Слежка банка внутри личного кабинета за пользователем?

Тут на самом деле банк сам себе оказывает медвежью услугу.
(дальше всё несколько занудно, но вопрос важный и я пожалуй внесу ясность)
Дело вот в чём: передаются важные технические данные:
-- HTTP-referer (URL странички на которой вы находитесь)
-- User-agent (информация о браузере, часто устройстве, чаще всего ОС, иногда установленных расширениях).
-- и еще кучка других, но я ограничусь этими.

У сбера, к примеру, адреса странички на которой пользователь работает с вкладами/картами/кредитами разные. Также в адресе страничек иногда присутствует мобильный телефон и параметры платежа *, также по цифрам в ссылках можно определить тип карты/счёта.
А при открытии счёта номер Р/С тоже тамже. р/с нумеруется с точностью до отделения.

Чем это всё грозит. Прежде всего при грамотных настройках таргетинга можно в вас сегментировать клиента конкретного банка, даже конкретных продуктов конкретного банка, а при особой удаче, с точностью до отделения и местоположения (последнее если разработчики совсем не думают о том что делают).
С учётом информации об устройстве, операционке и браузере(и его расширениях) заманить вас красивой рекламой на к/л сайт на котором скормить вам что-либо по известным массовым уязвимостьям этого набора.
Я даже один раз натыкался на подобное: уязвимо было популярное расширения для хрома, в сбере не было (и сейчас похоже особо кстати нет) защиты от CSRF и оно могло делать со сберонлайном всё что угодно. Привет банкам где не каждая операция подтверждается вторым фактором. Я думаю что подобное и сейчас возможно в различных реализациях ИБ, поэтому по окончании работы с ИБ на всякий случай жмите кнопку выхода из ИБ.

Почему я считаю что такие банки сами себе злобные буратины: мне кажется нет ничего ценнее информации об интересах, и категориях услуг конкретного клиента, особенно он если он интересовался каким-то новым продуктом (к примеру, ходил по разделу Кредитные карты сайта банка , а у него в ИБ только дебетовые), или к примеру по нумерации вклада известно что это вклад на год, открытый в год назад на сумму от 1 млн. Или к примеру писал в условный сбер претензию. Или закрывает вклад. Или пишет заявку на ипотеку. Ну вы поняли.

А банки берут и всё это налево сгружают. Всем включая конкурентов. Молодцы. Вот греешь ты интерес клиента к условному ИСЖ, покупаешь рекламу за овердофига, листовки в отделениях раздаёшь, клиент нагрелся, написал заявку и тутже ушел нахрен к конкурентам из-за пары процентов сверху. Есть у нас банки которые так умеют, это очень хорошо видно, когда вижу прямо душа радуется как красиво всё проворачивается.

Какие сейчас есть инструменты сегментации я хз, но года три назад в совершенно другой области я подобное проворачивал. Если кто-то сейчас активно занимается, пишите своё мнение, не стесняйтесь.

Код
Но не верьте мне на слово, если хотите в образовательных целях и для расширения  кругозора самостоятельно посмотреть на изнанку этих наших интернетов, добро пожаловать в нажатие F12 в современных браузерах (рекомендую начать со вкладки "сеть")

*) Часть этих сведений вообще-то БТ. Технические домены яндекса зарегистрированы даже не на российскую компанию. Ну, помашем номеру моего РС уходящему в Нидеранды.