध्वनि पैदा की, और पिकाबू, टी.ओरनल, और हब्राब के शीर्ष में भी दिखाई दिया।

जैसा कि यह निकला, लोग उन पर जासूसी करने के बारे में परवाह करते हैं।

हैकर्स को भी जांच पसंद आई। इसके प्रकाशन के बाद से, दर्जनों हैकर हमले मेरे ब्लॉग के लिए किए गए हैं।

नोट: बर्गर किंग के आधिकारिक उत्तर और संसाधनों के सभी लिंक संग्रहीत किए गए हैं, ताकि इस लेख के लेखन के दौरान या उसके दौरान बर्गर किंग प्रशासन द्वारा उनके पदों के संपादन या प्रतिस्थापन को रोका जा सके।

लिंक आर्काइव करने के लिए, सिद्ध आर्काइव का उपयोग करें। सर्विस।

सभी मूल लिंक इस लेख के अंत में हैं।

भाग I उत्तर।

बर्गर किंग चुप था और जांच के प्रकाशन के बाद पूरे दिन के लिए अपने ग्राहकों के सवालों को नजरअंदाज कर दिया , और केवल RosKomNadzor की सीधी अपील के बाद जवाब दिया ।

हमें किस तरह की प्रतिक्रिया मिली?

II आधिकारिक उत्तर बर्गर किंग VKontakte।

ठीक है, तो चलो इसे अलग ले।

सबसे पहले , "व्यक्तिगत डेटा की सुरक्षा पर यूरोपीय कानून" का अर्थ है जीडीपीआर । यह केवल यूरोपीय संघ के लिए वैध है, और रूस डी वास्तव में इसका कोई लेना-देना नहीं है।

रूसी बर्गर किंग उसकी बात नहीं मानता ।

बर्गर किंग को व्यक्तिगत डेटा पर संघीय कानून का पालन करना आवश्यक है, लेकिन यह नहीं होना चाहिए ।

दूसरे , "हम रिकॉर्डिंग नहीं कर रहे हैं।"

मेरी मूल जांच से स्पष्ट है कि बर्गर किंग एप्लिकेशन केवल स्क्रीन रिकॉर्ड नहीं करता है, बल्कि हर समय करता है ।

सहित - बैंक कार्ड विवरण के प्रवेश के दौरान।

तीसरा , "हमें आवेदन पर अनाम विश्लेषण मिलता है।"

अगर बर्गर किंग को फोन नंबर, नाम और क्लाइंट का मेलिंग एड्रेस (एप्लीकेशन डेवलपमेंट कंपनी बर्गर किंग खुद इस बारे में बोलता है) मिलता है तो क्या होता है?

इसके अलावा, बर्गर किंग प्रत्येक उपयोगकर्ता के बारे में विस्तृत डेटा संग्रहीत करता है, जिसकी पुष्टि बर्गर किंग के डिजिटल प्रोजेक्ट्स के निदेशक सर्गेई ओचरेटिन ने की है।

सर्गेई ओचरेटिन। डिजिटल परियोजनाओं के निदेशक, बर्गर किंग।

खुले स्रोतों से फोटो।

सर्गेई ने खुले तौर पर कहा कि उन्होंने "मेरे खातों की जाँच की" (एक स्पष्ट संकेत के बाद कि वह मेरे स्थान को जानते थे , लिखने के समय, टिप्पणी को हटा दिया गया था ) और बर्गर किंग के पास प्रत्येक उपयोगकर्ता के लिए "लॉग्स" ( क्रियाओं का रिकॉर्ड ) है।

मंच से स्क्रीनशॉट w3bsit3-dns.com।

चौथा : "या इसके बारे में बात करना पहले से ही असंभव है?"

बर्गर किंग ने इस टिप्पणी से पहले कभी भी निगरानी के बारे में सवालों के जवाब नहीं दिए।

उन्होंने जानबूझकर अपने ग्राहकों के सवालों को नजरअंदाज कर दिया और RosKomNadzor की सीधी अपील के बाद ही जवाब देना शुरू किया। (जो मैंने ऊपर लिखा है)।

इधर, बर्गर किंग ने दावा किया कि वे पहले से ही इस बारे में बात कर रहे थे, लेकिन वास्तव में - एक भी जवाब नहीं था ।

RosKomNadzor की अपील की प्रतिक्रिया उनकी पहली है, और वे तुरंत "यह कहकर अपनी राय में हेरफेर करने की कोशिश करते हैं या इस बारे में बात करना पहले से ही असंभव है?"

स्क्रीन रिकॉर्डिंग - सिद्ध।

उपरोक्त तर्कों के कारण, हम यह निष्कर्ष निकाल सकते हैं कि बर्गर किंग फिर से झूठ बोल रहा है।

I.II. "डेनियल"

बर्गर किंग के जवाब देने के तुरंत बाद, आवेदन विकास कंपनी बर्गर किंग द्वारा एक खंडन जारी किया गया था।

वे कहते हैं कि (आगे बोली):

आवेदन के कोड में एनालिटिक्स के लिए वीडियो रिकॉर्ड करते समय व्यक्तिगत डेटा छिपाना। मोबाइल डिवाइस को छोड़ने से पहले डेटा छिपाया जाता है।
बर्गर किंग, ई-लीजन और अप्पसी के पास उपयोगकर्ताओं के बैंक डेटा तक पहुंच नहीं है। यह डेटा तृतीय पक्षों को रिकॉर्ड, संग्रहीत या स्थानांतरित नहीं किया गया है।
बर्गर किंग को यूजर एग्रीमेंट के अनुसार केवल उपयोगकर्ता का नाम, ईमेल और फोन नंबर प्राप्त होता है: burgerking.ru/legal_for_app
स्क्रीन से वीडियो रिकॉर्ड करने से एप्लिकेशन को बेहतर बनाने के लिए आंकड़े इकट्ठा करने में मदद मिलती है।
एप्सी उपयोगकर्ताओं के व्यक्तिगत डेटा के साथ काम पर सभी मौजूदा कानूनों का सख्ती से पालन करता है। यह उनकी नीति में कहा गया है: www.appsee.com/legal/privacypolicy
एप्सी एनालिटिक्स सेवा में डेटा स्थानांतरण केवल वाई-फाई के माध्यम से होता है और मोबाइल ट्रैफ़िक का उपभोग नहीं करता है

प्रत्येक आइटम के माध्यम से चलते हैं।

बिंदु एक - "एनालिटिक्स के लिए वीडियो रिकॉर्ड करते समय व्यक्तिगत डेटा को छिपाना एप्लीकेशन कोड में लिखा जाता है, मोबाइल डिवाइस को छोड़ने से पहले डेटा छिपा होता है।"

व्यक्तिगत डेटा को छिपाना आवेदन कोड में नहीं लिखा गया है।

वीडियो रिकॉर्ड करते समय व्यक्तिगत डेटा को छुपाना एक पैरामीटर है जो एप्लिकेशन दूरस्थ सर्वर से हर बार पूछता है , और केवल एक प्रतिक्रिया ("हाँ" या "नहीं") प्राप्त करने के बाद यह पैरामीटर के मान को "व्यक्तिगत डेटा छिपाने" या "व्यक्तिगत डेटा को छिपाने नहीं देता है" ।

इस पैरामीटर को दूरस्थ रूप से नियंत्रित किया जाता है और बर्गर किंग इसे किसी भी समय बदल सकता है। सीधे शब्दों में कहें: चाहता है - छिपाता नहीं है, चाहता है - छुपाता है।

Habr.com पर उपयोगकर्ता टिप्पणी

इस प्रकार, हम निष्कर्ष निकालते हैं कि बर्गर किंग और उनकी विकास टीम के बयान पर "डेटा छिपा हुआ है" एक और बड़ा झूठ है ।

दो बिंदु - "बर्गर किंग, ई-लीजन और अप्पसी के पास उपयोगकर्ताओं के बैंक डेटा तक पहुंच नहीं है। यह डेटा तृतीय पक्षों को रिकॉर्ड, संग्रहीत या स्थानांतरित नहीं किया गया है। ”

जैसा कि हमने पहले पैराग्राफ के विश्लेषण में पाया, डेटा छिपा नहीं है और एन्क्रिप्टेड नहीं है। उन्हें स्पष्ट पाठ में दूरस्थ सर्वर पर स्थानांतरित किया जाता है, और वहां संग्रहीत किया जाता है।

इस डेटा तक पहुंच एप्लिकेशन से जुड़े सभी लोगों के लिए उपलब्ध है, साथ ही साथ AppSee मीट्रिक के साथ भी।

बर्गर किंग, ई-लीजन (एप्लिकेशन डेवलपर), और ऐपसी का "उपयोगकर्ताओं के बैंक डेटा तक पहुंच नहीं" वाला बयान एक और झूठ है ।

प्वाइंट तीन - "बर्गर किंग को उपयोगकर्ता का नाम, ईमेल और फोन नंबर केवल उपयोगकर्ता समझौते के अनुसार प्राप्त होता है।"

जैसा कि हमने पहले दो पैराग्राफ में पाया - बर्गर किंग की उपयोगकर्ता स्क्रीन रिकॉर्डिंग और उनकी बिलिंग जानकारी तक पहुंच है , इसलिए यह कथन गलत है और इसका उद्देश्य ग्राहक को भ्रमित करना है।

हालांकि, बर्गर किंग के पास नाम, ई-मेल और ग्राहकों के फोन नंबर तक पहुंच है, लेकिन "केवल" नहीं, बल्कि स्क्रीन, बैंक कार्ड और प्रत्येक उपयोगकर्ता के कार्यों का पूरा सारांश के साथ "एक साथ"।

इसके अलावा, उपयोगकर्ता समझौते में

यह कथन कि "बर्गर किंग को केवल उपयोगकर्ता का नाम, ईमेल और फोन नंबर प्राप्त होता है" एक ज़बरदस्त झूठ है ।

चौथा बिंदु "स्क्रीन से वीडियो रिकॉर्ड करना, एप्लिकेशन को बेहतर बनाने के लिए आंकड़े एकत्र करने में मदद करता है।"

यहां हम अस्पष्ट शब्दों के बिना स्क्रीन रिकॉर्डिंग की आधिकारिक पुष्टि के लिए आते हैं।

हालाँकि, आखिरकार, अपने आधिकारिक बयान में, बर्गर किंग ने कहा कि उन्होंने स्क्रीन रिकॉर्ड नहीं किया है! ऐसा कैसे?

आवेदन पर कई शिकायतों और समीक्षाओं को देखते हुए - यह बहुत धीमा है और अच्छी तरह से काम नहीं करता है।

"आवेदन का सुधार" नहीं है।

पांच बिंदु - "एप्सी उपयोगकर्ताओं के व्यक्तिगत डेटा के साथ काम करने पर सभी मौजूदा कानूनों का सख्ती से पालन करता है।"

AppSee एक एनालिटिक्स सेवा है, और बर्गर किंग लगातार घोषणा करते हैं कि सेवा "GDPR का अनुसरण करती है", हालांकि - जैसा कि हमने पहले ही समझाया है , GDPR के अनुपालन का मतलब रूस के लिए कुछ भी नहीं है। लेकिन वह संघीय कानून "ऑन पर्सनल डेटा" का पालन नहीं करता है।

तो - फिर से एक झूठ । आखिरकार, AppSee व्यक्तिगत डेटा पर मुख्य कानून का पालन नहीं करता है।

छह बिंदु - "Appsee विश्लेषिकी सेवा में डेटा स्थानांतरण केवल वाई-फाई के माध्यम से होता है और मोबाइल ट्रैफ़िक का उपभोग नहीं करता है।"

परीक्षण से पता चला कि वीडियो प्रसारण वाई-फाई और सेलुलर नेटवर्क दोनों पर होता है।

इसके अलावा, ई-लीजन टीम के अपने वीडियो (बर्गर किंग एप्लिकेशन के डेवलपर) ने अपने पोस्ट से साबित किया कि डाउनलोड सेलुलर नेटवर्क पर भी होता है।

ऊपर दिए गए वीडियो से स्क्रीनशॉट, "सेलुलर" - सेलुलर डेटा।

इससे हम निष्कर्ष निकालते हैं - एक और स्पष्ट झूठ ।

भाग II बैंकिंग डेटा की रिकॉर्डिंग और प्रसारण का सबूत।

प्रविष्टि

मेरे लिए मुख्य शिकायत यह थी कि मैंने जो वीडियो इंटरसेप्ट किया था, उससे केवल एक स्क्रीनशॉट दिखाया गया था, लेकिन वीडियो खुद नहीं था।

बर्गर किंग और सेर्गेई ने कथित रूप से इसका फायदा उठाया और मुझ पर कथित रूप से झूठ बोलने का आरोप लगाया।

अन्य सभी लोगों ने एक ही बात उठाई, जो मुझे "ड्राफ्ट" के लिए निडरतापूर्वक आरोप लगाते हुए, यह तर्क देते हुए कि मैंने वीडियो नहीं दिखाया। यह अपमान और धमकियों को निर्देशित करने के लिए आया था।

मैंने पहले वीडियो क्यों नहीं दिखाया?

यहाँ उत्तर दें

सब कुछ सरल है - मैं भी एक व्यक्ति हूं :)

सबसे पहले, मैंने बैंक कार्ड के साथ वीडियो को सहेजा नहीं था (मैंने इसे ट्रैफ़िक इंस्पेक्टर प्रोग्राम से देखा था, और इसे सेव नहीं किया था), और स्क्रीनशॉट एक अन्य रिकॉर्ड से दिखाया गया है, जिसे अपलोड करने का कोई मतलब नहीं है।

दूसरी बात, रात में मूल जांच-पड़ताल करने के बाद , मैं सोने नहीं गया। मैं सपने के बारे में भूल गया और टिप्पणियों में सभी का जवाब देना शुरू कर दिया। थोड़ी देर बाद - पत्रकारों ने मेरी खोजबीन की, प्रतिध्वनि पैदा हुई, और मैं न केवल टिप्पणियों पर प्रतिक्रिया दे रहा था, बल्कि पत्रकारों से पत्र और संदेश भी ले रहा था।

मैं इतने लंबे समय तक बैठा रहा, और बैठा रहा।

लेकिन अफसोस, मेरे पास "नींद बंद करें और सभी को जवाब दें" बटन नहीं है, इसलिए मैं सोने चला गया।

जब मैं अपने फोन पर सूचनाओं के ढेर से उठा, तो मैंने देखा कि वे मुझसे एक वीडियो चाहते हैं।

और वे न केवल चाहते हैं, बल्कि अपमान के साथ, धमकियों के साथ, अशिष्टता के साथ चाहते हैं।

मुझे लगता है कि रात में इस तरह की मांगों के बारे में मेरी प्रतिक्रिया स्पष्ट थी - मुझे अपमान करने वाले सभी उल्लुओं को भेजा गया था, मैं आगे बिस्तर पर चला गया।

और जो लोग मुझे थप्पड़ से पानी पिला रहे थे उन्होंने स्पष्ट रूप से सोचा था कि मैं अपनी उंगलियों के पहले क्लिक पर कुछ करने के लिए दौड़ने के लिए बाध्य था। नहीं, सच में।

कुछ बिंदु पर, मैंने सब कुछ भेजने और कुछ भी नहीं करने का फैसला किया (अपमान कुछ करने की इच्छा नहीं जोड़ता है)। लेकिन, मैंने यह साबित करने का फैसला किया कि मैं सही था।

जब मैं उठा, मुझे याद आया कि मुझे एक वीडियो बनाने की जरूरत है। कर दिया। :)

भाग II.I. आवेदन वीडियो

इस वीडियो को मेरे द्वारा iOS के लिए बर्गर किंग एप्लिकेशन के ट्रैफिक की एक कॉपी से इंटरसेप्ट किया गया था (संस्करण 2.2.0 - नवीनतम)।

वीडियो को किसी भी तरह से संशोधित नहीं किया गया था, ट्रैफ़िक और एप्लिकेशन कोड नहीं बदला ।

जैसा कि आप देख सकते हैं, बैंक कार्ड का विवरण छिपा नहीं है।

फोन, ई-मेल, नाम और कीबोर्ड के इनपुट क्षेत्र भी छिपे नहीं हैं।

इसके अलावा, वीडियो की शुरुआत में, मैंने उपयोग के नियमों के साथ समझौते की पुष्टि को हटा दिया, लेकिन वीडियो रिकॉर्डिंग बंद नहीं हुई और यह अभी भी सर्वर पर चली गई।

भाग II.II। तकनीकी जानकारी

पैरामीटर (रिज़ॉल्यूशन, एफपीएस, बिटरेट) के संदर्भ में - मेरा वीडियो पूरी तरह से अपने पोस्ट में बर्गर किंग एप्लिकेशन डेवलपमेंट टीम द्वारा संदर्भित वीडियो के साथ मेल खाता है , जिसमें कहा गया है कि डेटा एंट्री फ़ील्ड "पेंट ओवर" हैं।

बर्गर किंग ऐप डेवलपमेंट टीम द्वारा संदर्भित वीडियो

भाग II.III। मेरा वीडियो असली क्यों है

मैं एक बहुत महत्वपूर्ण प्रमाण नोट करना चाहता हूं कि मेरा वीडियो वास्तव में एप्लिकेशन से है: यह स्टेटस बार (सेलुलर सिग्नल के स्तर के साथ लाइनें, समय, बैटरी चार्ज) नहीं दिखाता है, इसके बजाय एक खाली जगह है।

अपने लिए तुलना करें:

बाईं ओर मेरी प्रविष्टि है, दाईं ओर आधिकारिक एप्लिकेशन स्क्रीनशॉट है

ऐसा वीडियो केवल एप्लिकेशन द्वारा ही रिकॉर्ड किया जा सकता है।

क्यों?

IPhone पर (अर्थात्, उस पर, मैंने एप्लिकेशन लॉन्च किया) - प्रदर्शन को रिकॉर्ड करने के लिए ओएस टूल का उपयोग करते समय स्थिति पट्टी को छिपाना असंभव है (और अन्य मौजूद नहीं हैं)।

मेरे आईफोन पर कोई जेलब्रेक (ओएस हैकिंग) नहीं है और आईओएस का नवीनतम संस्करण स्थापित है, इसलिए मेरे पास स्टेटस बार को छिपाने या स्क्रीन को रिकॉर्ड करने के लिए किसी तीसरे पक्ष के एप्लिकेशन का उपयोग करने का कोई तरीका नहीं है ।

इसलिए, इस तरह के रिकॉर्ड को प्राप्त करने का एकमात्र तरीका एप्लिकेशन को स्वयं रिकॉर्ड करने के लिए है, क्योंकि iOS पर यह कीबोर्ड के अलावा सिस्टम तत्वों को रिकॉर्ड नहीं कर सकता है।

बर्गर किंग द्वारा प्रदान किए गए रिकॉर्ड और मेरे वीडियो पर खाली स्थिति बार की भी तुलना करें। वे संयोग करते हैं, वे नहीं हैं।

भाग III निष्कर्ष।

भाग III.I. परिणाम

आखिर में हमारे पास क्या है?

बर्गर किंग के "प्रतिनियुक्ति" के प्रत्येक बिंदु - मुझे स्माइटरेंस के लिए तोड़ दिया गया है।

बर्गर किंग के प्रत्यक्ष झूठ के प्रमाण यहां दिए गए हैं।

भाग III.II। RosKomNadzor द्वारा सत्यापन

मैं और कई लोग) RosKomNadzor को बर्गर किंग को उनके असुरक्षित और ग्राहकों के व्यक्तिगत डेटा और बैंक कार्ड के प्रति उदासीन उपचार के बारे में जांचना चाहेंगे।

और इसलिए कि यह वीके में यादों के साथ एक पोस्ट तक सीमित नहीं है, लेकिन एक गंभीर जांच है।

भाग III.III। मेरे बर्गर किंग कार्ड क्यों?

प्रश्न का पूर्वाभास:

"बर्गर किंग भुगतान कार्ड का विवरण क्यों चुराएगा?" वे पहले से ही अमीर हैं, और कार्ड चुराने से उनकी प्रतिष्ठा खराब होगी। ” (मंच पर एक असली सवाल का उद्धरण)

- मैं जवाब दूंगा:

तथ्य यह है कि बर्गर किंग एप्लिकेशन नेटवर्क निदेशक द्वारा स्वयं नहीं बनाया गया है। मेरा विश्वास करो, वह एक कंप्यूटर पर चमड़े की कुर्सी पर नहीं बैठता है, रुपये के एक पैकेट के साथ क्यूबा सिगार को रोशन करता है और रूसियों से पैसे चोरी करने के लिए एक आवेदन कोड डायल करता है।

बर्गर किंग एप्लीकेशन ई-लीजन कंपनी द्वारा बनाया गया है जिसे उन्होंने काम पर रखा है, और सभी के पास स्क्रीन रिकॉर्डिंग तक पहुंच है (मुझे विश्वास नहीं है कि ई-लीजन के बयानों में केवल बर्गर किंग के कर्मचारियों की सीधी झूठ के बाद पहुंच है, जो मैंने साबित किया है ): और ई-लीजन , और बर्गर किंग, और बीच में सब कुछ।

दोशीराकी के लिए काम करने वाला एक छात्र हो सकता है, और आसान पैसा चाहता है।

या हो सकता है कि एक हमलावर जिसने अभी आपका कार्ड पकड़ा हो और पहले से ही एक नया आईफोन खरीदा हो।

आप कभी नहीं जान पाएंगे, क्योंकि अगर ऐसा होता है, बर्गर किंग, हमेशा की तरह, जानबूझकर आपसे झूठ बोलते हैं और कहते हैं कि सब कुछ "ठीक है, और सामान्य रूप से -" आप धूमिल हैं।

और नीचे की प्रतिष्ठा को खराब करने के लिए कहीं नहीं है।