AccuWeather é um dos serviços meteorológicos mais populares da web, com milhões de usuários ao redor do mundo. No entanto, a versão do seu aplicativo para iOS carrega sérios problemas de privacidade. De acordo com o pesquisador Will Strafach, o software envia informações de geolocalização, o BSSID do ponto de acesso e o status da conectividade Bluetooth para uma empresa de monetização de dados, mesmo quando o usuário opta por não compartilhar.
Questionar as permissões que um aplicativo móvel solicita antes da instalação é quase obrigatório nos dias de hoje. O potencial de abuso é muito grande, e os usuários não têm muitas opções além de desinstalar o aplicativo ou usar um sistema operacional que permita uma administração fina. Embora entendamos que os serviços precisam se financiar de algum modo, a falta de transparência na maioria dos casos é preocupante. Isso nos leva ao último episódio, que tem como protagonista a AccuWeather. Sim: embora pareça mentira, um serviço meteorológico tem problemas de privacidade.
O que o pesquisador encontrou
O pesquisador de segurança Will Strafach descobriu que a versão da AccuWeather compatível com iOS coleta dados de geolocalização independentemente de o usuário ter proibido essa ação em primeiro lugar. Strafach indica que as informações são enviadas para a empresa Reveal Mobile, que basicamente se encarrega de utilizar essa telemetria para projetar campanhas publicitárias. O pesquisador determinou que a AccuWeather entrou em contato com os servidores da Reveal Mobile um total de 16 vezes em um período de 36 horas. Os dados incluem coordenadas GPS precisas (com velocidade e altitude), o nome da rede WiFi com o BSSID do roteador e o status da conectividade Bluetooth. Mesmo que o usuário bloqueie o acesso GPS para a AccuWeather, o aplicativo envia o restante dos dados.
Posição da AccuWeather e da Reveal Mobile
A posição da empresa é que a falha foi provocada por um "erro de configuração" no SDK da Reveal Mobile, que os dados nunca foram usados pela empresa e que, na verdade, ela não tinha conhecimento de sua disponibilidade. A Reveal Mobile se comprometeu a atualizar seu SDK nas próximas 24 horas, e a AccuWeather o desabilitou até que isso aconteça. Para muitos usuários, provavelmente isso não será suficiente...
