App protege maioria dos dados de usuários que transmite por trás de camada adicional de criptografia especial
O TikTok contornou uma salvaguarda à privacidade adotada pelo sistema operacional Google Android, ao recolher identificadores únicos de milhões de aparelhos móveis, dados que permitem que o app rastreie usuários online sem lhes oferecer a opção de não participar do programa, constatou uma análise do jornal The Wall Street Journal.
A tática, que especialistas em segurança da telefonia dizem ter sido ocultada por meio de uma camada criptográfica adicional que não costuma ser usada, aparentemente viola normas do Google que limitam a forma pela qual apps rastreiam pessoas, e não foi revelada aos usuários do TikTok. O app abandonou a prática em novembro, de acordo com a análise do jornal.
A descoberta surge em um momento no qual a ByteDance, a companhia controladora do TikTok, sediada em Pequim, está sofrendo pressão da Casa Branca por conta da preocupação com a possibilidade de que dados recolhidos pelo aplicativo sejam usados para ajudar o governo chinês a rastrear empregados do, ou prestadores de serviço ao, governo americano. O TikTok informou que não compartilha dados com o governo chinês e que não o faria caso isso lhe fosse solicitado.
Os identificadores recolhidos pelo TikTok, conhecidos como endereços MAC, costumam ser usados para propósitos publicitários. A Casa Branca se declarou preocupada com a possibilidade de que dados sobre usuários sejam obtidos pelo governo chinês e usados para criar dossiês detalhados sobre pessoas, para fins de chantagem ou espionagem.
O TikTok, que informou alguns meses atrás que seu app recolhe menos dados do que produtos de companhias americanas como o Facebook ou o Google, do grupo Alphabet, não respondeu a perguntas detalhadas encaminhadas à empresa. Em comunicado, um porta-voz declarou que a companhia “tem o compromisso de proteger a privacidade e a segurança da comunidade do TikTok. Como nossos pares, nós atualizamos nosso app constantemente em resposta aos desafios de segurança que evoluem constantemente”.
A companhia afirmou que “a versão atual do TikTok não recolhe endereços MAC”.
A maioria dos apps modernos para celulares recolhe diversos dados sobre usuários, uma prática que defensores da privacidade consideram alarmante há muito tempo mas que as empresas de tecnologia defendem afirmando que isso permite oferecer experiências altamente personalizadas e publicidade direcionada. Os dados recolhidos variam de empresa a empresa.
Cerca de 1% dos apps do Android recolhem endereços MAC, de acordo com um estudo conduzido em 2018 pela AppCensus, uma empresa de análise de dados sobre tecnologia móvel que presta consultoria a companhias sobre suas práticas de privacidade.
Um porta-voz do Google disse que a empresa estava investigando as constatações do The Wall Street Journal e se recusou a comentar sobre a brecha que permitia que alguns apps recolhessem endereços MAC.
As preocupações do governo Trump quanto à segurança nacional levaram a ByteDance a explorar a venda das operações do TikTok nos Estados Unidos, e a questão foi discutida com diversos potenciais parceiros, entre os quais a Microsoft. Quando perguntado se a companhia estava ciente dessa questão referente à coleta de dados, um porta-voz da Microsoft se recusou a comentar.
A questão envolve um endereço de “controle de acesso a mídia” (MAC, na sigla em inglês), um código de 12 números que serve como identificador único em todos os aparelhos eletrônicos capazes de acesso à internet, entre os quais celulares e outros dispositivos móveis.
O endereço MAC é útil para os apps que faturam com publicidade porque não pode ser alterado ou zerado, e permite que produtores de apps e empresas terceirizadas de análise de dados construam perfis sobre o comportamento dos consumidores; os perfis persistem não importa que medidas de proteção à privacidade um usuário adote, excetuada a compra de um novo celular. A Comissão Federal do Comércio (FTC, na sigla em inglês) afirmou que os endereços MAC são considerados como informação de identificação pessoal nos termos da lei americana de proteção à privacidade online da criança.
“É uma maneira de permitir o rastreamento de usuários em longo prazo sem que estes tenham a possibilidade de optar por exclusão”, disse Joel Reardon, professor assistente da Universidade de Calgary e um dos fundadores da AppCensus. “Não vejo motivo para que sejam recolhidos”.
A Apple travou os endereços MAC dos iPhones, a partir de 2013, o que impede que apps externos leiam o identificador. O Google fez a mesma coisa com o Android dois anos mais tarde. O TikTok contornou essa restrição no Android ao usar um atalho que permite que apps obtenham endereços MAC por uma rota indireta, apontaram os testes realizados a pedido do jornal.
Essa brecha de segurança é bem conhecida, ainda que não seja usada com frequência, disse Reardon. Ele apresentou um relatório oficial sobre o “bug” ao Google em junho, depois de descobrir que a versão mais recente do Android ainda não tinha eliminado a brecha. “Fiquei chocado por ainda ser possível explorá-la”, ele disse.
O relatório de Reardon era sobre a brecha em termos gerais, e não se referia especificamente ao TikTok. Ele disse que, quando apresentou o relatório, a companhia o informou que já tinha um relatório semelhante em seus arquivos. O Google se recusou a comentar.
O TikTok recolheu endereços MAC de usuários por pelo menos 15 meses, até uma atualização de seu app lançada em 18 de novembro do ano passado, quando a ByteDance já estava começando a sofrer escrutínio intenso de Washington, constataram os testes.
O TikTok formava pacotes com os dados sobre os endereços MAC e outros identificadores de aparelhos e os encaminhava à ByteDance, quando o app era instalado inicialmente em um novo celular e colocado em uso. O pacote também incluía o identificador publicitário do aparelho, um número de 32 dígitos cuja função é permitir que anunciantes rastreiem informações sobre o comportamento do consumidor mas ao mesmo tempo oferecer a este alguma medida de preservação do anonimato e controle sobre suas informações.
Os usuários preocupados com a privacidade podem reiniciar o identificador publicitário por meio do menu de configurações do aparelho, uma ação mais ou menos equivalente a limpar os cookies de um navegador de internet.
As normas da Google Play Store advertem os desenvolvedores de que “identificadores publicitários não devem ser conectados a informações de identificação pessoal ou associados a qualquer identificador persistente de dispositivo”, o que inclui o endereço MAC, “sem que o usuário ofereça consentimento específico para isso”.
Armazenar o endereço MAC, que não pode ser mudado, permitiria que a ByteDance correlacionasse o novo identificador publicitário de um usuário ao antigo –uma tática conhecida como “ID bridging”, e proibida sob as normas da Google Play Store. “Se você desinstalar o TikTok, reiniciar o identificador publicitário, reinstalar o TikTok e criar uma nova conta, o endereço MAC continuará o mesmo”, disse Reardon. “A capacidade de recomeçar do zero é perdida”.
A despeito da proibição, a prática do “ID bridging” é bastante comum, de acordo com a AppCensus, especialmente por parte dos apps gratuitos de jogo. Mas raramente envolve o endereço MAC, o identificador mais persistente que pode ser acessado na versão atual do Android.
Em um estudo por amostra aleatória conduzido pela AppCensus sobre 25.152 apps populares no Android e dotados de acesso à internet, apenas 347, ou 1,4%, estavam usando a brecha no Android para enviar dados sobre o MAC à empresa controladora. Destes, apenas 90 também transmitiam a identidade de Android do aparelho, que muda quando um celular passa por um reset.
A análise do jornal confirmou parte do comportamento detalhado em um post anônimo publicado no Reddit em abril e muito discutido, que acusava o TikTok de transmitir diversos dados pessoais aos servidores da ByteDance, entre os quais o endereço MAC. O Google anunciou que está investigando as afirmações que a postagem contém.
O The Wall Street Journal examinou nove versões do TikTok lançadas pela Play Store entre abril de 2018 e janeiro de 2020. A análise se limitava a determinar o que o TikTok recolhe assim que é instalado no aparelho de um usuário, antes que este crie uma conta e aceite os termos de serviço do app.
Além do endereço MAC, os testes demonstraram que o TikTok não recolhe um volume de informação incomum, para um app de celular, e que suas práticas eram reveladas em suas normas de privacidade e em mensagens que solicitam autorização do usuário em diversos momentos da instalação.
Menos típicas são as medidas que a ByteDance toma para ocultar os dados que captura. O TikTok protege a maioria dos dados de usuários que transmite por trás de uma camada adicional de criptografia especial.
Como no caso de virtualmente todos os apps modernos, o tráfego de internet do TikTok é protegido por protocolos padrão de criptografia, o que torna improvável que um bisbilhoteiro intercepte informações em trânsito. Isso torna o código de proteção adicional que o TikTok aplica aos dados dos usuários aparentemente redundante – a menos que ele tenha sido acrescentado para que o dono do aparelho não pudesse saber o que o TikTok está fazendo, disse Nathan Good, pesquisador do International Digital Accountability Council, um grupo de fiscalização que analisa o comportamento de apps.
“Os esforços do TikTok para ocultar esses dados tornam mais difícil determinar o que ele está fazendo”, disse Good. A camada adicional de criptografia dificulta que os pesquisadores determinem se o TikTok está respeitando as normas de privacidade que alardeia, assim como diversas leis. Ele disse não conhecer qualquer propósito de negócios para a criptografia adotada.
“Isso não oferece segurança adicional na internet”, concordou Reardon. “Mas significa que não tenhamos transparência com relação ao que está sendo enviado”.
É comum que apps de celulares ocultem parte de seu software para impedir cópia pelos concorrentes, mas a criptografia do TikTok não parece estar protegendo um segredo tecnológico, disse Marc Rogers, vice-presidente de estratégia de segurança cibernética na Okta, que oferece serviços de proteção ao login de usuários.
“Meu palpite é que a razão para que eles o façam é evitar detecção pela Apple ou Google, porque se Apple ou Google os vissem transmitindo essas informações, quase certamente rejeitariam o app”, ele disse.
O Google deveria remover o TikTok de sua plataforma, disse o senador Josh Hawley (republicano do Missouri), ao The Wall Street Journal, quando informado sobre as constatações. Hawley vem criticando o TikTok e é parte da linha dura com relação à China, em termos gerais.
“O Google precisa cuidar de sua casa, e o TikTok não deveria estar nela”, disse o senador. “Se o Google diz aos usuários que eles não serão rastreados sem consentimento, e mesmo assim permite que apps como o TikTok violem suas regras ao recolher identificadores persistentes, o que representa uma potencial violação de nossas leis de privacidade infantil, eles têm muito que explicar”.
The Wall Street Journal, tradução de Paulo Migliacci
Nenhum comentário:
Postar um comentário