Zpráva: 1 z 5 použitých mobilních telefonů stále obsahuje osobní údaje od předchozích vlastníků

19 procent telefonů z druhé ruky prodaných na eBay stále obsahuje citlivá data, která by mohla být použita k identifikaci předchozího vlastníka, podle nové studie University of Hertfordshire a zadané společnosti Comparitech.

Výzkumníci z University of Hertfordshire zakoupili 100 použitých telefonů přes Ebay, aby zjistili, zda mohou získat identifikovatelná data od předchozích vlastníků. Výzkumníci provedli forenzní analýzu na široké škále zařízení od špičkových smartphonů až po konvenční mobilní telefony bez připojení k internetu.

19 procent telefonů obsahovalo data od předchozích vlastníků a 17 procent mělo data, která bylo možné použít k identifikaci těchto předchozích vlastníků, spolu s dalšími potenciálně cennými zbytkovými daty. Tyto informace zahrnovaly tisíce soukromých e-mailů, intimních fotografií, seznamů kontaktů, textových zpráv, daňových dokladů, údajů o bankovních účtech, historie procházení webu a osobních kalendářů.

V nesprávných rukou by osobní údaje nalezené na těchto zařízeních mohly být použity k řadě trestných činů včetně krádeže identity, podvodu, vydírání a cíleného phishingu.

Výzkumníci provedli forenzní analýzu použitých telefonů pomocí veřejně dostupných nástrojů, které lze stáhnout z webu.

52 % telefonů bylo řádně vymazáno

Analyzované telefony pokrývají širokou škálu věkových kategorií a operačních systémů, včetně Android, iOS, Blackberry, Windows a konvenčních „hloupých“ telefonů. Nejstarší byla Motorola z roku 1996. „Účelem zahrnutí široké škály zařízení bylo porovnat množství dat, která by mohla zůstat v konvenčních zařízeních ve vztahu k technologicky vyspělejším zařízením,“ vysvětlují vědci.

Výzkumníci se pokusili vytvořit „obrázek“ nebo přesnou kopii paměti každého telefonu pro analýzu. Ze 100 zkoumaných telefonů se 28 nepodařilo zobrazit. Jednalo se převážně o starší zařízení, což výzkumníci připouštějí jako slabé místo v jejich metodologii. V budoucím výzkumu se prý zaměří na novější zařízení. Výzkumnice z University of Hertfordshire Olga Angelopoulou vysvětluje:

„Ve skutečnosti nebylo možné zobrazit některá starší/konvenční zařízení, protože byla nekompatibilní s nástroji nebo nefungovala. Ty, které byly zobrazeny a analyzovány, obsahovaly především některé textové zprávy, multimediální zprávy a seznamy kontaktů. Na druhou stranu novější zařízení, která nebyla resetována do továrního nastavení, většinou obsahovala nějaké PII bývalého uživatele nebo plně obnovitelné PII bývalého uživatele. Ve skutečnosti se nám v těchto případech podařilo plně získat identitu ze smartphonu.“

52 procent všech zakoupených zařízení (74 procent zařízení, které byly úspěšně nasnímány) pro účely studie, bylo resetováno na tovární nastavení, což je důkazem pokusu uživatele vymazat osobní data.

19 procent telefonů (26 procent úspěšně nasnímaných zařízení) obsahovalo data od předchozích vlastníků. Ve většině těchto případů – 17 procent z celkového vzorku – bylo možné získat osobně identifikovatelné informace a bylo možné je použít k identifikaci předchozího vlastníka telefonu.

Jaká data obsahovaly telefony?

Výzkumníci získali osobně identifikovatelné informace ze 17 procent telefonů zakoupených pro tuto studii. Některé příklady dat na těchto telefonech zahrnují:

• Formulář P11D Expenses and Benefits for 2012-13, který obsahoval: jméno zaměstnavatele, referenci PAYE, mzdové číslo, číslo národního pojištění a datum narození.
• Seznam kontaktů s 30 položkami, včetně čísla předchozího majitele, seznamu posledních hovorů a 114 textových zpráv včetně sextů a sedmi multimediálních zpráv.
• Telefonní číslo, e-mailová adresa a údaje o bankovním účtu. 532 osobních snímků a 16 videí. Seznam hovorů uskutečněných v období od října 2015 do ledna 2016.
• Několik účtů sociálních médií, ke kterým bylo stále přihlášeno, včetně Facebooku, Instagramu a Skype.
• Apple ID a heslo, uživatelské jméno a heslo eBay, 408 obrázků a historie procházení webu.
• Seznam kontaktů a poslední hovory a také čtyři e-mailové účty.
• E-mailový účet, který byl přihlášen a stále aktivní.
• Důkaz, že telefon patřil dítěti z Ringwood, Hampshire, s kontakty a poznámkami.

Všechny telefony byly zakoupeny na eBay mezi lednem a červnem 2018.

Proč lidé nechávají data na svých telefonech?

52 procent analyzovaných telefonů bylo resetováno na tovární nastavení, což ukazuje, že většina uživatelů podnikla kroky k ochraně svých osobních údajů.

„Moderní smartphony a tablety nabízejí několik výhod souvisejících s komunikací a dostupností pro jejich uživatele,“ vysvětlili vědci. „Výsledky studie svědčí o nízké úrovni úsilí, které uživatel, který není technologicky nebo počítačově gramotný, k resetování zařízení do továrního nastavení.

17 procent telefonů obsahovalo informace, které bylo možné použít k identifikaci předchozího majitele. To znamená, že se prodejce buď nepokusil data vymazat, nebo tak učinil nedostatečně.

Comparitech se spojil s University of Hertfordshire na podobných studiích zaměřených na paměťová zařízení z druhé ruky, včetně USB disky a SD karty . Více než polovina těchto zařízení stále obsahovala zbytková data od předchozích majitelů, takže telefony z druhé ruky byly řádně vymazávány mnohem častěji.

Výzkumníci naznačují, že správné vymazání telefonu vyžaduje mnohem méně úsilí a znalostí než vymazání paměťových zařízení.

Přesto se značnému počtu lidí nepodařilo vymazat osobní data ze svých telefonů před jejich dalším prodejem. Může to být způsobeno nedostatečným pochopením toho, jak správně mazat data, nedostatečným znepokojením v éře sdílení dat a sociálních médií nebo nepochopením rizik spojených s odhalením osobních údajů.