AccuWeather è uno dei servizi meteorologici più popolari del Web, con milioni di utenti in tutto il mondo. Ma la versione della sua app per iOS presenta seri problemi di privacy. Secondo il ricercatore Will Strafach, il software invia informazioni di geolocalizzazione, il BSSID del punto di accesso e lo stato della connettività Bluetooth a una società di monetizzazione dei dati, anche se l'utente aveva indicato il contrario.
Il problema della privacy
Mettere in discussione i permessi che un'applicazione mobile richiede prima dell'installazione è quasi obbligatorio al giorno d'oggi. Il potenziale di abuso è molto grande e gli utenti non hanno molte opzioni oltre a disinstallare l'app o usare un sistema operativo che permetta un'amministrazione precisa. Sebbene comprendiamo che i servizi debbano essere finanziati in qualche modo, la mancanza di trasparenza nella maggior parte dei casi è preoccupante. Questo ci porta all'ultimo episodio, che vede come protagonista AccuWeather. Sì, anche se sembra incredibile, un servizio meteorologico ha problemi di privacy.
L'indagine
Il ricercatore di sicurezza Will Strafach ha scoperto che la versione di AccuWeather per iOS raccoglie dati di geolocalizzazione senza considerare se l'utente ha vietato tale azione in primo luogo. Strafach afferma che le informazioni vengono inviate alla società Reveal Mobile, che fondamentalmente si occupa di utilizzare questa telemetria per progettare campagne pubblicitarie. Il ricercatore ha determinato che AccuWeather ha contattato i server di Reveal Mobile per un totale di 16 volte in un periodo di 36 ore. I dati includono coordinate GPS precise (con velocità e altitudine), il nome della rete WiFi con il BSSID del router e lo stato della connettività Bluetooth. Anche se l'utente blocca l'accesso GPS per AccuWeather, l'app invia il resto dei dati.
La risposta dell'azienda
La posizione dell'azienda è che la fuga di dati sia stata causata da un «errore di configurazione» nell'SDK di Reveal Mobile, che i dati non sono mai stati utilizzati dall'azienda e che in realtà non fosse a conoscenza della loro disponibilità. Reveal Mobile si è impegnata ad aggiornare il suo SDK nelle prossime 24 ore e AccuWeather lo ha disabilitato fino a quel momento. Per molti utenti, probabilmente questo non sarà sufficiente...
