LinkedIn шпионира потребителите, сканира инсталираните им разширения и събира данни за устройствата им

Немската асоциация на търговските потребители на LinkedIn, Fairlinked e.V., която инициира кампанията „BrowserGate“ заяви, че социалната мрежа LinkedIn тайно проверява инсталираните разширения в браузърите на базата на Chromium, сравнява ги със списък от над 6167 позиции, свързва резултатите с истинските имена, работодателите и длъжностите на потребителите и предава тази информация на своите сървъри и на външни компании.

Проверката се стартира при всяко зареждане на страницата на LinkedIn в браузърите Chrome, Edge, Brave, Opera и Arc след задействане на вградената функция isUserAgentChrome(). Кодът се опитва да достъпи файловете, които разширенията могат да предоставят на уебсайтовете: ако файлът се отвори, системата регистрира, че разширението е инсталирано; ако не – приема, че го няма. Цялата процедура отнема милисекунди и остава незабележима за потребителя. Според наличните данни, Firefox и Safari все още не са засегнати от тази проверка.

Според твърденията на изследователите, събирането на данни не се ограничава до собствената инфраструктура на LinkedIn. Екипът на „BrowserGate“ откри невидим елемент за проследяване, зареждан от сървърите на HUMAN Security (по-рано PerimeterX) – американо-израелска компания в областта на киберсигурността. Става дума за скрит елемент, намиращ се извън видимата област на екрана, който без знанието на потребителя инсталира бисквитки.

Авторите на проучването обясняват особената чувствителност на тази практика със спецификата на самата LinkedIn: платформата обединява над 1 милиард потребители и работи с данни, свързани с истински имена, работодатели и длъжности. Поради това всяко открито разширение може да се свърже с конкретен човек, а в съвкупност – да се възстанови кои софтуерни средства използват цели компании. Сред 6222 проследявани разширения изследователите са отделили 509 инструмента за търсене на работа, включително Indeed, Glassdoor и Monster, признаци за религиозна принадлежност, политически възгледи, увреждания и особености на невроразвитието, както и над 200 продукта на преки конкуренти, сред които Apollo, Lusha, ZoomInfo и Hunter.io.

Основният правен риск, който изследователите виждат е, че Общият регламент за защита на данните (GDPR) на Европейския съюз класифицира информацията за религиозните убеждения, политическите възгледи и здравословното състояние като данни от специални категории. Тяхното обработване е допустимо само при наличие на изрично изразено съгласие, което, според твърденията на Fairlinked e.V., LinkedIn не е получила. Самата практика на събиране също не е била разкрита пред потребителите. Fairlinked e.V. твърди отделно, че LinkedIn е използвала скрита проверка, за да идентифицира потребители на инструменти на трети страни и вече е отправила правни претенции към тях. Освен GDPR, сред възможните основания за разследване са посочени Директивата за поверителност и електронни комуникации (ePrivacy Directive) и Законът за цифровите пазари (DMA).

Според данните от разследването мащабът на проверките на потребителите в LinkedIn е нараснал драстично. Списъкът с проследяваните разширения се е увеличил от около 461 през 2024 г. до над 6000 към февруари, т.е. с 1252%. От своя страна LinkedIn твърдеше, че зад кампанията „BrowserGate“ стои човек, чийто акаунт е бил блокиран за нарушение на условията за ползване на услугата. Независимите изследователи, на които се позовава материалът отнасят началото на тази практика най-малко към 2017 година, когато LinkedIn проверяваше 38 разширения. Общата аудитория на разширенията, попаднали под такава проверка авторите на разследването оценяват на 405 милиона души. Регулаторните органи в ЕС вече са уведомени, очакват се съдебни производства, а потребителите на LinkedIn в браузъри на базата на Chromium все още ежедневно попадат под тази скрита проверка, според разследването.

Потребителите, които се притесняват от това, могат да предприемат няколко стъпки. За достъп до LinkedIn авторите на статията препоръчват да се премине към браузърите Firefox или Safari: този метод за откриване на разширения се основава на архитектурата на разширенията на Chrome, докато Firefox не позволява прилагането на такъв метод. Друг вариант е да се създаде в Chrome отделен профил само за LinkedIn и да не се инсталират никакви разширения в него, като по този начин се прекъсне веригата на проследяване. Също така може да се използва браузърът Brave с включена защита срещу събиране на цифрови отпечатъци, която блокира самия механизъм за откриване. Накрая, авторите съветват да се проверят инсталираните разширения чрез общодостъпната търсачка BrowserGate, за да се установи дали те се проследяват.

LinkedIn не е първата голяма платформа, която използва агресивно събиране на цифрови отпечатъци от клиентските устройства. През 2021 година стана ясно, че eBay използва JavaScript за автоматично сканиране на портовете на устройствата на посетителите с цел откриване на софтуер за отдалечен достъп. По-късно същият скрипт беше открит на сайтове, управлявани от Citibank, TD Bank и Equifax.