En granskning av 14 webbplatser för finansiella tjänster i Europa och USA fann att spårningsskript skickade kunduppgifter till tredje part. På 9 av de 14 sajterna skedde det utan ett giltigt samtyckesval, enligt granskningen, som publicerades av TechRadar och tillskrivs Jscramblers säkerhetschef för forskning.
Granskningen uppger att skript i flöden för kontoöppning, bolån och låneansökningar överförde kontaktuppgifter, ekonomiska avsikter och enhetsfingeravtryck. I en ansökan om privatlån skickades ett lånebelopp på 2 500 euro, en löptid på 12 månader och ett försäkringsval till Google Analytics, oavsett samtyckesstatus. Hos en portugisisk bank skickades en kunds namn, ålder och skattenummer till Evergage som Base64-kodad text i en webbadress för en begäran.
På en nederländsk banksajt kombinerade ett förstapartsskript webbläsarfingeravtryck med förfrågningar till 127.0.0.1 på portarna 7070 och 5938. Källan kopplar portarna till AnyDesk och TeamViewer. Enligt granskningen kontrollerade skriptet om programvara för fjärråtkomst kördes på besökarens enhet.
Meta och TikTok har tidigare sagt att webbplatsoperatörer styr vilka uppgifter som samlas in. Artikeln påpekar att Meta Pixels Automatic Advanced Matching är aktiverat som standard och kan samla in och hasha uppgifter från kontaktformulär, vilket komplicerar ansvarsfördelningen.
Författaren säger att resultaten väcker frågor om efterlevnad av bland annat EU:s GDPR, ePrivacy-krav och DORA samt amerikanska federala och delstatliga integritetsregler. Artikeln rekommenderar att kontrollera skriptens beteende på känsliga sidor och säkerställa att nekad spårning stoppar dataöverföringar. Banker kan fortsätta använda analys och personalisering, men bör behandla skript på känsliga sidor som en del av sin riskbild.
Kommentarer
0Inga kommentarer ännu. Skriv den första.