Você pode pensar em manter seus dados pessoais em sigilo ao não conceder determinadas permissões aos aplicativos quando os usar pela primeira vez. No entanto, pesquisas descobriram (via CNET) mais de 1, 000 aplicativos para Android que encontraram maneiras de contornar as permissões negadas, permitindo acessar dados de localização e outras informações pessoais do usuário. O Instituto Internacional de Ciência da Computação (ICSI) diz que encontrou até 1, 325 aplicativos no Google Play Store que coletou esses dados de usuários que lhes negaram permissão. O estudo foi apresentado no PrivacyCon, hospedado no mês passado pela Federal Trade Commission (FTC). O estudo analisou 88.000 aplicativos Android e investigou como eles lidavam com dados quando as permissões eram negadas. O que o estudo descobriu foi que tantos 1, 325 aplicativos tinham código escrito para obter dados de localização de metadados armazenados em fotos e de conexões Wi-Fi. Serge Egelman, diretor de pesquisa de segurança e privacidade utilizável no ICSI, apresentou os dados na conferência e disse que o Google foi notificado sobre isso em setembro passado. A empresa disse que resolveria esse problema com o lançamento do Android Q, previsto para o final deste trimestre. O Google ocultará informações de localização nas fotos dos aplicativos. Também será necessário aplicativos que funcionem com Wi-Fi para obter permissão para receber dados de localização.
“Fundamentalmente, os consumidores têm muito poucas ferramentas e dicas que podem ser usadas para controlar razoavelmente sua privacidade e tomar decisões sobre ela. Se os desenvolvedores de aplicativos puderem simplesmente contornar o sistema, pedir permissão aos consumidores será relativamente sem sentido.” – Serge Egelman, diretor de pesquisa utilizável de segurança e privacidade, ICSI
Outros aplicativos coletam informações pessoais de outros aplicativos que receberam permissão para obtê-las. Os aplicativos com permissão negada acessam as informações pessoais de arquivos não protegidos em um cartão SD, onde são armazenados por outro aplicativo com permissão para coletá-los. Embora o relatório diga que apenas 13 aplicativos Android usaram essa técnica para roubar dados pessoais, esses aplicativos foram instalados mais de 17 milhões de vezes e incluem o aplicativo de parque Disneyland do Baidu em Hong Kong. 153 aplicativos são capazes de fazer isso, incluindo os aplicativos Health e Browser da Samsung, instalados em mais de 500 milhões de dispositivos. Entre os dados pessoais que podem ser roubados com esse método está o número IMEI exclusivo de um telefone. Outros aplicativos se conectam à rede Wi-Fi de um usuário para roubar dados de localização. Esses aplicativos obtêm o número MAC que pode identificar o adaptador de rede nos dispositivos Wi-Fi. O relatório observa que os aplicativos usados como controles remotos inteligentes costumam fazer isso, mesmo que não haja um motivo legítimo para eles terem dados de localização de um usuário.
Os nomes dos 1, 325 aplicativos para Android que roubam dados pessoais serão divulgados no próximo mês
Como exemplo de como essas soluções alternativas são usadas na vida real, o relatório observou que o aplicativo de publicação de imagens Shutterfly tirou coordenadas GPS das fotos e enviou esses dados para seus servidores, mesmo que o usuário não tenha concedido permissão ao aplicativo para obter seus dados de localização. Uma porta-voz do aplicativo negou isso e disse que só coleta dados de localização com a permissão do usuário.
“Como muitos serviços de fotos, o Shutterfly usa esses dados para aprimorar a experiência do usuário com recursos como categorização e sugestões personalizadas de produtos, tudo de acordo com a política de privacidade do Shutterfly e com o contrato de desenvolvedor do Android.” – Shutterfly
Egelman diz que irá revelar os nomes dos 1, 325 aplicativos Android que coletavam dados pessoais sem permissão. Isso acontecerá no próximo mês, quando ele apresentar o relatório novamente, desta vez na conferência Usenix Security.
