Хакери разкриха малка, мръсна тайна на Discord

„Пътят към ада е постлан с добри намерения“, гласи една крилата фраза. И точно това видяха мнозина във въведените промени в политиките по използване на Discord. Популярната услуга за гласов и видеочат, насочена основно към геймъри обяви, че ще трябва да се верифицирате чрез личен документ и/или биометрични данни. Причината? Разбира се, че грижа за децата. Така ли е наистина?

Няколко независими специалиста по сигурност, действащи на ръба на закона, решили да проверят. Все пак става дума за високочувствителна информация, която ще се обработва от някаква си компания. Попаднат ли в грешните ръце, тези данни биха могли да се използват за кражбата на самоличност, изнудване, за съсипване на животи от страна на киберпрестъпници. И разбира се, ние сме в 2026, и не сме просто пътешественици в Мрежата. Ние сме продукт, който се продава. „С натискането на бутона „Съгласявам се“, вие одобрявате личните ви данни да се обработват от нашите 194 партньора“. Примерно. Вероятно сте виждали подобни съобщения стотици пъти.

Трима ентусиаста по дигитална сигурност, определящи се за хактивисти, решили наскоро да поразгледат системите на Discord. Както и Persona, външната компания, която ще обработва данните на хората. Това, което открили едва ли се е харесало на американците. И репортажа на The Rage за откритията им показва защо.

Оказва се, че Persona е стартъп, подкрепен от небезизвестния Питър Тийл. За незапознатите, Тийл е основател и собственик на Palantir, една най-потайните и могъщи компании в целия свят. Софтуерът, който компанията разработва се използва от американските военни и агенциите за сигурност, във финансови институции и къде ли не. Даже на бойното поле. Съчетавайки Big Data масиви, изкуствен интелект и данни в реално време, Palantir са създатели на софтуер, чиито възможности надхвърлят въображението на всеки фантаст-дистопист. Що се отнася до Persona, компанията доставя услуги за възрастова верификация на компании, като OpenAI, Roblox, Heritage Bank, Lime. И разбира се за американската държава.

Оказало се, че проверките на Persona надхвърлят далеч удостоверяването на възрастта. Тя сравнява фотосите и данните със списък с известни на властите „нарушители“. От общо 14 категории. Общо 269 различни проверки. Това прави първо софтуерът на компанията при завършване на идентификацията. Освен това, проверява Интернет и данни от различни федерални и държавни агенции, сравнява лицето с това на списък с политически изложени лица (politically exposed persons, PEP). Генерира рейтинг за сходство и риск на съответното лице. Събират се и се запазват в продължение на три години данни, като пръстови отпечатъци и „отпечатъци“ на браузъра, IP адрес, номер на лична карта, имена, адрес, лица. Даже фона на селфито бива анализиран, твърдят хактивистите.

Други проверки включват засичане сходен фон на селфито, повтаряемост на позата, „подозрителна личност“ и др. Авторите на доклада предупреждават, че софтуерът може да ви определи за подозрителен само на базата на селфи. А историята сочи, че софтуерът на Persona съвсем не е безгрешен. И разбира се това може на свой ред да доведе до сериозни проблеми. Например съчетано със списъка с лица, въвлечени в пране на пари, потребителят може да остане с блокирана банкова сметка.

„Държавата иска да вижда всичко. Корпорациите искат да виждат всичко“, пишат хактивистите. „И са се научили да работят заедно“.

След появата на разкритията, от Discord обясняват, че договорните им задължения с Persona са били само временни. Те не възнамеряват да работят с тях в бъдеще. От компанията уверяват, че събираните данни ще се трият в рамките на седем дни от получаването им.