Aplicaciones de iPhone y iPad están grabando, sin avisarte, lo que hacen tus dedos en el móvil
Algunas apps graban el comportamiento de sus usuarios cuando las están usando en un iPhone o iPad. Se registran los movimientos de los dedos sobre la pantalla, dónde se presiona con el dedo o qué zonas general más atención; todo queda grabado en un vídeo. Es lo que revela una investigación conjunta entre los medios especializados TechCrunch y The App Analyst.
Empresas de hostelería, de viajes, aerolíneas, operadoras de telefonía móvil, bancos y financieras... TechCrunch explica que ninguna de ellas, en sus términos de uso, “preguntan o dejan claro que saben exactamente cómo estás usando sus apps”. También mencionan el uso de Glassbox, una “empresa de análisis de la experiencia del cliente” que las grandes compañías integran en sus apps y que les permite ver después una especie de “repetición” del uso de ese programa por parte del usuario.
Las aplicaciones de Singapur Airlines, Hoteles.com o Abercrombie & Fitch usan el servicio proporcionado por Glassbox. Cada scroll, cada pulsación y cada interacción es registrada por el sistema, que luego permite a los desarrolladores revisar todos los movimientos que hizo el usuario. El problema viene cuando, por ejemplo, esa persona introduce sus datos personales, sus contraseñas o su número de tarjeta de crédito.
The App Analyst descubrió hace poco que era precisamente en el intercambio entre la app y el desarrollador, a la hora de enviar esa “repetición”, que los datos no estaban siendo correctamente ocultados. Concretamente en la app de la compañía Air Canada (que también trabaja con Glassbox), donde quedaban expuestos los números de tarjeta de crédito y de pasaporte de millones de personas. Una pocas semanas antes de publicar el hallazgo, la aerolínea anunció que un agujero en su app de iOS había expuesto los perfiles de 20.000 personas.
TechCrunch ha pedido a The App Analyst que analice varias de las apps de los clientes con los que trabajan. Utilizando un man in the middle (un ataque de intermediario en el que un tercero se infiltra en las comunicaciones que tienen lugar entre A y B), el investigador fue capaz de examinar qué datos estaban bien cifrados y cuáles no.
“No todas las aplicaciones filtraban datos ofuscados; ninguna de las aplicaciones que examinamos decía que estaban grabando la pantalla de un usuario -y mucho menos mandándolos de vuelta a cada compañía o directamente a la nube de Glassbox-”, explica el medio estadounidense. También han descubierto que Expedia y Hoteles.com ni siquiera mandaban esas repeticiones a la empresa encargada de gestionarlas (Glassbox), sino que las almacenaban en un servidor propio.
Políticas de privacidad opacas
Apple ha pedido a los desarrolladores de aplicaciones que eliminen las piezas de código que sirven para registrar los movimientos de los usuarios, salvo que “soliciten el consentimiento explícito del usuario y proporcionen una indicación visual clara al grabar, registrar o de cualquier otra forma hacer un registro de la actividad del usuario”, explica Apple a TechCrunch. Esto, en realidad, supone una aprobación implícita de esta técnica analítica siempre que conste en la letra pequeña al instalarse la app.
Todas las apps que llegan a la App Store han de cumplir unas estrictas reglas que la compañía detalla en su web. Desde octubre del año pasado, los de Cupertino también exigieron a esas empresas desarrolladoras que los softwares debían de tener una política de privacidad propia, algo con la que no todas contaban, a la vista de la investigación de TechCrunch y The App Analyst.
“La política de Expedia no menciona la grabación de la pantalla, ni tampoco la de Hoteles.com. Y en el caso de Air Canada, no pudimos detectar ni una sola línea en los términos y condiciones de iOS o en su política de privacidad que sugiera que la aplicación de iPhone envía los datos de la pantalla a la aerolínea. Y en la política de privacidad de Singapore Airlines tampoco se menciona nada”, continúa TechCrunch.
Ni Expedia ni Hoteles.com han respondido a las preguntas del medio de comunicación sobre las grabaciones. Otros, como Singapur Airlines, Air Canada o Abercrombie aseguran que todo está contenido bajo sus políticas y que Glassbox les ayuda a solucionar “cualquier problema o que los consumidores tengan durante su experiencia de compra”. Finalmente, Apple ha tomado cartas en el asunto vetando el uso del código que permite a estas compañías grabar las pantallas de los usuarios.
