AccuWeather oferuje jedną z najpopularniejszych usług meteorologicznych w sieci, z milionami użytkowników na całym świecie. Jednak wersja jej aplikacji na iOS ma poważne problemy z prywatnością. Według badacza Will Strafach oprogramowanie wysyła informacje o lokalizacji, BSSID punktu dostępowego oraz stan połączenia Bluetooth do firmy zajmującej się monetyzacją danych, nawet jeśli użytkownik zaznaczył, że nie wyraża na to zgody
Kwestionowanie uprawnień, o które aplikacja mobilna prosi przed instalacją, jest w dzisiejszych czasach niemal obowiązkowe. Potencjał nadużyć jest bardzo duży, a użytkownicy nie mają wielu opcji poza odinstalowaniem aplikacji lub użyciem systemu operacyjnego pozwalającego na szczegółową administrację. Chociaż rozumiemy, że usługi muszą się jakoś finansować, brak przejrzystości w większości przypadków jest niepokojący. To prowadzi nas do ostatniego epizodu, którego bohaterem jest AccuWeather. Tak jest: choć trudno uwierzyć, usługa meteorologiczna ma problemy z prywatnością.
Odkrycie Willa Strafacha
Badacz bezpieczeństwa Will Strafach odkrył, że wersja AccuWeather przeznaczona na iOS gromadzi dane o lokalizacji niezależnie od tego, czy użytkownik zablokował tę funkcję. Strafach podaje, że informacje są wysyłane do firmy Reveal Mobile, która zasadniczo zajmuje się wykorzystywaniem tej telemetrii do tworzenia kampanii reklamowych. Badacz ustalił, że AccuWeather kontaktował się z serwerami Reveal Mobile 16 razy w ciągu 36 godzin. Dane obejmują dokładne współrzędne GPS (z prędkością i wysokością), nazwę sieci WiFi z BSSID routera oraz stan połączenia Bluetooth. Nawet jeśli użytkownik zablokuje dostęp do GPS dla AccuWeather, aplikacja wysyła resztę danych.
Reakcja AccuWeather i Reveal Mobile
Stanowisko firmy jest takie, że przeciek został spowodowany przez „błąd konfiguracji” w SDK Reveal Mobile, że dane nigdy nie zostały wykorzystane przez firmę i że w rzeczywistości nie była ona świadoma ich dostępności. Reveal Mobile zobowiązał się do zaktualizowania swojego SDK w ciągu najbliższych 24 godzin, a AccuWeather go wyłączył do czasu, aż to nastąpi. Dla wielu użytkowników to prawdopodobnie nie wystarczy...
