Funcionários do Snapchat abusaram do acesso a dados para espionar usuários

Vários departamentos dentro do gigante das redes sociais Snap têm ferramentas dedicadas a acessar dados de usuários, e vários empregados já abusaram de seu acesso privilegiado para espionar usuários do Snapchat, a Motherboard descobriu.

Dois ex-funcionários disseram que vários empregados do Snap abusaram de seu acesso aos dados de usuários do Snapchat anos atrás. Essas fontes, além de outros dois ex-funcionários, um funcionário atual e um cache de e-mails internos da empresa obtidos pela Motherboard, descreveram ferramentas internas que permitiam que empregados do Snap na época acessassem dados dos usuários, em alguns casos incluindo informações de localização, seus Snaps salvos e informações pessoais como número de telefone e endereço de e-mail. Snaps são fotos e vídeos que, se não são salvos, tipicamente desaparecem depois de serem recebidos (ou após 24 horas se postados no Story do usuário).

A Motherboard garantiu anonimato às fontes desta matéria para falar sinceramente sobre os processos internos do Snap.

Apesar de o Snap ter introduzido controles restritos de acesso a dados de usuários e levado a sérios casos de abuso de privacidade, segundo várias fontes, as notícias destacam algo que muitos usuários podem esquecer: por trás dos produtos que usamos todo dia, há pessoas com acesso a dados altamente sensíveis dos clientes, que precisam disso para realizar trabalhos essenciais para o serviço. Mas, sem proteções apropriadas, essas mesmas pessoas podem abusar de seu acesso para espionar informações ou perfis privados.

Um das ferramentas internas que pode ser usada para acessar dados dos usuários se chama SnapLion, segundo várias fontes e e-mails. A ferramenta era usada originalmente para reunir informação de usuários em resposta a pedidos válidos das autoridades, como uma ordem judicial ou intimação, disseram dois ex-funcionários. As duas fontes disseram que o SnapLion é um jogo com a sigla comum para oficiais da lei LEO, com um deles acrescentando que é uma referência ao personagem de desenho animado Leo, o Leão. A equipe de “Spam e Abuso” do Snap tem acesso a isso, segundo um dos ex-empregados, e um empregado atual sugeriu que a ferramenta é usada para combater bullying ou assédio na plataforma por outros usuários. Um e-mail interno obtido pela Motherboard diz que um departamento chamado “Customer Ops” tem acesso ao SnapLion. A equipe de segurança também têm acesso, segundo um empregado. A existência dessa ferramente não tinha sido reportada antes.

O SnapLion fornece “as chaves do reino”, disse um dos ex-funcionários que descreveu o abuso ao acesso dos dados de usuários.

Muitos dos 186 milhões de usuários do Snapchat usam o aplicativo em parte pela efemeridade dos vídeos e fotos que enviam uns aos outros. Mas os usuários podem não estar cientes do tipo de dado que o Snapchat pode armazenar. Em 2014, a Federal Trade Commission dos EUA multou o Snapchat por não revelar que a empresa coletava, armazenava e transmitia dados de geolocalização.

O guia do Snap para aplicação da lei disponível publicamente para requisição de informação sobre usuários elabora sobre o tipo de dados disponíveis, incluindo o número de telefone linkado a uma conta; dados de localização do usuário (como quando o usuário liga essa configuração em seu celular e permite serviços de localização no Snapchat); os metadados de suas mensagens, que podem mostrar com quem eles falaram e quando; e em alguns casos conteúdo limitado do Snap, como as “Memórias” do usuário, que são versões salvas dos Snaps efêmeros, além de outras fotos e vídeos que o usuário salva.

Um e-mail interno obtido pela Motherboard mostra um empregado do Snap usando o SnapLion legitimamente para procurar um endereço de e-mail ligado a uma conta, num contexto que não envolvia as autoridades, e um segundo e-mail mostrava como a ferramenta pode ser usada em investigações contra abuso infantil.

Ferramentas como o Snap Lion são um padrão da indústria no mundo da tecnologia, já que as empresas precisam acessar dados de usuários por vários propósitos legítimos. Enquanto o Snap diz que tem várias ferramentas que usa para ajudar com denúncias de clientes, obedecer a lei, e aplicar os termos e políticas de serviço da rede, empregados já usaram acesso aos dados por razões escusas para espionar usuários, segundo dois ex-funcionários.

Um dos ex-empregados disse que o abuso de acesso a dados ocorreu “algumas vezes” no Snap. Essa fonte e outro ex-funcionário especificaram que o abuso foi cometido por vários indivíduos. Um e-mail do Snapchat obtido pela Motherboard também mostrou empregados discutindo amplamente a questão de ameaças e acesso a dados internos, e como eles precisavam ser combatidos.

A Motherboard não conseguiu verificar como exatamente o abuso de dados ocorreu, ou que sistema ou processo específico os funcionários usaram para acessar dados de usuários do Snapchat.

Um porta-voz do Snap escreveu numa declaração por e-mail: “Proteger a privacidade é fundamental no Snap. Mantemos poucos dados dos usuários, e temos políticas e controles robustos para limitar acesso interno aos dados que temos. Acesso não-autorizado de qualquer tipo é uma violação clara da conduta de negócios da empresa, e, se observado, resulta em demissão imediata”.

Quando perguntei se abuso já tinha acontecido, um ex-funcionário de segurança de informação disse: “Não posso comentar, mas sempre tivemos bons sistemas, provavelmente antes de qualquer outra startup”. O ex-funcionário de segurança não negou que empregados abusaram de seu acesso a dados, e parou de responder mensagens perguntando se houve realmente abuso.

Um dos ex-funcionários acreditava que alguns anos atrás o SnapLion não tinha um nível satisfatório de logging para rastrear que dados os empregados acessavam. Logging, falando no geral, é quando a empresa rastreia quem usa um sistema e que dados a pessoa acessa para garantir que eles sejam usados apropriadamente. A empresa então implementou mais monitoramento, acrescentou o ex-funcionário. O Snap disse que atualmente monitora o acesso a dados de usuários.

“O logging não é perfeito”, disse um segundo ex-funcionário que descreveu abuso de acesso a dados.

O Snap disse que limita acesso interno a ferramentas para apenas aqueles que fazem requisições, mas o SnapLion não é mais uma ferramenta com a pura intenção de ajudar as autoridades. Agora ele é usado mais amplamente na empresa. Um ex-funcionário que trabalhou com o SnapLion disse que a ferramenta é usada para resetar senhas de contas hackeadas e “outras administrações de usuários”.

Um empregado atual enfatizou os avanços da empresa para proteger a privacidade dos usuários, e dois ex-funcionários insistiram sobre os controles que o Snap já tem para proteger a privacidade. O Snap introduziu criptografia de ponta a ponta em janeiro deste ano.

Pessoal interno se aproveitando de seu acesso a dados para propósitos escusos acontece na indústria de tecnologia. Ano passado, a Motherboard relatou que o Facebook tinha demitido vários empregados por usar seu acesso privilegiado a dados de usuários para falar com ex-parceiros. O Uber apresentou em eventos seu modo "God View", que mostra localização em tempo real de usuários e motoristas, e empregados do Uber usaram sistemas internos para espionar ex-parceiros, políticos e celebridades.

“Para usuários normais, eles precisam entender que qualquer coisa que façam que não seja criptografada está, em algum ponto, disponível para humanos”, disse Alex Stamos, ex-chefe de segurança de informação do Facebook e atualmente professor adjunto de Stanford, por telefone, falando sobre a ameaça de pessoal interno malicioso em grandes companhias de tecnologia no geral.

“Não é uma raridade”, acrescentou Stamos, se referindo ao abuso interno de dados.

Leonie Tanczer, professora de Segurança Internacional e Tecnologias Emergentes da University College London, disse num bate-papo online que esse episódio “realmente destaca a ideia de que as pessoas não podem perceber empresas como entidades monolíticas, mas sim como um conjunto de indivíduos com falhas e vieses próprios. Portanto, é importante que esse acesso a dados seja severamente controlado internamente e que haja supervisão, verificações e balanços apropriados”.

Lorenzo Franceschi-Bicchierai também colaborou com esta reportagem.

Matéria originalmente publicada na VICE EUA.

Siga a VICE Brasil no Facebook, Twitter, Instagram e YouTube.