Niedoszła afera z Brave

Wszystko zaczęło się od wpisu o nieco przydługim tytule The Brave web browser is hijacking links, and inserting affiliate codes, który podrzucił kumpel z pracy. Z tytułu wynika, że Brave podmienia linki tak, aby używane były jego kody afiliacyjne.

Krótko o afiliacji – serwisy internetowe płacą za ruch, albo, dokładniej, za określone akcje użytkowników. Np. rejestracja w serwisie czy zakup produktu. Zwykle wejście od określonego polecającego jest identyfikowane przez odpowiedni parametr w URL, zliczana jest liczba interakcji, a na koniec okresu rozliczeniowego podmiot kierujący użytkowników do serwisu dostaje pieniądze. Takie płatne polecanie.

Z kolei Brave to przeglądarka, która reklamuje się jako szybka, bezpieczna. Blokuje reklamy i trackery, w zamian oferując użytkownikom możliwość zarabiania za oglądanie reklam i dzielenia się z twórcami stron WWW. Brzmi nieco utopijnie i podchodziłem nieco sceptycznie, ale… sprawdziłem, faktycznie jest szybka i bardzo łatwo pozwala na blokowanie reklam, bez konieczności zabawy z rozszerzeniami typu uBlock. Nie jestem fanem, ale przyznaję, że to świetna kombinacja do niektórych zastosowań.

Jak widać w artykule kręcona jest afera, jakoby przeglądarka Brave podmieniała linki i wstawiała swoje kody. Tak naprawdę użytkownikowi końcowemu jest raczej obojętne, kto skorzysta na jego rejestracji w jakimś serwisie. Oczywiście cicha podmiana psułaby biznes afiliacyjny, ale byłby to raczej problem wydawców. I żeby doszło do podmiany, użytkownik i tak musiałby wykonywać interakcję z portalem, na którym uruchomiona jest afiliacja. Biorąc pod uwagę, że chodzi o kilka portali związanych z krytpowalutami, szansa na to jest
niewielka. Więc nawet gdyby o to chodziło, to wpływ na użytkownika końcowego jest dyskusyjny i nie widzę powodu by rezygnować z dobrej przeglądarki. Choć oczywiście takie działanie byłoby kontrowersyjne od strony etycznej i ingerowałoby w wolność użytkowników.

Trochę dziwne byłoby jednak trzymanie listy „cichych podmian” publicznie w źródłach na GitHubie, prawda? No właśnie… Używam od pewnego czasu trybu przypuszczającego, bo tak naprawdę nie o podmienianie linków tak naprawdę chodzi. Z tego co sprawdziłem, nie chodzi o cichą podmianę bez wiedzy użytkownika, tylko o… wyświetlenie w sugerowanych stron z linkiem afiliacyjnym w ramach podpowiedzi, gdy użytkownik wpisuje odpowiedni ciąg w adresie strony.

Podpowiedź w pasku adresu w przeglądarce Brave

Użytkownik musi samodzielnie, ręcznie wybrać URL będący linkiem afiliacyjnym. Co więcej, opcję podpowiadania można w ogóle wyłączyć w ustawieniach, po prostu klikając, nie trzeba używać żadnych ukrytych opcji.

Wiadomo, że Brave to projekt komercyjny, więc jakoś zarabiać musi, ale w tym przypadku w mojej ocenie nie dzieje się nic złego. Nadal spokojnie można używać Brave, jeśli komuś zależy na szybkiej przeglądarce z wbudowanym blokowaniem reklam. Z racji tego, że źródła Brave są dostępne na GitHubie, ciche nadużycia będą raczej trudne do przeprowadzenia.

UPDATE: Dodałem screenshot poglądowy jak to wygląda. Ale przyznaję, że sprawdziłem niedokładnie i trochę racji w zarzutach jest – jeśli wpiszemy cały ciąg binance.us to jako podpowiedź wskakuje pierwszy URL, więc wciśnięcie klawisza enter w tym momencie spowoduje wejście z linkiem afiliacyjnym od Brave:

Podpowiedź w pasku adres w przeglądarce Brave – pełna nazwa, podświetlony link, który będzie użyty po wciśnięciu enter.
Podpowiedź w pasku adres w przeglądarce Brave – pełna nazwa plus spacja, podświetlony link, który będzie użyty po wciśnięciu enter.

Jak widać jest to widoczne dla użytkownika, jak widać powyżej dodanie jakiegokolwiek znaku (spacja, /) po binance.us spowoduje wejście bezpośrednie, bez podpowiedzi, ale… jest.

Pandemia

Miało nie być wpisów na blogu o pandemii na gorąco i chyba mi się to udało[1]. Inna sprawa, że niewiele pisałem w ogóle. Zrobię jednak wyjątek na koniec maja, bo to chyba już koniec. Nie zachorowań spowodowanych koronawirusem oczywiście, a jedynie mniej i tych bardziej sensownych, i tych drastycznych środków mających na celu zmniejszenie liczby zarażeń. Liczba nowych infekcji jest w tej chwili na świecie najwyższa od początku pandemii i… mało kto się już tym przejmuje. W Polsce sytuacja wygląda podobnie – znoszone są kolejne obostrzenia, choć liczba infekcji nie spada. Mimo ocieplenia, po którym wielu sobie wiele obiecywało.

pandemia koronawirusa w Polsce - marzec - maj 2020
Nowe infekcje koronawirusem – cały świat. Źródło https://coronavirus.jhu.edu/map.html

Próbowaliśmy walczyć z rozprzestrzenianiem koronawirusa i polegliśmy. Wyszło, że nas nie stać, wielowymiarowo. I mentalnie, i gospodarczo, i organizacyjnie. Będziemy więc z nim żyć przynajmniej przez najbliższe parę lat. Parę rzeczy godnych odnotowania z polskiego poletka.

Rząd kompletnie sobie nie radził z rządzeniem krajem w obliczu wyzwania związanego z pandemią[2]. Brak konsekwencji we wprowadzaniu ograniczeń, porażający brak sensu wielu z nich (zakaz wstępu do lasów), brak przewidywania skutków. Wiele działań pozorowanych czy zgoła propagandowych, wiele nieprzemyślanych. Dużo naruszeń prawa, z wyborami, które nie odbyły się w terminie na czele. Odniosłem wrażenie, że zupełnie zabrakło planu i jego komunikacji ludziom.

Wyszła natura ludzka – z jednej strony wielu poczuło się u władzy (mandaty za mycie samochodów, czy tankowanie „zbyt małej ilości paliwa”), z drugiej dało się zauważyć dość masowe olewanie zaleceń przez obywateli (spora część się spotykała, nie nosiła maseczek).

Przykład szedł z góry, bo jak mówi powiedzenie ryba psuje się od głowy. Kolejny raz okazało się, że obywatele są równi, ale są też równiejsi. Oczywiście chodzi o polityków, którzy sami nie przestrzegali wprowadzanych przez siebie zasad. Doczekało się to uwiecznienia w piosence Twój ból jest lepszy niż mój przez Kazika, co się rządzącym nie spodobało i skończyło się aferą w Trójce i końcem Listy Przebojów Trójki. Po raz kolejny dowodząc małostkowości rządzących.

Oczywiście przy pierwszej okazji pojawiły się zakusy na większą kontrolę obywateli. Appka w smartfonie miała śledzić gdzie kto chodzi, z kim się spotyka. Najpierw miała dotyczyć osób na kwarantannie, potem były pomysły promowania ludzi z appką przy wejściach do sklepów itp. Wszystko pod pretekstem walki z pandemią oczywiście i monitoringu zarażeń.

Pojawiało się nieco pozytywów. Zacząć można od spadku emisji zanieczyszczeń, na skutek ograniczenia transportu i działalności przemysłu. Nic trwałego i ogromnym kosztem, ale może zainspiruje do wprowadzenia paru zmian, tym razem trwale.

Nagle przy okazji pandemii okazało się, że w wielu przypadkach praca zdalna jest możliwa i efektywna. Choć jednocześnie okazało się, że niekoniecznie jesteśmy na to gotowi technicznie (jakość łącz, bezpieczeństwo telekonferencji, wyposażenie domów w sprzęt). W każdym razie spora część ludzi odbyła właśnie przyspieszony kurs pracy zdalnej, a narzędzia wspomagające ją doznały przyspieszonego rozwoju.

Kolejna rewolucja to dostawy. W zasadzie wszystkiego, od większej ilości zdalnych zakupów „trwałych”, przez dostawy jedzenia po – i to jest główna nowość na polskim rynku, moim zdaniem – błyskawiczne dostawy zakupów z pobliskich marketów. Część firm, które oferowały zakupy przez internet poległa, przytłoczona ilością zamówień, ale mam wrażenie, że branża zrobiła ogromny krok naprzód.

Koszt przestoju gospodarki spowodowany pandemią będzie ogromny, więc mam nadzieję, że nie pójdzie w całości na marne i uda się zachować parę korzystnych zmian[3]. W każdym razie walki z pandemią w dotychczasowej formie mam dość, szczególnie, że okazała się nieskuteczna. Mogę myć ręce i nosić maseczkę w miejscach publicznych. Każdy może. Na wiele więcej globalnie nas jakby nie stać[4].

[1] Luźne myśli na gorąco poleciały na Diasporę.
[2] I nie mam tu na myśli gotowości służby zdrowia. To osobny temat i nawet znacznie bogatsze państwa miały problemy ze sprzętem.
[3] Tu bardzo liczę na pracę zdalną, bo to kolosalna oszczędność czasu i emisji spalin. Mogę wpaść do firmy raz na dwa tygodnie, powiedzmy.
[4] Chociaż Chiny pokazały, że się da – praktycznie zahamowany przyrost zarażeń.

Oddzwanianie

Zauważyłem nieodebrane połączenie na jednym z numerów telefonów. Zwykle nie oddzwaniam na nieznane numery, bo albo pomyłka, albo telemarketer. Tym razem miałem jednak powód by przypuszczać, że kontakt był zasadny.

Rzut oka na numer – polska komórka, żadna zagranica. Szybkie sprawdzenie w sieci na portalach zajmujących się zbieraniem informacji o numerach – nienotowany, czyli prawdopodobnie nie telemarketer.

Dzwonię. Odebrał automat i poinformował, że rozmowa jest nagrywana i że dane są przetwarzane zgodnie z zasadami opisanymi na stronie – tu adres podał adres w domenie jednego z banków, zawierający słowo RODO. Czyli wszystko w porządku! Albo… właśnie nie w porządku. Czy podane dane zwiększają bezpieczeństwo? Nie ma informacji, kto jest administratorem danych osobowych, nie ma informacji przez kogo jest przetwarzane. Nie ma nawet jednoznacznej informacji do kogo się dodzwoniłem. Zresztą, w przypadku oszustwa informacja o nagrywaniu rozmowy, dane dotyczące zawartości strony itp. będą zgodne z prawdą i służyć będą tylko wzbudzeniu zaufania.

Owszem, korzystam z usług tego banku. I mają w nim podany ten numer telefonu. Ale to jeszcze o niczym nie świadczy… Tego typu dane oszust może zdobyć z różnych miejsc w sieci albo… po prostu zgadywać numery i podawać się za któryś z popularnych banków. Jeśli bank ma powiedzmy 5% udziału w rynku, to mniej więcej dla takiego odsetka numerów będzie to wyglądało OK. Zapewne przytłaczająca większość błędnych adresatów po prostu zignoruje próbę kontaktu, uzna za pomyłkę, albo nie będzie wiedziała komu zgłosić taką „dziwną sytuację”[1].

Rozłączam, się. Wiem już, o który bank chodzi, znam numer telefonu. Szukam numeru na stronie banku i w wyszukiwarkach. Nie występuje. Nie wygląda to dobrze, więc zakładam roboczo próbę oszustwa i z takim nastawieniem dzwonię ponownie.

Odbiera osoba, która przedstawia się jako pracownik banku. Ja się nie przedstawiam, informuję tylko, że dzwonię, bo miałem nieodebrane połączenie. Moje pierwsze pytanie: jak mogę potwierdzić, że faktycznie jest pracownikiem banku i że to numer należący do banku. Jest nieco zaskoczona, ale podaje informacje, gdzie po zalogowaniu do banku znajdę jej dane i numer.

Proszę o chwilę cierpliwości. Loguję się do banku i sprawdzam w podanym miejscu. Faktycznie, dane się zgadzają. Dziękuję, przedstawiam się i kontynuujemy rozmowę.

Oczywiście dałem znać, czemu uznałem telefon/proces za podejrzany, ale nie bardzo wierzę w jego zmianę. Warto pamiętać, że jeśli sami nie nawiązujemy połączenia pod wybrany przez nas numer, np. wpisany ze strony internetowej instytucji, to nie mamy żadnej gwarancji, z kim rozmawiamy. Uważajmy więc w takiej sytuacji z podawaniem danych – bezpieczeństwo zależy w znacznej mierze od nas samych.

[1] Szczerze mówiąc, sam miałbym z tym problem – można próbować na infolinii instytucji, pod którą ktoś próbuje się podszyć, ale… różnie bywa ze zrozumieniem w czym problem.