L'app Sarahah è esplosa in poche settimane. Con oltre 18 milioni di download in tutto il mondo, i suoi utenti sembrano divertirsi molto con la possibilità di condividere «feedback anonimo», ma al di là del presunto intrattenimento, il software ha il suo lato oscuro. Il ricercatore di sicurezza Zachary Julian ha scoperto che Sarahah carica sul Web tutti i telefoni dei contatti e gli indirizzi email. Il suo comportamento è stato verificato su iOS e Android, ma il creatore dell'app ha riferito che l'estrazione è associata a una funzione abbandonata, che non è mai stata disattivata del tutto…
Negli ultimi giorni ho visto diversi miei contatti pubblicare screenshot con le «critiche» che ricevono tramite l'app Sarahah. Oltre a non essere molto colpito (l'app ha molteplici problemi di prestazioni e stabilità), tutto ciò che ho letto finora suggerisce che la cortesia è in realtà un esercizio di ipocrisia. Tuttavia, c'è un altro aspetto ancora più grave in questo software, ed è che adora raccogliere informazioni private dall'utente. Quando un'app guadagna popolarità, diversi esperti di sicurezza decidono di analizzare il suo comportamento, e ciò che ha scoperto il ricercatore Zachary Julian non è proprio carino…
Julian ha preparato uno smartphone Samsung Galaxy S5 con Android Lollipop 5.1.1 e il software di monitoraggio Burp Suite, che intercetta il traffico sul dispositivo (in entrata e in uscita). Con l'aiuto di Burp Suite, ha verificato che Sarahah carica sul Web tutti i contatti e gli indirizzi email dell'utente. Su versioni più moderne di Android e build successive di iOS, l'app richiede il permesso per «accedere ai contatti», ma nella maggior parte dei casi, il caricamento avviene senza avviso. Come se non bastasse, Julian ha scoperto che se l'utente non apre l'app per un po' (meno di 48 ore), Sarahah invia nuovamente i contatti.
La stampa specializzata ha cercato di parlare con i responsabili di Sarahah, e dopo un breve silenzio, il suo creatore Zain al-Abidin Tawfiq ha comunicato via Twitter che la lettura dei contatti sarà rimossa in una build futura, e che era stata pensata per l'introduzione di una funzione che permettesse di «trovare i tuoi amici». Apparentemente, tale funzione ha subito «molteplici problemi tecnici», e il socio incaricato di rimuoverla dall'app (che peraltro non lavora più a Sarahah) non lo ha mai fatto. Allo stesso tempo, la funzione è stata epurata sul server, e i suoi database non conservano alcun contatto. Naturalmente, questa dichiarazione è impossibile da verificare senza un'apertura totale del codice di Sarahah e la corrispondente auditoria. Chi decide di continuare a usare Sarahah dopo una simile scoperta, dovrebbe abbandonare l'app mobile e accedere tramite il suo sito web.
