Alguns apps estariam coletando vários tipos de dados via notificações

Já mostramos por aqui que a Apple e o Google admitiram que governos vigiam notificações push recebidas nos smartphones. Além deles, porém, pesquisas recentes mostraram que os próprios aplicativos que enviam os alertas também coletam dados dos usuários, os quais são usados para identificá-los.

A apuração foi feita por pesquisadores de segurança da Mysk, uma empresa de desenvolvimento de apps, além de uma investigação independente feita pela 404 Media. Segundo eles, apps como Facebook, TikTok e LinkedIn capturam mais dados do que o necessário ao enviar notificações e em anúncios.

De acordo com a 404 Media, uma ferramenta chamada de Patternz usa apps como 9gag, Kik, Truecaller, entre outros, para abusar da mecânica de direcionamento de anúncios em tempo real e criar perfis de bilhões usuários com informações pessoais, incluindo localização, endereços e interesses. O sistema é anunciado até mesmo para agências de segurança nacionais.

O Patternz — que constitui uma verdadeira rede de vigilância global — tem acordos com redes de anúncios e finge ser um anunciante, escolhendo critérios de direcionamento excessivamente específicos, selecionados para identificar indivíduos, obtendo dados sensíveis sobre a pessoa. Mais de 61 mil apps são usados para esse fim sem sequer terem consciência disto.

Com relação às notificações push, ao fechar um aplicativo no iOS, há diversas restrições impostas pelo sistema quanto a atividades que ainda podem ser feitas — e, consequentemente, de quais dados podem ser captados. Quando um app envia uma notificação push, ele é ativado temporariamente para processar a notificação — com a possibilidade de personalizar os alertas desde o iOS 10 —, recurso que é usado para a captação de dados.

É justamente nesse momento que alguns apps coletam mais informações do que o necessário para apenas garantir que a notificação foi enviada, extrapolando as ferramentas da Apple para personalizar os alertas. O Facebook, por exemplo, coleta o endereço IP, o momento em que o aparelho foi reiniciado pela última vez, a memória disponível e outros detalhes, enquanto o LinkedIn capta até mesmo o fuso horário, o nível de brilho do display e dados da operadora.

Juntos, esses dados são usados como identificadores para direcionar anúncios aos usuários — o que é proibido pela Apple —, de modo que a estratégia é uma brecha para essa proibição. Além de monitorar a atividade dos usuários dentro dos apps, com essa estratégia as empresas conseguem associar os dados a uma “identidade”, o que torna os dados mais valiosos para o direcionamento de publicidade.

Ao Gizmodo, a Meta e o LinkedIn disseram que os dados são coletados apenas para garantir que as notificações sejam enviadas com sucesso e a tempo. Ironicamente, apps do Google — outra empresa com controvérsias no que tange à privacidade —, como Gmail e YouTube, coletam apenas dados de fato necessários para o processamento de notificações, de acordo com a pesquisa da Mysk.

Além disso, a própria Maçã envia aos desenvolvedores de apps detalhes sobre a interação com notificações, o que torna ainda mais injustificável essa captura de informações considerada excessiva.

Uma novidade que poderá mudar esse cenário será uma mudança que a Apple fará nos próximos meses, exigindo que os desenvolvedores expliquem por que estão usando APIs ¹ comumente usadas como identificadores. Há dúvidas, contudo, quanto a como a Maçã aplicará essas novas regras.

Notas de rodapé

fonte