Nuova grande violazione di privacy? TechCrunch ha indagato su alcuni meccanismi davvero pericolosi per i dati degli utenti di alcune app per iPhone.
Alcune delle più rinomate applicazioni di viaggi adottano pratiche che potrebbero mettere in serio pericolo la privacy degli utenti che usano iPhone.
Nuova violazione della privacy, vecchie politiche di scarsa – se non nulla – informazione dei consumatori: è quanto scoperto nelle ultime ore da TechCrunch, noto blog di tecnologia statunitense, che ha deciso di condurre una minuziosa indagine sull’utilizzo e la cessione dei dati degli utenti di alcune importanti applicazioni per iPhone.
Stando a quanto scoperto, sembra che le società proprietarie delle rispettive applicazioni siano in grado di conoscere tutti i movimenti eseguiti sullo schermo di un iPhone, e che non sempre riescano ad oscurare in maniera corretta i dati sensibili durante il trasferimento a terze parti.
Attraverso una tecnologia di ricostruzione chiamata Session Replay, le società di analisi ingaggiate dai grandi brand possono risalire ai movimenti di un utente all’interno delle proprie app.
Questo meccanismo si rivela di fondamentale utilità per risolvere malfunzionamenti, permettendo alle compagnie di individuare un bug ricostruendo il percorso che ha portato al problema. Ma attraverso queste dinamiche di raccolta dei dati, già ampiamente note, è stato riscontrato che è possibile anche mettere le mani su informazioni sensibili degli utenti.
Le applicazioni che registrano i movimenti su iPhone
TechCrunch ha scoperto che grandi nomi come Air Canada, Abercrombie & Fitch, Hollister, Expedia, Hotels.com e Singapore Airlines, hanno delegato il compito di analisi dei comportamenti della clientela alla società Glassbox: una volta chiesto agli esperti informatici di App Analysis di controllare il tipo di trasferimento dei dati, sono state riscontrate alcune gravi anomalie.
In alcuni casi, è addirittura possibile vedere il momento in cui il consumatore inserisce le proprie credenziali, comprese le informazioni sensibili.
Un ormai famoso post di Glassbox pubblicato qualche mese fa su Twitter recita:
Immagini se il tuo sito web o la tua app mobile possano vedere esattamente cosa fanno i tuoi clienti in tempo reale e perché lo hanno fatto?
Questa non è più una domanda ipotetica, ma una possibilità reale. Questo è Glassbox.
Imagine if your website or mobile app could see exactly what your customers do in real time, and why they did it? This is no longer a hypothetical question, but a real possibility. This is Glassbox. Experience it for yourself: https://t.co/E3uXcr0Gjf pic.twitter.com/9cJ40xbSaI
— Glassbox (@GlassboxDigital) 16 ottobre 2018
Attraverso il replay di sessione, quindi, Glassbox (così come altre società specializzate) riesce a rivedere le azioni compiute dall’utente sullo schermo del proprio iPhone: ogni tocco, pulsante schiacciato, e anche la battitura sulla tastiera virtuale del display.
Il problema, però, è che l’utente non viene in alcun modo informato di tale pratica: Glassbox non obbliga i suoi clienti a menzionare i suoi servizi nelle privacy policy, di conseguenza gli utenti non vengono correttamente informati sul fatto che qualcuno potrebbe osservare il loro comportamento all’interno delle app scaricate, poiché non ne viene neanche richiesta l’autorizzazione.
Inoltre, attraverso la tecnica informatica man-in-the-middle è stato scoperto che non sempre le applicazioni che usano questi metodi di analisi mascherano in maniera adeguata i dati dei propri clienti. Ciò vuol dire che le informazioni dei consumatori restano esposte durante il trasferimento ai server di analisi, senza oscurare informazioni sensibili come numero di passaporto, numero di carte di credito o informazioni personali a qualsiasi malintenzionato.
Per quanto TechCrunch abbia contattato le aziende le cui applicazioni sono risultate coinvolte in questo pericoloso sistema di scambio dati, hanno risposto solo Abercrombie e Air Canada, giustificando l’utilizzo del sistema solo per migliorare le funzionalità e l’esperienza d’uso dell’utente, con precisazione finale della più grande compagnia aerea canadese sul fatto che la società non possiede schermate né può registrarle.
Maria Grazia Tecchia
Giornalista, blogger e content editor. Ha realizzato il sogno di coniugare le sue due più grandi passioni: la scrittura e la tecnologia. Esperta di comunicazione online, da anni realizza articoli per il web occupandosi della tecnologia a più livelli.
