去年，全球隐私大会（GPA）警告称，机器人发起的凭据填充会对全球数据隐私构成风险，各组织有义务采取合理措施加以防范。GPA是一个由130多个数据保护和隐私监管及执法机构组成的协会。如今，GPA下属的国际执法合作工作组（IEWG）已发布联合声明，警告社交媒体公司和其他网站有责任保护个人信息免遭非法数据抓取。
什么是数据抓取？
数据抓取是指从Web和移动应用中自动提取数据。抓取工具提取数据的原因多种多样，包括获取竞争优势以及汇总数据以进行价格比较。组织通常会设法阻止数据抓取，因为不希望竞争对手获取其定价或库存数据，或者因为大量抓取流量会影响应用性能。在许多情况下，抓取流量可能占总流量的95%以上，导致应用运行缓慢甚至崩溃。
数据抓取如何危及数据隐私？
隐私法规旨在保护个人的数据隐私权，使个人能够决定谁可以出于何种目的使用其数据，以及可以使用多长时间。用户在社交媒体上分享数据时，通常只希望应用隐私设置和政策中规定的特定人群查看这些数据。如果这些数据在个人不知情的情况下被抓取，抓取者可能会将其用于预期目的之外的用途，导致个人失去对其个人信息的控制。
数据抓取还侵犯了个人要求删除或更正其个人数据的权利。一旦数据被抓取，即使创建者从社交媒体网站上删除了这些数据，抓取者仍会继续使用和共享这些数据。
根据GPA的联合声明，个人数据失控会使个人面临多方面的风险。犯罪分子可能利用这些数据实施社会工程、定向网络钓鱼和身份欺诈。这些数据可能使犯罪分子能够对个人进行画像，企图绕过授权系统。此外，缺乏诚信的营销人员可能会利用这些数据开展直接营销和发送垃圾信息。
这是否会给组织带来合规风险？
根据GPA的联合声明，即使个人信息已在互联网上公开，也受数据保护法律的约束。这意味着，在许多司法管辖区，大规模抓取个人信息可能构成需要报告的数据泄露事件。
该联合声明建议采取措施防止数据抓取。这些措施是许多司法管辖区的法律要求，并可能“被法院和数据保护机构作出此类解释”。
GPA提出了哪些建议？
为降低数据抓取带来的隐私风险，GPA建议采取多层技术和程序控制措施。首先，应组建专门团队来实施这些控制措施并监测其有效性。其他控制措施包括限制用户的访问频率、监测社交网络中的快速关联行为、对数据抓取者采取法律行动以确保删除相关数据，以及在抓取活动构成数据泄露时通知相关个人和监管机构。
作为多层控制措施的一部分，GPA还建议缓解数据抓取机器人带来的风险。联合声明特别提到了CAPTCHA和IP速率限制。希望获得有效多层保护的组织应考虑采用利用信号收集和AI来缓解高级机器人威胁的机器人管理解决方案，这些机器人可绕过CAPTCHA和IP速率限制。
哪些变化让这一威胁更值得关注？
结合近期网络钓鱼领域的发展来看，数据抓取对个人隐私的威胁更令人担忧。网络钓鱼即服务（PhaaS）供应商提供发起网络钓鱼攻击所需的全套工具，包括电子邮件模板、以假乱真的虚假网站、潜在目标的联系信息、详细操作说明和客户支持。这些工具让技能水平较低的攻击者也能更有效地实施网络钓鱼。此外，网络钓鱼已成为绕过MFA的主要手段。攻击者利用实时网络钓鱼代理，诱骗用户在其控制的应用中提交一次性密码。（有关网络钓鱼如何导致MFA失效，请参阅F5 Labs的报告。）
可以预见，随着大语言模型的应用，网络钓鱼将变得越来越有效。有关暗网上出售新型攻击工具的报道，包括WormGPT和FraudGPT，表明犯罪分子已开始将生成式AI用于网络钓鱼等恶意目的。这些工具几乎肯定会通过摄取从多个应用中抓取的个人数据，生成有效的个性化网络钓鱼消息，这一发展可能会推动鱼叉式网络钓鱼实现自动化。
为何需要关注？
数据抓取以及凭据填充等其他恶意自动化行为可能导致个人数据泄露给犯罪分子。这些犯罪分子可能会汇总相关数据，并将其用于针对个人的社会工程活动和网络钓鱼攻击，进而造成金融欺诈及其他损失。GPA通过发布这些警告，提醒各组织注意允许机器人抓取个人数据可能造成的危害，履行了重要的公共服务职能。要了解F5如何帮助应对数据抓取和数据隐私问题，请访问www.f5.com/go/solution/scraping。
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。