FCC beboet grote Amerikaanse draadloze providers voor het verkopen van klantlocatiegegevens – Krebs on Security

de Amerikaanse Federale Communicatiecommissie De FCC heeft vandaag boetes opgelegd van in totaal bijna $200 miljoen aan de vier grote luchtvaartmaatschappijen – inclusief AT&T, Sprint, T-Mobile En Verizon – Om illegaal de toegang tot locatiegegevens van klanten te delen zonder toestemming.

De boetes vormen het resultaat van een ruim vier jaar durend onderzoek naar de acties van grote luchtvaartmaatschappijen. In februari 2020 heeft de FCC alle vier de draadloze providers ervan op de hoogte gebracht dat hun praktijken bij het delen van toegang tot klantlocatiegegevens waarschijnlijk in strijd waren met de wet.

De FCC zei dat het ontdekte dat elk van de luchtvaartmaatschappijen toegang tot de locatie-informatie van hun klanten verkocht aan 'aggregators', die vervolgens de toegang tot de informatie doorverkopen aan externe locatiegebaseerde dienstverleners.

“Door dit te doen probeerde elke vervoerder zijn verplichtingen om toestemming van klanten te verkrijgen over te dragen aan de ontvangers van locatie-informatie, wat in veel gevallen betekende dat er geen geldige toestemming van de klant werd verkregen.” FCC-verklaring Op leest het werk. “Deze aanvankelijke mislukking werd nog verergerd toen de luchtvaartmaatschappijen, die zich realiseerden dat hun veiligheidsmaatregelen niet effectief waren, toegang tot locatie-informatie bleven verkopen zonder redelijke maatregelen te nemen om deze te beschermen tegen ongeoorloofde toegang.”

Federale Communicatiecommissie (FCC). Resultaten tegen AT&THieruit blijkt bijvoorbeeld dat AT&T klantlocatiegegevens direct of indirect verkocht aan ten minste 88 externe entiteiten. Federale Communicatie Commissie is gevonden Verizon verkocht toegang tot klantlocatiegegevens (direct of indirect) aan 67 externe entiteiten. Locatiegegevens van Sprint-klanten vonden hun weg naar 86 derde partijen, en naar 75 derde partijen in het geval van T-Mobile-klanten.

De commissie zegt daarna actie te hebben ondernomen Senator Ron Wyden (tekenen.) Stuur een brief naar de FCC. Details over hoe het bedrijf heette Veilige technologieën Hij zou de locatiegegevens van klanten van vrijwel elke grote aanbieder van mobiele telefonie verkopen aan wetshandhavingsfunctionarissen.

In dezelfde maand publiceerde KrebsOnSecurity het nieuws dat De site is slim – een data-aggregator die samenwerkt met grote draadloze providers – had een gratis, onveilige demo van zijn online service die iedereen kon misbruiken om de exacte locatie van vrijwel elke mobiele telefoon in Noord-Amerika te vinden.

Vervoerders hebben beloofd overeenkomsten voor het delen van locatiegegevens met externe bedrijven te beëindigen. Maar in 2019 werd het gemeld Toon Vice.com Little Has Changed, waarin wordt beschreven hoe verslaggevers een testtelefoon konden lokaliseren nadat ze $ 300 hadden betaald aan een premiejager die de gegevens eenvoudigweg had gekocht via een onbekende externe service.

Senator Wyden zei dat niemand die zich had aangemeld voor een mobiel abonnement geloofde dat ze toestemming gaven aan hun telefoonmaatschappij om een ​​gedetailleerd overzicht van hun bewegingen te verkopen aan iemand met een creditcard.

“Ik juich de FCC toe voor het voortzetten van mijn onderzoek en het verantwoordelijk houden van deze bedrijven voor het in gevaar brengen van de levens en privacy van klanten”, zei Wyden vandaag in een verklaring.

De FCC heeft Sprint en T-Mobile respectievelijk een boete van $12 miljoen en $80 miljoen opgelegd. AT&T kreeg een boete van ruim $57 miljoen, terwijl Verizon een boete van $47 miljoen kreeg. Deze boetes vertegenwoordigen echter een klein deel van de jaarlijkse inkomsten van elke luchtvaartmaatschappij. De 47 miljoen dollar vertegenwoordigt bijvoorbeeld minder dan één procent van Verizons totale omzet uit draadloze diensten in 2023, wat ongeveer 77 miljard dollar bedroeg.

De boetebedragen varieerden omdat ze gedeeltelijk werden berekend op basis van het aantal dagen dat vervoerders de locatiegegevens van een klant bleven delen nadat ze ervan op de hoogte waren gesteld dat dit illegaal was (het bureau hield ook rekening met het aantal actieve overeenkomsten voor het delen van locatiegegevens van derden ). De FCC merkt op dat AT&T en Verizon er meer dan 320 dagen over deden nadat het Times-verhaal was gepubliceerd om hun overeenkomsten voor het delen van gegevens te beëindigen; T-Mobile deed er 275 dagen over; Sprint bleef 386 dagen lang klantlocatiegegevens delen.

Bijgewerkt om 18:25 ET: Ze legde uit dat de FCC haar onderzoek was begonnen op verzoek van senator Wyden.