Una revisión detecta seguimiento de datos en 9 de 14 sitios bancarios

Una revisión de 14 sitios web de servicios financieros en Europa y Estados Unidos encontró que los scripts de seguimiento enviaban información de clientes a terceros. En 9 de los 14 sitios, esto ocurrió sin una opción de consentimiento válida, según la revisión, publicada por TechRadar y atribuida al responsable de investigación de seguridad de Jscrambler.

La revisión afirma que los scripts de los procesos para abrir cuentas, solicitar hipotecas y pedir préstamos transmitieron datos de contacto, intención financiera y huellas digitales de dispositivos. En una solicitud de crédito personal, llegaron a Google Analytics, independientemente del estado del consentimiento, el importe del préstamo de 2.500 euros, un plazo de 12 meses y una selección de seguro. En un banco portugués, el nombre, la edad y el número fiscal de un cliente se enviaron a Evergage como texto codificado en Base64 dentro de la URL de una solicitud.

En un sitio bancario neerlandés, un script propio combinó la identificación de la huella del navegador con solicitudes a 127.0.0.1 en los puertos 7070 y 5938. La fuente relaciona esos puertos con AnyDesk y TeamViewer. Según la revisión, el script comprobaba si había software de acceso remoto en ejecución en el dispositivo del visitante.

Meta y TikTok habían dicho anteriormente que los operadores de sitios web controlan qué datos se recopilan. El artículo señala que Automatic Advanced Matching de Meta Pixel está activado de forma predeterminada y puede capturar y aplicar hash a los datos de formularios de contacto, lo que complica la atribución de responsabilidades.

El autor afirma que los hallazgos plantean cuestiones de cumplimiento respecto a normas como el GDPR de la UE, los requisitos de ePrivacy y DORA, además de las reglas federales y estatales de privacidad de Estados Unidos. El artículo recomienda comprobar cómo funcionan los scripts en páginas sensibles y garantizar que rechazar el consentimiento detenga las transferencias de datos. Los bancos pueden seguir usando analítica y personalización, pero deben tratar los scripts de esas páginas como parte de su superficie de riesgo.