iPhone: alcune famose app registrano in segreto tutti i movimenti sullo schermo

Alcune delle più rinomate applicazioni di viaggi adottano pratiche che potrebbero mettere in serio pericolo la privacy degli utenti che usano iPhone.

Nuova violazione della privacy, vecchie politiche di scarsa – se non nulla – informazione dei consumatori: è quanto scoperto nelle ultime ore da TechCrunch, noto blog di tecnologia statunitense, che ha deciso di condurre una minuziosa indagine sull’utilizzo e la cessione dei dati degli utenti di alcune importanti applicazioni per iPhone.

Stando a quanto scoperto, sembra che le società proprietarie delle rispettive applicazioni siano in grado di conoscere tutti i movimenti eseguiti sullo schermo di un iPhone, e che non sempre riescano ad oscurare in maniera corretta i dati sensibili durante il trasferimento a terze parti.
Attraverso una tecnologia di ricostruzione chiamata Session Replay, le società di analisi ingaggiate dai grandi brand possono risalire ai movimenti di un utente all’interno delle proprie app.

Questo meccanismo si rivela di fondamentale utilità per risolvere malfunzionamenti, permettendo alle compagnie di individuare un bug ricostruendo il percorso che ha portato al problema. Ma attraverso queste dinamiche di raccolta dei dati, già ampiamente note, è stato riscontrato che è possibile anche mettere le mani su informazioni sensibili degli utenti.

Le applicazioni che registrano i movimenti su iPhone

TechCrunch ha scoperto che grandi nomi come Air Canada, Abercrombie & Fitch, Hollister, Expedia, Hotels.com e Singapore Airlines, hanno delegato il compito di analisi dei comportamenti della clientela alla società Glassbox: una volta chiesto agli esperti informatici di App Analysis di controllare il tipo di trasferimento dei dati, sono state riscontrate alcune gravi anomalie.
In alcuni casi, è addirittura possibile vedere il momento in cui il consumatore inserisce le proprie credenziali, comprese le informazioni sensibili.

Un ormai famoso post di Glassbox pubblicato qualche mese fa su Twitter recita:

Immagini se il tuo sito web o la tua app mobile possano vedere esattamente cosa fanno i tuoi clienti in tempo reale e perché lo hanno fatto?
Questa non è più una domanda ipotetica, ma una possibilità reale. Questo è Glassbox.

Attraverso il replay di sessione, quindi, Glassbox (così come altre società specializzate) riesce a rivedere le azioni compiute dall’utente sullo schermo del proprio iPhone: ogni tocco, pulsante schiacciato, e anche la battitura sulla tastiera virtuale del display.

Il problema, però, è che l’utente non viene in alcun modo informato di tale pratica: Glassbox non obbliga i suoi clienti a menzionare i suoi servizi nelle privacy policy, di conseguenza gli utenti non vengono correttamente informati sul fatto che qualcuno potrebbe osservare il loro comportamento all’interno delle app scaricate, poiché non ne viene neanche richiesta l’autorizzazione.

Inoltre, attraverso la tecnica informatica man-in-the-middle è stato scoperto che non sempre le applicazioni che usano questi metodi di analisi mascherano in maniera adeguata i dati dei propri clienti. Ciò vuol dire che le informazioni dei consumatori restano esposte durante il trasferimento ai server di analisi, senza oscurare informazioni sensibili come numero di passaporto, numero di carte di credito o informazioni personali a qualsiasi malintenzionato.

Per quanto TechCrunch abbia contattato le aziende le cui applicazioni sono risultate coinvolte in questo pericoloso sistema di scambio dati, hanno risposto solo Abercrombie e Air Canada, giustificando l’utilizzo del sistema solo per migliorare le funzionalità e l’esperienza d’uso dell’utente, con precisazione finale della più grande compagnia aerea canadese sul fatto che la società non possiede schermate né può registrarle.