O Aplicativo Messenger do Facebook Sabe Mais Sobre Nós do que Você Imagina

Não é surpreendente saber que a maioria dos aplicativos para celular contêm algum tipo de software de análise comportamental. Mas parece que o Messenger para iOS do Facebook recolhe mais informações do que seus usuários imaginam.

Jonathan Zdziarski, um pesquisador forense e especialista em segurança do iOS, passou uma manhã de terça-feira analisando a programação do Messenger para iOS, e chegou a declarar no Twitter: "Acho que encontrei mais spywares no Messenger do que em produtos voltados especificamente para vigilância."

Zdziarski disse, por email, que o Messenger está computando todo e qualquer ato executado dentro do app, do conteúdo compartilhado e do local de onde ele é usado à frequência com que o usuário digita com o celular na horizontal ou vertical; até mesmo o tempo que o usuário passa no Messenger e o tempo em que o ícone fica paradinho no fundo do aparelho.

É claro que algumas dessas análises comportamentais são comuns dentro do universo de desenvolvimento de apps. Mas o mais preocupante são as outras ferramentas que Zdziarski descobriu, cujos objetivos são muito mais obscuros.

"O Facebook está utilizando APIs privados que eu nem sabia que estavam disponíveis dentro do sandbox para descobrir o SSID do seu wi-fi (que pode ser usado para identificar as redes de wi-fi às quais você está conectado) e até mesmo observar a lista de processos do seu aparelho, obtendo assim várias informações", escreveu.

No Twitter, Zdziarski disse que já trabalhou para empresas de criação de softwares de vigilância que nem sequer imaginavam que esse nível de acesso fosse possível.

Perguntei para Ashkan Soltani, um pesquisador independente e especialista em segurança, se a relação entre o Facebook e a Apple – no caso, o fato de termos nossas contas do Facebook atrelada ao iOS – poderia dar ao Facebook acesso ilimitado a APIs pessoais e outras informações que outros apps não conseguem alcançar. Soltani me respondeu que acha que minha teoria está correta.

Várias das cadeias de caracteres do app descobertas por Zdziarski estão estampadas com a frase assustadora ["DO_NOT_USE_OR_YOU_WILL_BE_FIRED"]. Chpwn (também conhecido como Grant Paul), um hacker de iPhones que trabalha hoje no Facebook, entrou na discussão via Twitter dizendo que ele tinha nomeado as cadeias, e que "é tudo uma piada interna".

No entanto, não se sabe ao certo qual é a função dessas cadeias, que possuem nomes como "globalProviderMapData" e "isHeadPublisher", e se elas, mesmo sendo nomeadas de brincadeirinha, poderiam ser uma ameaça.

Zdziarski afirmou que "algumas horas de investigação não trarão respostas conclusivas… mas existem muitos indícios de que o Facebook está analisando todas as informações que podem ser monitoradas no seu celular".

Sobre o assunto, o Facebook enviou ao Motherboard o seguinte posicionamento:

Essas acusações são completamente infundadas. A privacidade é o âmago da missão do Messenger, e, como qualquer outro desenvolvedor, analisamos padrões de uso para aperfeiçoar nossos apps, deixando-os mais velozes e mais eficientes. Segue um exemplo de nossa análise de padrão de cliques dentro Messenger – quando percebemos que o emoticon de "joinha" estava sendo muito utilizado, mudamos a posição desse emoticon para que as pessoas o utilizassem com mais rapidez.

Um porta-voz da empresa me encaminhou os esclarecimento de Lucy Zhang, umas das desenvolvedoras do Messenger, que disse para Zdziarski pelo Twitter que "o fato de usarmos ferramentas de análise para entender como o app é utilizado e torná-lo mais veloz e eficiente não é muito surpreendente."

Ela usou um exemplo no qual o sistema de análise informou aos programadores que os usuários estavam utilizando os emoticons de joinha com muita frequência, "então nós mudamos a posição desse emoticon para que as pessoas o utilizassem com mais rapidez."

Apesar do uso de sistemas de análise dentro do mercado de apps não ser nada incomum, muitas vezes os usuários não tem ideia dos tipos de dados coletados por um aplicativo – e muitas vezes eles nem ao menos sabem que esses dados estão sendo coletados.

Mesmo nos casos em que os apps pedem permissão para acessar certas funções – como acontece no Messenger para Android - há uma falta de especificidade nesse pedido, e não sabemos ao certo o que estamos compartilhando. O Facebook recebeu críticas acerca do Messenger para Android em agosto, quando usuários indagaram porque o app pedia permissão para acessar a câmera, o microfone e as mensagens do celular (é claro que eles estavam imaginando motivos terríveis).

Os motivos eram relativamente inofensivos, mas essa preocupação deve servir como um lembrete de que não basta que um app peça permissão para acessar as funções do seu celular – ele precisa explicar o porquê. Talvez essa falta de transparência seja um sintoma de uma ressaca pós-escândalo do NSA, cortesia do Snowden. Mas desenvolvedores de apps como o Facebook e donos de lojas de aplicativos, como a Apple e o Google, têm que explicar o motivo desse acesso, e como ele será usado.

"No final, a questão é se você confia ou não no Facebook, e se acha que ele pode usar esse acesso para te espionar", escreveu Zdziarski. "Eles certamente têm a capacidade técnica para fazer isso."

Tradução: Ananda Pieratti