Avertisment: O aplicație de securitate pentru Android, cu 1 miliard de descărcări, înregistrează navigarea web a utilizatorilor

În februarie, Google a dat afară 600 de aplicații din magazinul său Play. Printre acestea se număra o aplicație numită Clean Master, un instrument de securitate care promitea protecție antivirus și navigare privată. Aceasta a avut peste 1 miliard de instalări înainte de a fi evacuată și, în ciuda interdicției Google, este una dintre cele mai descărcate aplicații Android din toate timpurile și probabil că încă rulează pe milioane de telefoane.

În timp ce Google nu a comentat ce știa despre aplicație, creată de Cheetah Mobile din China, Forbes a aflat că o companie de securitate a furnizat gigantului tehnologic dovezi că instrumentul colecta tot felul de date private de utilizare a Web-ului.

Acestea includ site-urile web pe care utilizatorii le-au vizitat din browserul „privat” din aplicație, interogările pe care le făceau pe motoarele de căutare și numele punctelor de acces Wi-Fi, până la informații mai detaliate, cum ar fi modul în care au derulat paginile web vizitate, potrivit cercetătorului companiei de securitate, care a furnizat, de asemenea, informațiile către Forbes.

Cheetah, o companie publică care numără gigantul tehnologic chinez Tencent ca investitor major, spune că trebuie să monitorizeze utilizatorii pentru a-i menține în siguranță și pentru a le oferi servicii utile.

Dar cercetarea, realizată de Gabi Cirlig, cercetător la compania de securitate cibernetică White Ops, vine după acuzații anterioare privind potențiale probleme de confidențialitate cu aplicațiile Cheetah. În 2018, Google a dat afară din magazinul său de aplicații aplicația CM File Manager din cauza încălcărilor politicilor sale privind frauda publicitară. (La momentul respectiv, ca răspuns la un raport al Buzzfeed News, Cheetah a negat că ar fi avut capacitatea de a pretinde în mod fals clicuri publicitare pentru profit, așa cum s-a afirmat). Anul trecut, VPNpro a avertizat cu privire la permisiunile posibil „periculoase” cerute de dispozitive, cum ar fi capacitatea de a instala aplicații.

Nu doar Clean Master a supravegheat activitatea web a utilizatorilor, potrivit lui Cirlig. Alte trei produse Cheetah – CM Browser, CM Launcher și Security Master – aplicații cu sute de milioane de descărcări au făcut același lucru, potrivit lui Cirlig. El a sondat aplicațiile anul trecut pentru a descoperi acest comportament înainte de a-și împărtăși cercetările cu Forbes. El a descoperit că Cheetah colecta informațiile de pe dispozitive, cripta datele și le trimitea către un server web- ksmobilecom. Prin inginerie inversă a acestui proces de criptare, el a putut determina ce date erau colectate de pe telefoanele utilizatorilor.

„Din punct de vedere tehnic, au o politică de confidențialitate care acoperă cam totul și le dă un cec în alb pentru a exfiltra totul”, spune Cirlig. „Nu pot ști cu siguranță ce anume încalcă. Pur și simplu, joacă mingea într-o zonă gri și depinde de cercetători ca noi să se ridice și să strige „fault” ori de câte ori cred că depășesc limita. Eu personal cred că depășesc linia.”

Răspunsul lui Cheetah

Cheetah spune că colectează traficul web al utilizatorilor și alte date, dar face acest lucru în mare parte din motive de securitate. De exemplu, monitorizează navigarea pe internet pentru a se asigura că site-urile pe care le vizitează utilizatorii nu sunt periculoase. De asemenea, face acest lucru pentru a oferi anumite servicii, cum ar fi sugerarea căutărilor recente în tendințe.

În ceea ce privește accesarea numelor rețelelor Wi-Fi, Cheetah a declarat pentru Forbes că raționamentul a fost cam același: pentru a împiedica utilizatorii să se alăture unor rețele Wi-Fi rău intenționate. „Nu colectăm date pentru a urmări viața privată a utilizatorilor și nu avem nicio intenție de a face acest lucru”, a declarat un purtător de cuvânt.

Compania spune că respectă toate legile locale privind confidențialitatea, nu vinde datele private ale utilizatorilor și nu trimite informațiile către un server chinez, ci către un sistem Amazon Web Services din afara țării. Cu toate acestea, Cirlig a precizat că domeniul în care au fost transmise informațiile a fost înregistrat în China. Iar Cheetah însuși are sediul în Beijing.

‘Nu există niciun motiv întemeiat pentru a colecta date’

Doi cercetători independenți în domeniul securității și Cirlig spun că există modalități mult mai sigure de a colecta informațiile. Pentru site-urile web și pentru punctele de acces Wi-Fi, aceștia ar putea transforma informațiile în „hașuri” – bucățele de litere și numere aleatorii care reprezintă site-urile web. Mașinile ar putea să le citească și să verifice aceste hashes cu bazele de date de hashes ale site-urilor web sau rețelelor Wi-Fi rău intenționate, fără a fi nevoie ca oamenii să le vizualizeze. (Cheetah spune că hash-urile ar complica verificările sale de securitate, deoarece trebuie să fie atent la modificările subtile ale numelor Wi-Fi, cum ar fi atunci când un zero este înlocuit cu un „o”, sau la site-uri malițioase necunoscute anterior.)

Will Strafach, fondator al aplicației de securitate Guardian iOS și cercetător al problemelor legate de confidențialitatea smartphone-urilor, a declarat că nu există „niciun motiv întemeiat pentru a colecta aceste informații.”

Graham Cluley, un analist de securitate care și-a petrecut o mare parte din carieră lucrând pentru companii antivirus, a declarat că o astfel de colectare de date este „în mod clar o preocupare”. Există modalități prin care o firmă de securitate să verifice dacă există amenințări fără a fi nevoită să colecteze atât de multe informații, care ar putea fi folosite pentru a diminua intimitatea utilizatorilor.”

„Chiar dacă aplicațiile în sine cer permisiuni, aș spera că un produs de securitate ar explica de ce are nevoie de anumite date și ar încerca să justifice furtul de date”, a adăugat Cluley.

Ce potențial de abuz?

Referindu-se la amploarea informațiilor colectate de Cheetah, ar fi posibil să se de-anonimizeze un utilizator prin examinarea obiceiurilor sale de navigare pe web, a punctelor de acces Wi-Fi și a numerelor de identificare ale telefoanelor sale, a spus Cirlig.

„Problema este că ei corelează comportamentul utilizatorului – ce aplicații folosește publicul lor, ce site-uri navighează și așa mai departe – cu date specifice care pot fi foarte ușor legate de o persoană reală din spatele acelui telefon. . . . Așadar, chiar dacă doriți să împiedicați orice fel de urmărire, nu este suficient să vă schimbați telefonul, ci chiar întreaga infrastructură pe care o utilizați.

„Chiar dacă, dintr-un motiv oarecare, se debarasează de toate datele personale de pe partea serverului, baza de instalare înspăimântător de mare le permite în continuare să valorifice datele depersonalizate în stilul Cambridge Analytica.”

White Ops a declarat că a informat Google despre acest comportament în decembrie. În februarie, Cheetah a descoperit că i-au fost suspendate conturile Google Play Store, AdMob și AdManager. Google nu a răspuns la întrebările Forbes dacă avertismentele White Ops au dus la interzicerea Cheetah.

Cheetah, care este listată la Bursa de Valori din New York din mai 2014, face apel la decizia Google și susține că lucrează cu gigantul tehnologic pentru a răspunde preocupărilor sale. Dacă nu găsește o cale de a reveni pe Google Play, interdicția îi va afecta serios veniturile. În primele nouă luni din 2019, aproape un sfert din veniturile Cheetah Mobile au provenit din serviciile găzduite de Google.

.