Segurança em videochamadas: quem está na sua Houseparty?

Apps de videochamada como o Houseparty tiveram um aumento significativo de usuários nos últimos meses, à medida que pessoas do mundo todo passam mais tempo em casa e interagem mais com amigos e colegas on-line. Quando as empresas crescem tão rápido, a proteção do usuário muitas vezes fica para trás. Apps de comunicação consolidados e integrados às plataformas, como WhatsApp, iMessage e FaceTime, tendem a ser robustos, pois são usados por bilhões de pessoas e, por isso, passaram por muita análise e muitos testes.

Plataformas de vídeo menores e mais novas não foram examinadas dessa forma e, ultimamente, a segurança de alguns apps de vídeo foi questionada. Já escrevemos extensamente sobre como as empresas coletam legalmente os seus dados, como se manter seguro on-line e o que fazer se as suas contas forem violadas. Nesta publicação, vou dar uma breve olhada no Houseparty, nos riscos de usá-lo e no que você pode fazer, em passos simples, para evitar compartilhar o que prefere manter em privado.

4 riscos que todos os usuários enfrentam: roubo de dados, compartilhamento excessivo ou rastreamento de dados e segurança fraca

De modo geral, há quatro riscos que os usuários enfrentam ao usar apps de vídeo como esses:

1. Conteúdo inadequado e controles parentais fracos.
2. Roubo de dados deliberado e ilegal diretamente pela empresa do app.
3. Compartilhamento ou rastreamento deliberado de dados que é legal, mas muitas vezes inesperado.
4. Outras pessoas chegando às suas informações pessoais por negligência na segurança do app ou por ataques realizados em consequência de uma segurança fraca.

Vamos ver qual é a probabilidade de cada um desses riscos.

A página inicial do Houseparty apresenta o app como uma rede social, mas ele não tem as funções de controle parental que os usuários poderiam esperar razoavelmente de uma rede social. O texto promocional do app na Google Play descreve-o como “truly the next best thing to hanging out in person”. Isso é quase verdade: para as crianças que usam o Houseparty, o app é como estar junto pessoalmente, mas com uma pessoa mais velha e assustadora fazendo perguntas sobre sexo.

Ao se cadastrar no Houseparty, todos os usuários precisam informar a data de nascimento, e o app mantém essa informação à mão enquanto está em execução: ele envia regularmente a data de nascimento do usuário aos produtos de rastreamento que usa. O recurso mais novo do Houseparty, e o cerne dos seus planos de monetização, é uma série de quizzes integrados que não levam em conta a idade do usuário.

Ao escolher um quiz para jogar, todos os usuários veem a mesma lista de quizzes, e o quiz 18+ “Slang terms” é o terceiro da lista, mesmo para usuários menores de idade. Evitamos conteúdo adulto neste blog, então não entraremos em detalhes, mas os quizzes incluem uma série de conteúdos profundamente inadequados para crianças, com temas como abreviações de expressões obscenas, o que realmente acontece em casas de strip-tease, referências a drogas, da heroína à maconha, e várias descrições de sexo e de órgãos genitais. Ah, e também há algum conteúdo sobre Jeffrey Dahmer.

O app Houseparty está classificado na App Store da Apple como adequado para “12+” e anunciado na Google Play como adequado para “Teen”. O app não tem nenhuma funcionalidade de controle parental integrada.

Muitos pais se preocupam, com razão, com o que os filhos veem on-line e em apps, e vários sites avaliam apps e oferecem essas orientações. No Reino Unido, a organização sem fins lucrativos Internet Matters oferece esse serviço com o apoio da BT, da Sky e de outras empresas. No momento, a organização promove intensamente as suas orientações sobre o Houseparty, explicando que trabalha com o setor, o governo e as escolas para oferecer essas orientações.

Serviços assim são um recurso importante para os pais, mas, no caso da Internet Matters, parece que pouca ou nenhuma diligência prévia foi feita. Os conselhos dela para os pais são extremamente limitados, atendo-se em grande parte a um alerta genérico sobre o perigo de estranhos em vídeos e terminando com um apelo para que os pais baixem o app.

Uma leitura rápida dos termos e condições do Houseparty levaria qualquer especialista razoável a perceber que o app não está em conformidade com o GDPR, não tem controles parentais e reivindica direitos de uso sobre tudo o que os usuários compartilham no app. Isso, junto com o conteúdo de quiz 18+, é importante para alertar os pais. A Internet Matters está prestando, ativamente, um desserviço a pais preocupados do mundo todo ao oferecer esse conteúdo.

A Internet Matters não é o único serviço a publicar páginas tranquilizadoras sobre apps que não foram examinados adequadamente, mas escolhemos destacá-la porque, em 2 de abril, ela ainda estava investindo na promoção de conteúdo enganoso, apesar de pelo menos um usuário ter relatado publicamente preocupações.

Acreditamos que serviços como esse devem exibir de forma visível as etapas que seguem ao avaliar apps e acrescentar um aviso claro quando a avaliação tiver sido superficial e feita apenas a partir de materiais de marketing, sem análise dos termos ou do próprio produto. Esses serviços devem considerar retirar o conteúdo depois que produtos e serviços forem atualizados, até que o conteúdo possa refletir adequadamente o estado atual do app. (As orientações da Internet Matters foram atualizadas pela última vez em 24 de dezembro de 2019, mas o Houseparty introduziu os quizzes 11 meses antes, em janeiro de 2019.)

Rastreamento, rastreamento por toda parte...

E o compartilhamento de dados pessoais legal, porém inesperado? O Houseparty tem algumas coisas acontecendo nesse ponto.

O risco de roubo ilegal de dados é extremamente baixo. A empresa controladora do Houseparty tem modelos de negócio claros que não envolvem isso e está sediada em um país com leis de proteção de dados razoáveis. O Houseparty pertence à Epic Games. Não há evidências que sugiram que ela roubaria os dados de um usuário, e ser pega fazendo isso seria contraproducente para ela.

O Houseparty não é um produto pago, e o seu modelo de receita não está claro no momento. Esse é um bom motivo para desconfiar do que o app pode estar rastreando. Porém, até agora, não vimos nenhuma evidência de que o Houseparty tenha sido hackeado ou esteja vazando informações.

Relatos no Twitter não bastam...

Há muitos relatos no Twitter de usuários afirmando que as suas contas bancárias foram esvaziadas, as suas contas do Spotify acessadas ou os seus e-mails expostos depois de usar o Houseparty, mas todos esses relatos são anedóticos e pouco confiáveis. Muita gente usa senhas fáceis de adivinhar e é hackeada o tempo todo: a Security Magazine noticiou um estudo da Universidade de Maryland segundo o qual hackers atacam a cada 39 segundos, e os dados da Gemalto sugerem que 291 registros são roubados a cada segundo.

Para ilustrar: a segurança da Apple em geral é sólida como uma rocha, mas de vez em quando ainda surge a sugestão de que a Apple foi hackeada; é fácil encontrar no Twitter qualquer quantidade de malucos alegando isso a qualquer momento. Acusações baseadas em relatos pessoais não provam irregularidades.

Nesse meio-tempo, o Houseparty afirma que um terceiro está orquestrando uma campanha de difamação contra ele:

O Houseparty também disse:

All Houseparty accounts are safe - the service is secure, has never been compromised, and doesn’t collect passwords for other sites

Até certo ponto, porém, isso é um jogo de palavras: qualquer produto razoável não coleta nem armazena senhas, e sim usa tokens de autenticação. Quando os usuários conectam as suas contas do Houseparty ao Facebook, ao Spotify ou ao Snapchat, o app Houseparty consegue acessar e, potencialmente, armazenar tokens de autenticação ou de compartilhamento de dados dessas contas, e não há indicação de que sejam armazenados ou não. Não há nada de intrinsecamente incomum em armazenar esse tipo de token, mas ainda resta uma pergunta importante: o Houseparty sincroniza os contatos com o Facebook apenas no cadastro ou armazena o token de autenticação do Facebook para poder sincronizar contatos ou outros dados da conta no futuro? O tuíte deles não descarta isso.

A segurança e o uso de dados do Houseparty em mais detalhes

A ESET analisou o app Houseparty para Android e sugeriu que ele parece em geral OK. Fizemos uma análise semelhante do app Houseparty para iOS e de como ele armazena dados, além de alguns dos contratos e do juridiquês em torno do serviço. Destacamos algumas descobertas notáveis do app com.herzick.houseparty, como ele é chamado:

• O Houseparty atualmente se integra ao Facebook, assim como o Zoom fazia. A integração envolve compartilhar alguns dados de uso com o Facebook. Ela existe, supostamente, para permitir convidar amigos do Facebook, e o rastreamento é uma consequência inevitável quando os usuários optam por se conectar ao Facebook.
• O Houseparty armazena e mantém em cache endereços de feeds para todo tipo de dado de configuração nos dispositivos dos usuários. Por exemplo, inclui o caminho para todas as perguntas e respostas do jogo de curiosidades “fun fact” do Houseparty. Ele parece ficar no telefone de todos os usuários, junto com vários outros feeds.
• O app Houseparty mantém em cache alguns “Facemails” que os usuários recebem. Eles podem ser encontrados em Library/Application Support/Prefetch-Facemails e são armazenados no formato mp4. (Se tiver curiosidade de procurar por conta própria, este documento deve ajudar.)
• Uma quantidade razoável de informações de rastreamento sobre o telefone do usuário é armazenada, muito provavelmente para identificação digital do dispositivo (device fingerprinting). Assim como a Netflix, o Houseparty armazena o user-agent do dispositivo (ou seja, Mozilla/5.0 (iPhone; CPU iPhone OS 13_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148), mas também guarda valores como bnc_device_fingerprint_id, que ajudam a identificar ao longo do tempo os dispositivos que usam o serviço A identificação digital de dispositivos é uma prática disseminada contra a qual a Apple já agiu repetidas vezes, e o Houseparty não parece usar os identificadores de rastreamento IDFA / IDFV recomendados que a Apple oferece. Provavelmente porque eles reduzem a eficácia do rastreamento!
• Surpreendentemente, os backups do app Houseparty incluem um banco de dados completo de registro e rastreamento do app. Ele inclui apenas os dados do próprio usuário, mas é muito detalhado e contém todo tipo de dado granular que não deveria estar em um backup.

Suspeitamos que o Houseparty não passaria por uma auditoria de segurança independente sem que pelo menos alguns desses pontos fossem apontados, então o fato de eles continuarem presentes na versão atual do app nos deixa nervosos. Uma confirmação de que o Houseparty realizou uma auditoria de segurança independente seria tranquilizadora.

Examinando as letras miúdas...

Por fim, ao examinar a política de privacidade e o juridiquês do Houseparty, vimos algumas coisas que não pareceram boas. Em primeiro lugar, não há uma política de divulgação responsável. Seria um documento que descreve como a empresa reage quando um pesquisador de segurança encontra um problema. Normalmente, políticas assim incluem uma recompensa de segurança para quem encontra o problema, com a condição de que ele o divulgue de forma responsável à empresa para que possa ser corrigido.

Sem uma política assim, os pesquisadores de segurança geralmente precisam enviar e-mails para as equipes de atendimento ao cliente quando encontram problemas, e é notoriamente difícil passar pelo atendimento ao cliente para entrar em contato com a equipe de segurança de uma empresa. Se tivéssemos encontrado algo realmente grave no app durante a análise, uma política de divulgação nos teria dado um lugar para relatar facilmente o que encontramos. (Para referência, esta é a política de divulgação da Reincubate.)

Parece realmente espantoso que o Houseparty ofereça uma recompensa de US$ 1 milhão (sem termos ou condições claros!) a quem encontrar evidências de uma campanha de difamação contra a sua segurança, mas não anuncie nenhuma recompensa pela divulgação responsável de problemas de segurança na plataforma.

Há alguns aspectos preocupantes nos termos e condições do Houseparty: não há nenhuma menção ao Safe Harbor / Privacy Shield nem ao GDPR, o que indica uma atitude displicente em relação à proteção dos usuários e pode, potencialmente, colocá-los em dificuldades legais com os órgãos reguladores europeus de proteção de dados. Além disso, a falta de conformidade com o GDPR também pode significar que as empresas que usam esses serviços estejam elas mesmas violando a legislação de proteção de dados, o que pode expô-las a questionamentos dos próprios clientes. Um indício de que o GDPR não foi considerado é que os usuários só podem optar por sair do marketing, o que viola a legislação europeia do GDPR, que exige que essas opções sejam de “adesão” (opt-in) no momento do cadastro. Também não há como optar por sair de outras coletas de dados.

Os termos do Houseparty incluem o seguinte:

You agree that Life on Air is free to use the content of any communications submitted by you via the Services, including any ideas, inventions, concepts, techniques, or know-how disclosed therein, for any purpose including developing, manufacturing, and/or marketing goods or Services

Não somos advogados, mas isso parece levantar questões de propriedade intelectual: se você falar sobre a sua ideia de negócio ou o seu produto, o Houseparty poderia pegar qualquer coisa que você discutir para desenvolver o seu próprio produto ou vender a informação a terceiros. Isso também sugere que o serviço pode reter parte do conteúdo das mensagens: se for o caso, pode violar as leis europeias sobre o monitoramento de comunicações.

Os termos deles também incluem esta frase, que orienta os usuários a enviar um e-mail ao Houseparty para deixar de receber comunicações de marketing não solicitadas:

Individuals who provide us with Personal Information, or whose Personal Information we obtain from Third Parties, may receive periodic emails, newsletters, mailings, push notifications or text messages from us with information on our or our business partners’ products and services or upcoming special offers/events we believe may be of interest. We offer the option to decline these communications at no cost to the Individual by following the instructions in Section 5 below.

Todos esses problemas de privacidade do Houseparty contrastam fortemente com os apps de mensagens consolidados, como FaceTime, iMessage, WhatsApp, Zoom e Slack. O WhatsApp tem um excelente conjunto de documentação e políticas sobre privacidade. Até o Zoom afirma que “Zoom does not monitor or use customer content for any reason other than as part of providing our services. Zoom does not sell customer content to anyone or use it for any advertising purposes”. O Slack deixa claro que só usa os dados do cliente (Customer Data) para prestar o serviço e que os retém de acordo com a vontade do cliente (por exemplo, alguns planos empresariais oferecem arquivamento).

O que fazer se você está preocupado com a sua segurança

Se você se preocupa em se manter seguro on-line ou em usar o Houseparty, recomendamos que siga estes passos.

• Desinstalar o Houseparty não basta para remover os seus dados do serviço deles. O serviço pode continuar armazenando o seu número de telefone, o seu nome, a lista de contatos enviada e os tokens de autenticação. Os termos deles sugerem entrar em contato com hello@houseparty.com para deixar de receber marketing e ter os seus dados removidos. Curiosamente, o e-mail data-requests@lifeonair.com é citado mais adiante, mas não para solicitações de dados!
• É possível usar o Houseparty sem compartilhar muito além do seu número de telefone. As integrações com Facebook, Snapchat e Spotify são todas opcionais, assim como o envio da sua lista de contatos. Recomendamos que você evite fazer qualquer uma dessas coisas e adicione os amigos manualmente.
• Ao usar o Houseparty, os usuários devem estar cientes de que visitantes podem entrar em uma sala a qualquer momento. Os outros usuários são avisados de que você está on-line assim que você abre o app. Cuidado! Por padrão, as salas não ficam trancadas, o que significa que qualquer pessoa que você adicionou pode entrar. Há todo tipo de tuíte sobre usuários que se surpreenderam ao ver o chefe entrando na sua Houseparty enquanto estavam na banheira! Você pode mudar isso nos ajustes do Houseparty.
• Como acontece com qualquer serviço on-line, recomendamos tomar um conjunto simples de precauções para se manter seguro na internet. Nós as resumimos no final deste artigo e apresentamos dicas completas de segurança para usuários da Apple aqui.