Estensioni per il browser Google Chrome possono raccogliere dati sensibili da milioni di utenti. La raccolta dati èstata scoperta da Andrey Meshkov, co-fondatore di Adguard, che l’ha descritta come una “grande campagna di spyware“. Secondo le scoperte di Meshkov, la campagna di raccolta dati riguarda app Android e estensioni per il browser di Google. L’esperto di sicurezza ha detto che una volta che una vittima ha effettuato l’accesso al proprio account Facebook, le estensioni di Chrome analizzano i dati subito dopo l’avvio del browser.
Meshkov ha affermato che vengono rubati tutti i dati di Facebook e lo spyware tenta persino di passare attraverso la cronologia degli acquisti della vittima. Tra gli altri dati presi in considerazione sono inclusi post, post sponsorizzati, tweet, video di YouTube e annunci che una vittima ha visto e con cui ha interagito. Questi dati vengono poi raccolti e inviati a una società di terze parti chiamata Unimania che, a suo dire, vende i dati ad altre parti per ricavarne introiti.
Adguard ha affermato che un certo numero di app Android sul Play Store funzionano come le estensioni (plug-in) di Chrome. Nella loro ricerca, Adguard, ha individuato due app Android con milioni di installazioni. Una di questi è un client alternativo di Facebook chiamato Fast, che è stato scaricato più di 10 milioni di volte. L’altra app è Fast Lite, gestita dagli stessi sviluppatori, ed ha oltre un milione di installazioni. Entrambe le app citano Unimania nell’informativa sulla privacy.
Sotto il titolo “data intelligence” nella politica sulla privacy delle app si legge: “Unimania raccoglie dati demografici e psicografici non identificabili dalla persona nonché campagne, pubblicità o post sponsorizzati che ti indirizzano direttamente o che sono stati condivisi con te“.
Nelle sue scoperte, Meshkov ha dichiarato: “Questo non era un problema limitato solo alle estensioni di Chrome e ho capito che avevo bisogno di continuare le mie indagini. A tal fine, alcune buone notizie erano che avevamo già raccolto alcuni dati mentre preparavo uno studio sul monitoraggio delle app mobili e potevo farne uso e interrogarlo immediatamente. È così che ho trovato una particolare app che si collegava ai server Unimania.
Questo era un client alternativo di Facebook chiamato Fast – Social App con un record di oltre 10.000.000 di installazioni secondo Google Play. Lo sviluppatore dell’app non si preoccupa di nascondere questo fatto e menziona Unimania nella politica sulla privacy”.
Ha poi aggiunto: “La scansione del traffico di questa app per sviluppatori ha confermato che Fast-Social App trasferisce praticamente gli stessi dati delle estensioni di Chrome e agli stessi server Unimania. Ho anche scoperto che Fast Lite – Social App + Twitter (oltre 1.000.000 di installazioni) fa anche la stessa cosa”.
Meshkov ha anche elencato altre app che menzionano Unimania nelle sue politiche sulla privacy, ma non ha potuto confermare se le app stanno ancora raccogliendo dati.
Queste app sono PhotoMania – Photo Effects, che ha oltre un milione di installazioni, e All in One Social Media “Fast” con oltre 100.000 installazioni. Meshkov ha anche scoperto che Unimania cerca di lanciare i propri prodotti a breve, l’app mobile OmniSocial e l’estensione del browser Who’s following me.
Meshkov ha aggiunto: “Ovviamente nessuna di queste app indica questo comportamento nella descrizione, né ha una divulgazione in-app come richiesto da Google.Devo ammettere che le Politiche per gli sviluppatori di Google Play sembrano solide, e quindi probabilmente non è la ragione per cui la privacy delle app Android è in un tale stato. Il problema è che queste politiche non sono applicate, quindi la maggior parte degli sviluppatori di app semplicemente le ignora“.
Il co-fondatore di Adguard ha dichiarato di aver segnalato a Google le app Android e le estensioni di Chrome interessate. Concludendo le sue scoperte e descrivendo come gli utenti possono proteggersi, Meshkov ha dichiarato: “Quando installi qualcosa sul tuo dispositivo o browser, segui queste regole. Leggi l’informativa sulla privacy, non è inutile: tutto ciò che è stato scoperto in questo caso è stato menzionato nelle politiche sulla privacy. Non installare mai alcun prodotto da uno sviluppatore di cui non ti fidi, fai i compiti, scopri chi è lo sviluppatore e decidi tu stesso se è affidabile“.
Le quattro estensioni Chrome citate da Meshkov nel suo studio hanno un numero di oltre 420.000 utenti. Queste estensioni sono: Video Downloader per Facebook (oltre 170.000 utenti), Album e Photo Manager per Facebook (oltre 92.000 utenti), Unione PDF – Fusione di file PDF (oltre 125.000 utenti), Pixcam – Effetti webcam (31.000 utenti, copia archiviata)
Fonte e approfondimenti: The Sun