Sicurezza nelle videochat: chi c’è nella tua Houseparty?

Le app di videochat come Houseparty hanno visto un aumento significativo di utenti negli ultimi mesi, perché le persone di tutto il mondo trascorrono più tempo a casa e interagiscono di più online con amici e colleghi. Quando le aziende crescono così in fretta, la protezione degli utenti spesso resta indietro. Le app di comunicazione consolidate e integrate nelle piattaforme, come WhatsApp, iMessage e FaceTime, tendono a essere solide, perché sono usate da miliardi di utenti e per questo sono state molto esaminate e testate.

Le piattaforme video più piccole e più recenti non sono state esaminate allo stesso modo e, ultimamente, la sicurezza di alcune app video è stata messa in discussione. In passato abbiamo scritto a lungo su come le aziende raccolgono legalmente i tuoi dati, come restare al sicuro online e cosa fare se i tuoi account vengono violati. In questo articolo darò una breve occhiata a Houseparty, ai rischi che comporta usarla e a cosa puoi fare, con semplici passaggi, per evitare di condividere ciò che preferiresti tenere privato.

4 rischi che corrono tutti gli utenti: furto di dati, condivisione eccessiva o tracciamento dei dati e sicurezza debole

In generale, gli utenti che usano app video di questo tipo corrono quattro rischi:

1. Contenuti inappropriati e controlli parentali deboli.
2. Furto di dati deliberato -- e illegale -- direttamente da parte dell’azienda che produce l’app.
3. Condivisione o tracciamento deliberato di dati legale ma spesso inatteso.
4. Altre persone che arrivano alle tue informazioni personali per negligenza nella sicurezza dell’app, o per attacchi resi possibili dalla scarsa sicurezza dell’app.

Vediamo quanto è probabile che si verifichi ciascuno di questi rischi.

La homepage di Houseparty presenta l’app come un social network, ma non ha le funzioni di controllo parentale che gli utenti si aspetterebbero ragionevolmente da un social network. Il testo promozionale dell’app sul Play Store di Google la descrive come «truly the next best thing to hanging out in person». È quasi vero: per i bambini che usano Houseparty, l’app è come stare insieme di persona, ma con un adulto inquietante che fa loro domande sul sesso.

Quando ci si iscrive a Houseparty, tutti gli utenti devono indicare la propria data di nascita, e l’app la tiene a portata di mano mentre è in esecuzione: invia regolarmente la data di nascita dell’utente ai prodotti di tracciamento che usa. La funzione più recente di Houseparty -- e il fulcro dei loro piani di monetizzazione -- è una serie di quiz integrati che non tengono alcun conto dell’età dell’utente.

Quando si sceglie un quiz a cui giocare, a tutti gli utenti viene mostrato lo stesso elenco di quiz, con il quiz 18+ «Slang terms» al terzo posto -- anche per gli utenti minorenni. In questo blog evitiamo i contenuti per adulti, quindi non entreremo nei dettagli, ma i quiz includono contenuti del tutto inadatti ai bambini, con argomenti come abbreviazioni di espressioni volgari, cosa succede davvero nei locali di striptease, riferimenti alle droghe dall’eroina alla marijuana e varie descrizioni di sesso e genitali. Ah, e c’è anche del contenuto su Jeffrey Dahmer.

L’app Houseparty è indicata sull’App Store di Apple come adatta a «12+» e pubblicizzata sul Play Store di Google come adatta a «Teen». L’app non ha alcuna funzione di controllo parentale integrata.

Molti genitori sono giustamente preoccupati per ciò a cui i loro figli sono esposti online e nelle app, e diversi siti recensiscono le app e forniscono indicazioni in merito. Nel Regno Unito, l’organizzazione no profit Internet Matters offre questo servizio con il sostegno di BT, Sky e altri. L’organizzazione sta promuovendo intensamente le proprie indicazioni su Houseparty, spiegando che lavora con l’industria, il governo e le scuole per fornirle.

Servizi come questo sono una risorsa importante per i genitori, ma nel caso di Internet Matters sembra che sia stata fatta poca o nessuna verifica. I loro consigli per i genitori sono estremamente limitati, si attengono in gran parte a un avvertimento generico sul pericolo degli sconosciuti nei video e si chiudono con un invito ai genitori a scaricare l’app.

Una lettura sommaria dei termini e delle condizioni di Houseparty porterebbe qualsiasi esperto ragionevole a notare che l’app non è conforme al GDPR, non ha controlli parentali e rivendica diritti su qualsiasi cosa gli utenti condividano nell’app. Questo -- insieme ai contenuti dei quiz 18+ -- è importante da segnalare ai genitori. Internet Matters, pubblicando questi contenuti, sta rendendo un cattivo servizio ai genitori preoccupati di tutto il mondo.

Internet Matters non è l’unico servizio a pubblicare pagine rassicuranti su app che non sono state esaminate in modo adeguato, ma abbiamo scelto di evidenziarlo perché, al 2 aprile, continua a investire nella promozione di contenuti fuorvianti, nonostante almeno un utente abbia segnalato pubblicamente dei dubbi.

Riteniamo che servizi come questo dovrebbero mostrare in modo evidente i passaggi che seguono quando verificano le app e aggiungere un’avvertenza chiara quando la verifica è stata superficiale ed effettuata solo sui materiali di marketing e non sull’esame dei termini o del prodotto stesso. Questi servizi dovrebbero valutare di ritirare i propri contenuti dopo che prodotti e servizi sono stati aggiornati, finché i contenuti non possano rispecchiare adeguatamente lo stato attuale dell’app. (Le indicazioni di Internet Matters sono state aggiornate l’ultima volta il 24 dicembre 2019, ma Houseparty ha introdotto i quiz circa 11 mesi prima, a gennaio 2019.)

Tracciamento, tracciamento ovunque...

E la condivisione legale -- ma inattesa -- di dati personali? Su questo fronte, in Houseparty c’è più di qualcosa da segnalare.

Il rischio di furto illegale di dati è estremamente basso. La società madre di Houseparty ha modelli di business chiari che non lo prevedono, e ha sede in un paese con leggi decenti sulla protezione dei dati. Houseparty è di proprietà di Epic Games. Non ci sono prove che suggeriscano che rubi i dati di un utente, e farsi sorprendere a farlo sarebbe controproducente per l’azienda.

Houseparty non è un prodotto a pagamento e il suo modello di ricavi non è al momento chiaro. È un buon motivo per diffidare di ciò che l’app potrebbe tracciare. Allo stato attuale, tuttavia, non abbiamo visto alcuna prova che Houseparty sia stata hackerata o stia facendo trapelare informazioni.

Gli aneddoti su Twitter non bastano...

Su Twitter ci sono molte segnalazioni di utenti che affermano che, dopo aver usato Houseparty, i loro conti bancari sono stati svuotati, i loro account Spotify violati o le loro e-mail rese accessibili, ma sono tutte segnalazioni aneddotiche e poco affidabili. Molte persone usano password facili da indovinare e vengono hackerate di continuo: Security Magazine ha riportato uno studio dell’Università del Maryland secondo cui gli hacker attaccano ogni 39 secondi, e i dati di Gemalto indicano che vengono rubati 291 record ogni secondo.

Per dimostrare il punto: la sicurezza di Apple è in genere solidissima, ma ogni tanto c’è ancora chi insinua che Apple sia stata hackerata; su Twitter è facilissimo trovare un numero qualsiasi di fanatici che lo sostengono in qualunque momento. Le accuse aneddotiche non provano alcuna colpa.

Nel frattempo, Houseparty sostiene che una terza parte stia orchestrando una campagna diffamatoria contro di loro:

Houseparty ha anche dichiarato:

All Houseparty accounts are safe - the service is secure, has never been compromised, and doesn’t collect passwords for other sites

In una certa misura, però, è un gioco di parole: qualsiasi prodotto ragionevole non raccoglie né memorizza password, ma usa token di autenticazione. Quando gli utenti collegano il proprio account Houseparty a Facebook, Spotify o Snapchat, l’app Houseparty potrà accedere ai token di autenticazione o di condivisione dati di questi account ed eventualmente memorizzarli, e non c’è alcuna indicazione se vengano memorizzati o meno. Memorizzare questo tipo di token non ha nulla di intrinsecamente insolito, ma resta una domanda importante: Houseparty sincronizza i contatti con Facebook solo all’iscrizione, oppure conserva il token di autenticazione di Facebook per poter sincronizzare in futuro i contatti o altri dati dell’account? Il loro tweet non lo esclude.

La sicurezza e l’uso dei dati di Houseparty nel dettaglio

ESET ha esaminato l’app Android di Houseparty e ha affermato che nel complesso sembra a posto. Abbiamo dato un’occhiata simile all’app iOS di Houseparty e a come memorizza i dati, oltre ad alcuni contratti e al linguaggio legale che circonda il servizio. Abbiamo evidenziato alcune scoperte degne di nota dell’app com.herzick.houseparty, come si chiama:

• Houseparty si integra attualmente con Facebook, proprio come faceva Zoom. L’integrazione comporta la condivisione di alcuni dati di utilizzo con Facebook. Serve apparentemente a permettere di invitare i propri amici di Facebook, e il tracciamento è una conseguenza inevitabile se gli utenti scelgono di collegarsi a Facebook.
• Houseparty memorizza e mette in cache sui dispositivi degli utenti gli indirizzi dei feed di ogni tipo di dato di configurazione. Ad esempio, include il percorso di tutte le domande e risposte del gioco a quiz «fun fact» di Houseparty. Sembra che resti sul telefono di ogni utente, insieme a una serie di altri feed.
• L’app Houseparty mette in cache alcune «Facemail» ricevute dagli utenti. Si trovano in Library/Application Support/Prefetch-Facemails e sono memorizzate in formato mp4. (Se hai la curiosità di cercarle di persona, questo documento dovrebbe aiutarti.)
• Viene memorizzata una quantità ragionevole di informazioni di tracciamento sul telefono dell’utente, molto probabilmente per il fingerprinting del dispositivo. Proprio come Netflix, Houseparty memorizza lo user-agent del dispositivo (cioè Mozilla/5.0 (iPhone; CPU iPhone OS 13_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148) ma conserva anche valori come bnc_device_fingerprint_id, che le permettono di identificare nel tempo i dispositivi che usano il servizio Il fingerprinting dei dispositivi è una pratica diffusa contro cui Apple è intervenuta più volte, e Houseparty non sembra usare gli identificatori di tracciamento IDFA / IDFV consigliati e forniti da Apple. Presumibilmente perché ne attenuano l’efficacia!
• Sorprendentemente, i backup dell’app Houseparty includono un database completo di log e tracciamento dell’app. Contiene solo i dati dell’utente stesso, ma è molto prolisso e comprende ogni genere di dato granulare che non dovrebbe trovarsi in un backup.

Sospettiamo che Houseparty non supererebbe un audit di sicurezza di una terza parte senza che almeno alcuni di questi punti vengano segnalati, quindi il fatto che continuino a essere presenti nella versione attuale dell’app ci rende nervosi. Sapere che Houseparty ha svolto un audit di sicurezza di una terza parte sarebbe rassicurante.

Uno sguardo alle clausole in piccolo...

Infine, passando alla informativa sulla privacy e al linguaggio legale di Houseparty, abbiamo visto alcune cose che non ci convincevano. Prima di tutto, non esiste una policy di divulgazione responsabile. Sarebbe un documento che descrive come l’azienda reagisce quando un ricercatore di sicurezza trova un problema. Di solito, policy come questa prevedono una taglia di sicurezza per chi lo scopre, a condizione che comunichi il problema all’azienda in modo responsabile, così che possa essere risolto.

In assenza di una policy così, i ricercatori di sicurezza di solito devono scrivere ai team di assistenza clienti quando trovano dei problemi, ed è notoriamente difficile superare l’assistenza clienti per mettersi in contatto con il team di sicurezza di un’azienda. Se avessimo trovato qualcosa di davvero grave nell’app durante l’analisi, una policy di divulgazione ci avrebbe dato un posto dove segnalare facilmente quanto scoperto. (Per riferimento, ecco la policy di divulgazione di Reincubate.)

Sembra davvero incredibile che Houseparty offra una taglia da 1 milione di dollari (senza termini e condizioni chiari!) per trovare le prove di una campagna diffamatoria sulla sua sicurezza, ma non pubblicizzi alcuna ricompensa per la divulgazione responsabile dei problemi di sicurezza della piattaforma.

Alcuni aspetti dei termini e condizioni di Houseparty sono preoccupanti: non c’è alcuna menzione di Safe Harbor / Privacy Shield o del GDPR, il che indica un atteggiamento superficiale verso la protezione degli utenti e potrebbe metterla in difficoltà legali con le autorità europee per la protezione dei dati. Inoltre, la mancata conformità al GDPR potrebbe significare che anche le aziende che usano questi servizi violano a loro volta la normativa sulla protezione dei dati, esponendosi a contestazioni dei propri clienti. Un indizio che il GDPR non sia stato preso in considerazione è che gli utenti possono solo scegliere di rinunciare al marketing (opt-out): è in violazione del GDPR europeo, che richiede che tali opzioni siano «opt-in» al momento dell’iscrizione. Inoltre non c’è modo di rinunciare ad altre raccolte di dati.

I termini di Houseparty includono quanto segue:

You agree that Life on Air is free to use the content of any communications submitted by you via the Services, including any ideas, inventions, concepts, techniques, or know-how disclosed therein, for any purpose including developing, manufacturing, and/or marketing goods or Services

Non siamo avvocati, ma sembra sollevare questioni di proprietà intellettuale: se parli della tua idea di business o del tuo prodotto, Houseparty sarebbe libera di prendere qualsiasi cosa tu abbia detto per sviluppare un proprio prodotto o vendere le informazioni a una terza parte. Suggerisce inoltre che il servizio possa conservare parte del contenuto dei messaggi: in tal caso, potrebbe violare le leggi europee sul monitoraggio delle comunicazioni.

I loro termini includono anche questa frase, che invita gli utenti a scrivere a Houseparty per rinunciare alle comunicazioni di marketing non richieste:

Individuals who provide us with Personal Information, or whose Personal Information we obtain from Third Parties, may receive periodic emails, newsletters, mailings, push notifications or text messages from us with information on our or our business partners’ products and services or upcoming special offers/events we believe may be of interest. We offer the option to decline these communications at no cost to the Individual by following the instructions in Section 5 below.

Tutti questi problemi di privacy di Houseparty sono in netto contrasto con le app di messaggistica consolidate, come FaceTime, iMessage, WhatsApp, Zoom e Slack. WhatsApp ha un’ottima documentazione e ottime policy sulla privacy. Persino Zoom dichiara che «Zoom does not monitor or use customer content for any reason other than as part of providing our services. Zoom does not sell customer content to anyone or use it for any advertising purposes». Slack chiarisce di usare i Customer Data solo per fornire il servizio e di conservarli secondo i desideri del cliente (ad esempio, alcuni piani business prevedono l’archiviazione).

Cosa fare se sei preoccupato per la tua sicurezza

Se ti preoccupa la tua sicurezza online, o l’uso di Houseparty, ti consigliamo di seguire questi passaggi.

• Disinstallare Houseparty non basta a rimuovere i tuoi dati dal loro servizio. Il servizio potrebbe ancora conservare il tuo numero di telefono, il nome, l’elenco di contatti caricato e i token di autenticazione. I loro termini suggeriscono di scrivere a hello@houseparty.com per rinunciare al marketing e far rimuovere i tuoi dati. Stranamente, l’e-mail data-requests@lifeonair.com viene citata più avanti, ma non per le richieste sui dati!
• È possibile usare Houseparty senza condividere molto altro oltre al tuo numero di telefono. Le integrazioni con Facebook, Snapchat e Spotify sono tutte facoltative, così come il caricamento dell’elenco dei contatti. Ti consigliamo di evitare tutte queste cose e di aggiungere invece gli amici manualmente.
• Quando usi Houseparty, tieni presente che i visitatori possono entrare in una stanza in qualsiasi momento. Gli altri utenti riceveranno la notifica che sei online non appena apri l’app. Attenzione! Per impostazione predefinita le stanze non sono bloccate, il che significa che chiunque tu abbia aggiunto può entrare. Ci sono tweet di ogni tipo di utenti sorpresi dal capo che entrava nella loro Houseparty mentre erano nella vasca da bagno! Puoi cambiare questa impostazione nelle impostazioni di Houseparty.
• Come per qualsiasi servizio online, ti consigliamo di adottare una serie semplice di precauzioni per restare al sicuro in rete. Le riassumiamo alla fine di questo articolo e abbiamo raccolto dei consigli completi sulla sicurezza per gli utenti Apple qui.