In re TRENDnet, Inc. - In re TRENDnet, Inc.

В отношении TRENDnet, Inc., F.T.C. Дело № 122-3090 - это первое судебное дело, возбужденное Федеральная торговая комиссия (FTC) против "продавца товаров повседневного спроса с возможностью подключения к Интернету и другим мобильным устройствам, которые обычно называются Интернет вещей." [1] FTC обнаружила, что TRENDnet нарушил раздел 5 (а) Закон о Федеральной торговой комиссии путем ложной рекламы, что IP камеры проданный продукт мог безопасно передавать видео в Интернете.[2] 16 января 2014 года Федеральная торговая комиссия приняла решение и приказ. [3] обязательство TRENDnet, среди прочего, прекратить искажать информацию о степени, в которой ее продукты защищают безопасность записываемых прямых трансляций и личной информации, доступной через эти устройства.

Ответчик: TRENDnet, Inc.

TRENDnet - калифорнийская корпорация, которая, помимо прочего, продает сетевые устройства, такие как маршрутизаторы, модемы и IP-камеры видеонаблюдения, которые позволяют пользователям осуществлять удаленное наблюдение за своими домами и предприятиями через Интернет.[4] В 2010 году компания начала продавать камеры с цифровым подключением под торговой маркой SecurView.[5]Обычно он продает свои IP-камеры под торговой маркой SecurView и сообщает потребителям, что они могут использовать камеры для наблюдения за «младенцами дома, пациентами в больнице, офисах, банках и т. Д.».[4]«По умолчанию для этих IP-камер действуют настройки безопасности, такие как требование ввести имя пользователя и пароль (« учетные данные для входа ») для доступа к видео- и аудиоканалам (« прямые трансляции ») через Интернет».[4] В период с 2010 по 2012 год линия «Secureview» от TRENDnet принесла доход в размере 19 миллионов долларов, что составляет 10 процентов от общей выручки компании за этот период.[5]

Нарушение безопасности TRENDnet

Нарушение безопасности было впервые использовано, когда блогер по имени SomeLuser смог идентифицировать веб-адреса прямых трансляций, поступающих с камер TRENDnet ATV-IP110w.[6] SomeLuser понял, что доступ к прямому потоку с любой камеры можно получить, сделав запрос «mjpg.cgi» на IP-адрес устройства, тем самым пропустив необходимость вводить учетные данные для входа.[6] 10 января 2012 г. SomeLuser загрузил эту информацию в Shodan поисковая система, которая сразу сделала 350 доступных для просмотра всем желающим. К тому времени, когда о взломе стало известно TRENDnet, через Shodan было доступно более 700 камер.[6]

«Среди прочего, эти скомпрометированные прямые трансляции отображали частные зоны домов пользователей и позволяли несанкционированное наблюдение за младенцами, спящими в своих кроватках, маленькими детьми, играющими, и взрослыми, занимающимися типичными повседневными делами. Нарушение широко освещалось в новостных статьях в Интернете, многие из них содержали фотографии, сделанные из скомпрометированных прямых трансляций или гиперссылок для доступа к таким трансляциям. Основываясь на IP-адресах камер, в новостях также указывалось географическое положение (например, город и штат) многих скомпрометированных камер ». [7] TRENDnet узнал о взломе 13 января 2012 года, когда клиент, который читал о взломе, связался со службой технической поддержки TRENDnet, чтобы сообщить о проблеме.[7] Компания TRENDnet выпустила обновление прошивки, предназначенное для устранения уязвимости программного обеспечения, прекратила отгрузку новых продуктов на рынок и потратила «существенные ресурсы» на уведомление всех предыдущих клиентов.[8]

Жалоба FTC против TRENDNET, Inc. - 4 сентября 2013 г. [7]

Жалоба FTC выявила четыре «действия, которые вместе взятые не смогли обеспечить разумную безопасность для предотвращения несанкционированного доступа к конфиденциальной информации, а именно к прямой трансляции с IP-камер».[7] FTC утверждала, что TRENDnet неверно представила потребителям адекватность своих мер безопасности, даже если:

  • «передавали учетные данные пользователя в виде ясного, читаемого текста через Интернет, несмотря на существование бесплатного программного обеспечения, общедоступного по крайней мере с 2008 года, которое позволило бы респонденту защитить такие передачи;
  • сохраненные учетные данные пользователя для входа в открытый, читаемый текст на мобильном устройстве пользователя, несмотря на наличие бесплатного программного обеспечения, общедоступного по крайней мере с 2008 года, которое позволило бы респонденту защитить такие сохраненные учетные данные;
  • не реализовали процесс активного мониторинга отчетов об уязвимостях безопасности от сторонних исследователей, ученых или других представителей общественности, несмотря на наличие бесплатных инструментов для проведения такого мониторинга, тем самым задерживая возможность исправления обнаруженных уязвимостей или реагирования на инциденты;
  • не использовала разумные и надлежащие меры безопасности при разработке и тестировании программного обеспечения, которое предоставляла потребителям для своих IP-камер " [7]

Комиссия проголосовала за принятие пакета соглашения о согласии 4-0.[1] «FTC. Не имеет юридических полномочий налагать штрафы в таких случаях. Но TRENDnet согласился с приказом о согласии, запрещающим подобную практику, поэтому у комиссии есть возможность добиваться штрафов в будущем».[5]

Урегулирование дела - 16 января 2014 г.[9]

"Соглашение TRENDnet запрещает компании искажать безопасность своих камер или безопасность, конфиденциальность, конфиденциальность или целостность информации, которую передают его устройства. Кроме того, компания не может искажать контроль потребителя над безопасностью информации, которую устройства хранят, собирают, получают доступ или передают. ; он должен уведомлять клиентов о проблемах безопасности с камерами и доступности обновления прошивки; и он должен предоставлять клиентам бесплатную техническую поддержку для обновления или удаления их камер в течение следующих двух лет. Наконец, TRENDnet должна создать комплексную программу информационной безопасности разработан для устранения рисков безопасности, которые могут позволить хакерам получить доступ к его устройствам или использовать их; защитить безопасность, конфиденциальность и целостность информации, хранящейся, перехваченной, доступной или передаваемой его устройствами; и получать сторонние аудиты безопасности раз в два года в течение следующих 20 лет ". [10]

Орден истекает 16 января 2034 года.

Важность дела

Один комментатор отметил, что послание всем компаниям, разрабатывающим продукты для Интернет вещей заключается в том, что «FTC наблюдает и уведомила о том, что намерена играть активную роль в обеспечении соблюдения своих регулирующих органов в этом контексте». Этот случай, однако, показывает, насколько сложно для FTC будет регулировать эту новую отрасль. В конечном итоге это действие было основано на искажениях TRENDnet, а не на безопасности самих продуктов.[11] 4 февраля 2014 г. Федеральная торговая комиссия заявила, что Комитет Сената США по судебной власти, заявив, что Раздел 5 (а) Закон о Федеральной торговой комиссии, кодифицировано в 15 U.S.C. §45 (а) дает агентству право регулировать стандарты безопасности.[12]«Если компания делает существенно вводящие в заблуждение заявления или упущения по какому-либо вопросу, включая безопасность данных, и такие заявления или упущения могут ввести в заблуждение разумных потребителей, они могут быть сочтены вводящими в заблуждение в нарушение Раздела 5.»[12] «Кроме того, если методы обеспечения безопасности данных компании причиняют или могут нанести существенный вред потребителям, который не может быть разумно предотвращен потребителями или перевешен компенсационными выгодами для потребителей или конкуренцией, такая практика может быть признана несправедливой и нарушающей Раздел 5. " [12] За последнее десятилетие FTC использовала свои полномочия для наказания «несправедливых» и «вводящих в заблуждение» торговых практик для расследования компаний, которые собирают, отслеживают или используют личную информацию о потребителях. Как и в случае с TRENDnet, FTC часто заявляет о нарушениях обоих положений при расследованиях конфиденциальности данных.[13]

Другие комментаторы отметили, что этот случай может означать, что FTC принимает более широкий взгляд на то, что составляет «конфиденциальные данные». В отчете о конфиденциальности мобильных устройств за 2013 год комиссия приняла субъективное понятие «конфиденциальные данные», выступая за то, чтобы компании получали явное согласие перед сбором данных, которые «многие клиенты сочли бы конфиденциальными во многих контекстах».[14] Однако в этой жалобе FTC заявляет, что прямые трансляции сами по себе представляют собой «конфиденциальные данные».[7] Хотя потоки, вероятно, раскрывают «конфиденциальные данные» (личную информацию о здоровье, финансах или местонахождении), «в жалобе FTC, по-видимому, не проводится различие между потоками, раскрывающими такие конфиденциальные данные, от каналов, содержащих безобидные данные».[8]

Рекомендации

  1. ^ а б «FTC утверждает сборы за расчет окончательного заказа против TRENDnet, Inc». Федеральная торговая комиссия. Получено 28 марта 2014.
  2. ^ О'Брайен, Крис. «Простые подключенные к Интернету устройства могут стать причиной сложных онлайн-преступлений». Лос-Анджелес Таймс. Получено 1 апреля 2014.
  3. ^ См. Раздел «Решение и приказ» по адресу: http://www.ftc.gov/system/files/documents/cases/140207trendnetdo.pdf
  4. ^ а б c «Федеральная торговая комиссия, файл № 122 3090, TRENDnet, Inc: анализ предложенного ордера на согласие в поддержку общественного обсуждения» (PDF). Федеральный регистр Vol. 78, № 176. Получено 20 февраля, 2014.
  5. ^ а б c Вятт, Эдвард. «F.T.C. заявляет, что недостаток веб-камеры показывает жизнь пользователей». Нью-Йорк Таймс. Получено 1 апреля 2014.
  6. ^ а б c Пэрриш, Кевин. «FTC заставляет TRENDnet терпеть 20 лет аудита». Руководство TOM. Получено 1 апреля 2014.
  7. ^ а б c d е ж «По делу компании TRENDnet, Inc., дело № C-4466, дело FTC № 122 3090» (PDF). Федеральная торговая комиссия.
  8. ^ а б Причард, Эрик. «Legal Watch: влияние решения TRENDnet». SecurityInfoWatch.com. Получено 2 апреля 2014.
  9. ^ «По делу TRENDnet, Inc. Решения и дела № C-4426, № дела / № 122 30 90» (PDF). Федеральная торговая комиссия.
  10. ^ Адхикари, Ричард. «Webcam Maker принимает вызов FTC из-за сбоя в безопасности Интернета вещей». TechNewsWorld.com. Получено 2 апреля 2014.
  11. ^ Клирфилд, Крис. «Почему FTC не может регулировать Интернет вещей». Forbes. Получено 1 апреля 2014.
  12. ^ а б c «Подготовленное заявление Федеральной торговой комиссии США о конфиденциальности в эпоху цифровых технологий: предотвращение утечки данных и борьба с киберпреступностью перед Комитетом по судебной власти Сената США» (PDF). Комитет по судебной власти, Сенат США. Получено 15 февраля, 2014.
  13. ^ Капицци, Мэри Девлин. «Предвидение дальнейшего изучения подключенных устройств: понимание подхода Федеральной торговой комиссии к конфиденциальности данных». Монитор фармацевтического соответствия. Получено 1 апреля 2014.
  14. ^ «Раскрытие информации о конфиденциальности для мобильных устройств - 2013» (PDF). Федеральная торговая комиссия. Получено 1 апреля 2014.