Seguridad en el videochat: ¿quién está en tu Houseparty?

Las apps de videochat como Houseparty han visto aumentar de forma notable su número de usuarios en los últimos meses, a medida que personas de todo el mundo pasan más tiempo en casa y se relacionan más con amigos y compañeros por internet. Cuando las empresas crecen tan deprisa, la protección de sus usuarios suele quedarse atrás. Las apps de comunicación consolidadas e integradas en plataformas, como WhatsApp, iMessage y FaceTime, suelen ser robustas, ya que las usan miles de millones de usuarios y, por ello, han sido examinadas y probadas a fondo.

Las plataformas de vídeo más pequeñas y recientes no se han examinado de esta manera y, últimamente, se ha cuestionado la seguridad de algunas apps de vídeo. Ya hemos escrito extensamente sobre cómo las empresas recopilan tus datos de forma legal, cómo mantenerte seguro en internet y los pasos que debes seguir si se vulneran tus cuentas. En esta entrada voy a echar un breve vistazo a Houseparty, los riesgos que conlleva usarla y lo que puedes hacer, con unos pasos sencillos, para evitar compartir cualquier cosa que prefieras mantener en privado.

4 riesgos a los que se enfrentan todos los usuarios: robo de datos, exceso de información compartida o rastreo de datos, y seguridad débil

En general, los usuarios se enfrentan a cuatro riesgos al usar apps de vídeo como esta:

1. Contenido inapropiado y controles parentales débiles.
2. Robo de datos deliberado, e ilegal, directamente por parte de la empresa de la app.
3. Intercambio o rastreo deliberado de datos que es legal, pero a menudo inesperado.
4. Que otras personas accedan a tu información personal por negligencia en la seguridad de la app o por ataques que se producen como consecuencia de una seguridad débil de la app.

Veamos la probabilidad de que se produzca cada uno de ellos.

La página de inicio de Houseparty presenta la app como una red social, pero carece de las funciones de control parental que los usuarios podrían esperar razonablemente de una red social. El texto promocional de la app en Google Play Store la describe como «truly the next best thing to hanging out in person». Es casi cierto: para los niños que usan Houseparty, la app es como quedar en persona, pero con un adulto siniestro que les hace preguntas sobre sexo.

Al registrarse en Houseparty, todos los usuarios deben facilitar su fecha de nacimiento, y la app mantiene esa información a mano mientras se ejecuta: envía con regularidad la fecha de nacimiento del usuario a los productos de rastreo que utiliza la app. La función más reciente de Houseparty, y el eje de sus planes de monetización, es una serie de cuestionarios integrados que no tienen en cuenta la edad del usuario.

Al elegir un cuestionario para jugar, a todos los usuarios se les muestra la misma lista de cuestionarios, y el de «Slang terms», para mayores de 18 años, es el tercero de la lista, incluso para los usuarios menores de edad. En este blog evitamos el contenido para adultos, así que no entraremos en detalles, pero los cuestionarios incluyen una gama de contenido profundamente inadecuado para niños, con temas como abreviaturas de expresiones malsonantes, lo que ocurre realmente en los clubes de striptease, referencias a drogas, de la heroína a la marihuana, y diversas descripciones del sexo y de los genitales. Ah, y también hay contenido sobre Jeffrey Dahmer.

La app Houseparty figura en la App Store de Apple como apta para «12+» y se anuncia en Google Play Store como apta para «Teen». La app no tiene ninguna función integrada de control parental.

Muchos padres y madres se preocupan, con razón, por aquello a lo que están expuestos sus hijos en internet y en las apps, y varios sitios analizan apps y ofrecen orientación al respecto. En el Reino Unido, la organización sin ánimo de lucro Internet Matters ofrece un servicio así, con el respaldo de BT, Sky y otros. Actualmente, la organización promociona intensamente su guía sobre Houseparty, y explica que trabaja con la industria, el Gobierno y los colegios para ofrecer esta guía.

Servicios como este son un recurso importante para los padres, pero, en el caso de Internet Matters, parece que se ha hecho poca o ninguna comprobación previa. Su consejo a los padres es extremadamente limitado: se ciñe sobre todo a una advertencia genérica sobre el peligro de los desconocidos en los vídeos y termina con una llamada a que los padres descarguen la app.

Una lectura superficial de los términos y condiciones de Houseparty haría que cualquier experto razonable advirtiera que la app no cumple el RGPD, carece de controles parentales y se arroga derechos para usar cualquier cosa que los usuarios compartan en la app. Esto, junto con el contenido de los cuestionarios para mayores de 18 años, es importante señalarlo a los padres. Internet Matters está perjudicando activamente a los padres preocupados de todo el mundo al ofrecer este contenido.

Internet Matters no es el único servicio que publica páginas tranquilizadoras sobre apps que no se han examinado adecuadamente, pero hemos decidido destacarlo porque, a 2 de abril, sigue invirtiendo en promocionar contenido engañoso, a pesar de que al menos un usuario ha manifestado públicamente su preocupación.

Creemos que servicios como este deberían mostrar de forma destacada los pasos que siguen al evaluar las apps y añadir un aviso claro cuando la evaluación haya sido superficial y se haya basado únicamente en materiales de marketing, y no en la revisión de los términos o del propio producto. Estos servicios deberían plantearse retirar su contenido cuando los productos y servicios se hayan actualizado, hasta que el contenido pueda reflejar adecuadamente el estado actual de la app. (La guía de Internet Matters se actualizó por última vez el 24 de diciembre de 2019, pero Houseparty introdujo los cuestionarios unos 11 meses antes, en enero de 2019).

Rastreo, rastreo por todas partes...

¿Y qué hay del intercambio legal, pero inesperado, de datos personales? Houseparty tiene varias cosas que comentar aquí.

El riesgo de robo ilegal de datos es extremadamente bajo. La empresa matriz de Houseparty tiene modelos de negocio claros que no lo implican, y su sede está en un país con leyes decentes de protección de datos. Houseparty pertenece a Epic Games. No hay pruebas que sugieran que robaría los datos de un usuario, y que la pillaran haciéndolo sería contraproducente para ella.

Houseparty no es un producto de pago, y su modelo de ingresos no está claro por ahora. Eso es un buen motivo para ser cautos con lo que la app pueda estar rastreando. Tal como están las cosas, sin embargo, no hemos visto ninguna prueba de que Houseparty haya sufrido un ataque o esté filtrando información.

Las anécdotas en Twitter no bastan...

En Twitter hay muchos mensajes de usuarios que afirman que les vaciaron las cuentas bancarias, que accedieron a sus cuentas de Spotify o que sus correos quedaron expuestos tras usar Houseparty, pero todos esos mensajes son anecdóticos y poco fiables. Mucha gente usa contraseñas fáciles de adivinar y sufre ataques constantemente: Security Magazine se hizo eco de un estudio de la Universidad de Maryland según el cual los hackers atacan cada 39 segundos, y los datos de Gemalto indican que se roban 291 registros por segundo.

Para ilustrar el argumento: la seguridad de Apple suele ser sólida como una roca, pero de vez en cuando vuelve a sugerirse que Apple ha sufrido un ataque; es bastante fácil encontrar en Twitter a cualquier número de chiflados que lo afirman en cualquier momento. Las acusaciones anecdóticas no demuestran ninguna irregularidad.

Mientras tanto, Houseparty afirma que un tercero está orquestando una campaña de difamación contra ella:

Houseparty también ha dicho:

All Houseparty accounts are safe - the service is secure, has never been compromised, and doesn’t collect passwords for other sites

Hasta cierto punto, sin embargo, eso es un juego de palabras: cualquier producto razonable no recopila ni almacena contraseñas, sino que utiliza tokens de autenticación. Cuando los usuarios conectan sus cuentas de Houseparty con Facebook, Spotify o Snapchat, la app Houseparty podrá acceder a los tokens de autenticación o de intercambio de datos de esas cuentas y, potencialmente, almacenarlos, y no hay indicación de si se almacenan o no. No hay nada intrínsecamente inusual en almacenar este tipo de tokens, pero sigue habiendo una pregunta importante: ¿sincroniza Houseparty los contactos con Facebook solo al registrarse, o almacena el token de autenticación de Facebook para poder sincronizar contactos u otros datos de la cuenta en el futuro? Su tuit no lo descarta.

La seguridad y el uso de datos de Houseparty, con más detalle

ESET examinó la app de Houseparty para Android y concluyó que, en términos generales, parece estar bien. Hemos hecho una revisión similar de la app de Houseparty para iOS y de cómo almacena los datos, así como de algunos de los contratos y textos legales en torno al servicio. Hemos destacado algunos hallazgos notables de la app com.herzick.houseparty, como se llama:

• Houseparty se integra actualmente con Facebook, igual que hacía Zoom. La integración implica compartir con Facebook algunos datos de uso. Está ahí, en teoría, para poder invitar a los amigos de Facebook, y el rastreo es una consecuencia inevitable si los usuarios deciden conectarse con Facebook.
• Houseparty almacena y guarda en caché en los dispositivos de los usuarios direcciones de feeds para todo tipo de datos de configuración. Por ejemplo, incluye la ruta de todas las preguntas y respuestas del juego de trivial de «datos curiosos» de Houseparty. Parece que se queda en el teléfono de cada usuario, junto con un montón de otros feeds.
• La app Houseparty guarda en caché algunos «Facemails» que reciben los usuarios. Se pueden encontrar en Library/Application Support/Prefetch-Facemails y se almacenan en formato mp4. (Si tienes curiosidad por comprobarlo tú mismo, este documento debería ayudarte).
• Se almacena una cantidad razonable de información de rastreo sobre el teléfono del usuario, con toda probabilidad para la creación de huellas digitales del dispositivo (device fingerprinting). Igual que Netflix, Houseparty almacena el user-agent de un dispositivo (es decir, Mozilla/5.0 (iPhone; CPU iPhone OS 13_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148), pero también conserva valores como bnc_device_fingerprint_id, que les ayudan a identificar con el tiempo los dispositivos que usan el servicio La creación de huellas digitales de dispositivos es una práctica generalizada contra la que Apple ha tomado medidas repetidamente, y Houseparty no parece usar los identificadores de rastreo IDFA / IDFV recomendados que ofrece Apple. ¡Presumiblemente porque reducen la eficacia del rastreo!
• Sorprendentemente, las copias de seguridad de la app Houseparty incluyen una base de datos completa de registro y rastreo de la app. Solo incluye los datos del propio usuario, pero es muy detallada e incluye todo tipo de datos granulares que no deberían estar en una copia de seguridad.

Sospechamos que Houseparty no superaría una auditoría de seguridad de un tercero sin que se señalara al menos alguno de estos puntos, por lo que el hecho de que sigan presentes en la versión actual de la app nos inquieta. Sería tranquilizador contar con la confirmación de que Houseparty ha realizado una auditoría de seguridad de un tercero.

Examinando la letra pequeña...

Por último, al revisar la política de privacidad y los textos legales de Houseparty, vimos algunas cosas que no nos convencieron. En primer lugar, no existe una política de divulgación responsable. Sería un documento que describe cómo reacciona la empresa cuando un investigador de seguridad encuentra un problema. Normalmente, las políticas de este tipo incluyen una recompensa de seguridad para quien lo encuentra, siempre que comunique el problema a la empresa de forma responsable para que pueda solucionarse.

Sin una política así, los investigadores de seguridad suelen tener que escribir por correo electrónico a los equipos de atención al cliente cuando encuentran problemas, y es notoriamente difícil que el servicio de atención al cliente te ponga en contacto con el equipo de seguridad de una empresa. Si hubiéramos encontrado algo realmente grave en la app mientras la examinábamos, una política de divulgación nos habría dado un lugar donde comunicar fácilmente lo que habíamos encontrado. (A modo de referencia, esta es la política de divulgación de Reincubate).

Parece realmente asombroso que Houseparty ofrezca una recompensa de 1 millón de dólares (¡sin términos ni condiciones claros!) por encontrar pruebas de una campaña de difamación sobre su seguridad, pero no anuncie ninguna recompensa por la divulgación responsable de problemas de seguridad en la plataforma.

Algunos aspectos de los términos y condiciones de Houseparty son preocupantes: no se menciona en absoluto Safe Harbor / Privacy Shield ni el RGPD, lo que indica una actitud despreocupada hacia la protección de los usuarios y podría ponerles potencialmente en dificultades legales ante los reguladores europeos de protección de datos. Además, la falta de cumplimiento del RGPD también podría significar que las empresas que usan estos servicios infringen ellas mismas la legislación de protección de datos, lo que podría exponerlas a reclamaciones de sus propios clientes. Un indicio de que no se ha tenido en cuenta el RGPD es que los usuarios solo pueden optar por darse de baja del marketing, lo cual infringe la legislación europea del RGPD, que exige que estas opciones sean de «aceptación expresa» (opt-in) en el momento del registro. Tampoco hay forma de darse de baja de otras recopilaciones de datos.

Los términos de Houseparty incluyen lo siguiente:

You agree that Life on Air is free to use the content of any communications submitted by you via the Services, including any ideas, inventions, concepts, techniques, or know-how disclosed therein, for any purpose including developing, manufacturing, and/or marketing goods or Services

No somos abogados, pero esto parece plantear problemas de propiedad intelectual: si hablas de tu idea de negocio o de tu producto, Houseparty tendría libertad para apropiarse de cualquier cosa que hayas comentado para desarrollar su propio producto o vender la información a un tercero. También sugiere que el servicio podría conservar parte del contenido de los mensajes: si es así, podría infringir las leyes europeas sobre la supervisión de las comunicaciones.

Sus términos incluyen también esta frase, que pide a los usuarios que escriban por correo electrónico a Houseparty para darse de baja de las comunicaciones comerciales no solicitadas:

Individuals who provide us with Personal Information, or whose Personal Information we obtain from Third Parties, may receive periodic emails, newsletters, mailings, push notifications or text messages from us with information on our or our business partners’ products and services or upcoming special offers/events we believe may be of interest. We offer the option to decline these communications at no cost to the Individual by following the instructions in Section 5 below.

Todos estos problemas de privacidad de Houseparty contrastan marcadamente con las apps de mensajería consolidadas, como FaceTime, iMessage, WhatsApp, Zoom y Slack. WhatsApp cuenta con un excelente conjunto de documentación y políticas sobre privacidad. Incluso Zoom afirma que «Zoom does not monitor or use customer content for any reason other than as part of providing our services. Zoom does not sell customer content to anyone or use it for any advertising purposes». Slack deja claro que solo utiliza los datos del cliente para prestar el servicio y que los conserva conforme a los deseos del cliente (por ejemplo, algunos planes empresariales ofrecen archivado).

Qué hacer si te preocupa tu seguridad

Si te preocupa mantenerte seguro en internet, o usar Houseparty, te recomendamos seguir estos pasos.

• Desinstalar Houseparty no basta para eliminar tus datos de su servicio. Su servicio aún puede almacenar tu número de teléfono, tu nombre, la lista de contactos que hayas subido y los tokens de autenticación. Sus términos sugieren escribir a hello@houseparty.com para darte de baja del marketing y pedir que eliminen tus datos. Curiosamente, más adelante se cita el correo data-requests@lifeonair.com, ¡pero no para solicitudes de datos!
• Es posible usar Houseparty sin compartir mucho más que tu número de teléfono. Las integraciones con Facebook, Snapchat y Spotify son opcionales, igual que subir tu lista de contactos. Te recomendamos que evites hacer cualquiera de esas cosas y que añadas a tus amigos manualmente.
• Al usar Houseparty, los usuarios deben ser conscientes de que los visitantes pueden entrar en una sala en cualquier momento. Los demás usuarios recibirán un aviso de que estás conectado en cuanto abras la app. ¡Cuidado! De forma predeterminada, las salas no están bloqueadas, lo que significa que cualquier persona a la que hayas añadido podría entrar. Hay todo tipo de tuits de usuarios sorprendidos porque su jefe entró en su Houseparty mientras estaban en la bañera. Puedes cambiar esto en los ajustes de Houseparty.
• Como con cualquier servicio en línea, te recomendamos tomar un sencillo conjunto de precauciones para mantenerte seguro en internet. Las resumimos al final de este artículo y exponemos aquí unos completos consejos de seguridad para usuarios de Apple.