Não está em casa sozinha: a FTC diz que as práticas negativas de Ring levaram a violações perturbadoras da privacidade e segurança dos usuários

Muitos consumidores que usam a porção de vídeo e câmeras de segurança querem detectar intrusos que invadam a privacidade de suas casas. Os consumidores que instalaram anel podem se surpreender ao saber que, de acordo com um acordo da FTC proposto, um “intruso” que estava invadindo sua privacidade era o próprio anel. A FTC diz que Ring deu a seus funcionários e centenas de contratados de terceiros com sede na Ucrânia, de perto, de perto e pessoais, acesso aos quartos dos clientes, quartos de seus filhos e outros espaços altamente pessoais-incluindo a capacidade de baixar, visualizar e compartilhar esses vídeos à vontade. E isso não é tudo o que estava fazendo. Além de um acordo financeiro de US $ 5,8 milhões, a ordem proposta no caso contém disposições na interseção de inteligência artificial, dados biométricos e privacidade pessoal. É um suporte de livro instrutivo para outro caso de privacidade biométrica importante que a FTC anunciou hoje, Amazon Alexa.

A Ring vende câmeras e camadas de campainha conectadas à Internet, usadas por milhões de Américas para proteger suas casas. Ring tocou esse sino de segurança em uma extensa campanha de marketing, apresentando seus produtos como “em tamanho pequeno. Grande na paz de espírito. ” Mas a FTC diz que, apesar das alegações da empresa, tomou medidas razoáveis ​​para garantir que as câmeras anel fossem um meio seguro para os consumidores monitorar áreas privadas de suas casas, a empresa exibiu uma abordagem rápida e baixa das informações altamente sensíveis dos clientes.

Embora o manual dos funcionários da Ring proibisse o uso indevido de dados, a conduta perturbadora de alguns funcionários sugere que a advertência não valia a pena no artigo em que foi impresso. Em vez de limitar o acesso aos vídeos dos clientes àqueles que precisavam executar funções essenciais de trabalho – por exemplo, para ajudar um consumidor a solucionar um problema com seu sistema – a Ring deu acesso ao “ar livre” a funcionários e contratados. Existe alguma dúvida em que a política do SlipShod e os controles negativos Inevitavelmente lideraria? Durante um período de três meses em 2017, um funcionário do anel visualizou milhares de vídeos de usuários do sexo feminino em seus quartos e banheiros, incluindo vídeos dos próprios funcionários da Ring. Em vez de detectar o que o funcionário estava fazendo através de seus próprios controles técnicos, Ring aprendeu apenas sobre o episódio depois que uma funcionária o relatou. Esse é apenas um exemplo do que o FTC chama de “acesso perigosamente sobrecarregado e atitude de LAX em relação à privacidade e segurança”.

Embora Ring tenha mudado algumas de suas práticas em 2018, a FTC diz que essas medidas não resolveram o problema. You’ll want to read the complaint for details, but even after those modifications, the FTC cites examples of an unauthorized “tunnel” that allowed a Ukraine-based contractor to access customer videos, an incident where a Ring employee gave information about a customer’s videos to the customer’s ex-husband, and a report from a whistleblower that a former employee had provided Ring devices to numerous individuals, accessed their videos without their knowledge or consent, and then took the videos com ele quando ele deixou a empresa.

Mas as ameaças à privacidade pessoal dos consumidores não vieram apenas de dentro do ringue. A reclamação cobra que até janeiro de 2020, anel não conseguiu abordar os riscos representados por duas formas conhecidas de ataque on-line: “Força Brute” (um processo automatizado de adivinhação de senha) e “enchimento de credenciais” (levando nomes de usuário e senhas roubados durante outras violações e usá-las para acessar anel). A FTC diz que as falhas de segurança de Ring resultaram em mais de 55.000 clientes dos EUA que sofreram compromissos sérios de contas.

Quão sério foi a invasão da privacidade dos consumidores? Em muitos casos, os maus atores aproveitaram a funcionalidade de comunicação bidirecional da câmera para assediar e ameaçar pessoas cujos quartos foram monitorados por câmeras de anel, incluindo crianças e adultos mais velhos. Descrevendo suas experiências como aterrorizantes e traumatizantes, os clientes relataram inúmeras instâncias de comportamento ameaçador emanando de vozes que invadiam a santidade de suas casas via anel:

• Uma mulher de 87 anos em uma instalação de vida assistida foi proposta sexualmente e ameaçada fisicamente;
• Várias crianças eram objeto de insultos racistas dos hackers;
• Um adolescente foi proposto sexualmente;
• Hackers amaldiçoaram as mulheres na privacidade de seus quartos;
• Um hacker ameaçou uma família com danos físicos se não pagasse um resgate em Bitcoin; e
• Um hacker disse a um cliente que matou a mãe da pessoa e emitiu o aviso arrepiante “Tonight You Die”.

Um funcionário do anel colocou da seguinte maneira: “Involuntariamente, ajudamos e incentivamos os (hackers) que violaram os dados por não terem nenhuma mitigações no lugar”.

Funcionários assustadores e hackers sinistros não foram os únicos que escreveram o controle de dados pessoais dos consumidores. De acordo com a denúncia, sem obter o consentimento expresso afirmativo dos consumidores, a anel explorou seus vídeos para desenvolver algoritmos de reconhecimento de imagens – colocando lucro potencial sobre a privacidade. Escondendo sua conduta em um denso bloco de jurídico, Ring simplesmente disse às pessoas que poderia usar seu conteúdo para melhorar e desenvolvimento de produtos e, em seguida, extrapolou o “consentimento” de uma marca de seleção em que os consumidores reconheceram que concordaram com os Termos de Serviço e Política de Privacidade da Ring.

A denúncia alega que o RIB violou a Lei da FTC por deturpando que a empresa tomou medidas razoáveis ​​para garantir câmeras de segurança doméstica de acesso não autorizado, permitiu injustamente funcionários e contratados a acessar as gravações em vídeo de espaços íntimos nas casas dos clientes sem o conhecimento ou o consentimento dos clientes, e não falhou injustamente em usar medidas razoáveis ​​de segurança para proteger os clientes dos clientes dos clientes dos clientes dos clientes dos clientes dos clientes.

Além dos US $ 5,8 milhões necessários para os consumidores, a ordem proposta inclui algumas disposições comuns nos acordos da FTC e novas disposições importantes que merecem atenção cuidadosa não apenas do setor de tecnologia, mas de qualquer empresa que use dados do consumidor (e, vamos enfrentá -los, é quase todo mundo). Você vai querer ler o pedido com cuidado, mas aqui estão alguns destaques. O pedido proíbe Ring de fazer deturpações sobre até que ponto a empresa ou seus contratados podem acessar vídeos, informações de pagamento e credenciais de autenticação dos clientes. Além disso, para o período em que Ring teve procedimentos inadequados para obter o consentimento dos consumidores, a empresa deve excluir Todos os vídeos usados ​​para pesquisa e desenvolvimento e todos os dados – incluindo modelos e algoritmos – derivados desses vídeos.

O Ring também deve implementar um programa abrangente de privacidade e segurança que limita estritamente a “revisão humana” dos vídeos dos clientes a certas circunstâncias estreitas – por exemplo, para cumprir a lei ou investigar atividades ilegais – ou se a empresa tiver o consentimento informado do Express dos consumidores. A empresa também deve aumentar seu jogo de segurança com requisitos específicos de autenticação, criptografia, teste de vulnerabilidade e treinamento de funcionários.

Além de notificar os clientes sobre as práticas de acesso ao vídeo LAX citadas na denúncia, no futuro, a Ring deve notificar a FTC de qualquer incidente de segurança que desencadeie a notificação sob outras leis e qualquer incidente de privacidade que envolva acesso não autorizado a vídeos de dez ou mais contas de anel.

O que outras empresas podem retirar do acordo proposto neste caso?

Quem é responsável pelos dados dos consumidores? Consumidores. Os consumidores – não as empresas – devem estar no controle de quem acessa seus dados confidenciais. Além disso, décadas de precedente da FTC estabelecem que as empresas não podem usar “divulgações” difíceis de encontrar e mais difíceis de entender e Devido à forma Caixas de seleção para fabricar “consentimento”.

Desenvolva algoritmos com responsabilidade. De acordo com a FTC, a Ring acessou os vídeos dos clientes para desenvolver algoritmos sem o seu consentimento. Se você entrou na arena da AI, a mensagem da FTC é clara: as informações pessoais dos consumidores não são uma grista que as empresas podem usar à vontade. A FTC responsabilizará as empresas pela maneira como obtêm e usarão os dados do consumidor que alimentam seus algoritmos. Além disso, as empresas que dependem da revisão humana para marcar os dados usados ​​para treinar algoritmos de aprendizado de máquina devem obter consentimento expresso afirmativo dos consumidores e implementar salvaguardas para proteger a privacidade e a segurança dessas informações.

A FTC é “biometricamente” oposta ao uso indevido de categorias altamente sensíveis de informações pessoais. Dados biométricos – seja na forma de impressões digitais, digitalizações de íris, vídeos ou outra coisa – merecem o mais alto nível de proteção. Se você não leu o FTC de maio de 2023 Declaração de política sobre informações biométricasFaça -o a seguir na sua lista de leitura.

A FTC trabalha para manter os consumidores seguros em casa. Se houver um lugar que as pessoas devem estar livres de olhares indiscretos, está em casa. E se há um grupo que merece proteção particular em casa, são crianças. Agora imagine o terror experimentado por pessoas – incluindo jovens – que foram ameaçadas em suas camas por alguém que obteve acesso através de um dispositivo comprado para proteção. A ação da FTC contra Ring demonstra os riscos para a privacidade e a segurança de que as práticas de dados cavaleiros de uma empresa podem infligir aos consumidores e crianças.