O app Sarahah basicamente explodiu em questão de semanas. Com mais de 18 milhões de downloads em todo o mundo, seus usuários parecem estar gostando muito da possibilidade de compartilhar "feedback anônimo", mas além do suposto entretenimento, o software tem seu lado sombrio. O pesquisador de segurança Zachary Julian descobriu que Sarahah carrega para a Web todos os telefones de contatos e endereços de e-mail. Seu comportamento foi verificado em iOS e Android, mas o criador do app informou que a extração está associada a uma função abandonada, que nunca foi desativada por completo...
Nos últimos dias, vi vários de meus contatos publicarem capturas de tela com as "críticas" que recebem através do aplicativo Sarahah. Além de não estar muito impressionado (o app tem múltiplos problemas de desempenho e estabilidade), tudo o que li até agora sugere que a cortesia é na verdade um exercício de hipocrisia. No entanto, há outro aspecto ainda mais grave neste software: ele adora coletar informações privadas do usuário. Quando um app ganha popularidade, diferentes especialistas em segurança decidem analisar seu comportamento, e o que o pesquisador Zachary Julian descobriu não é nada bonito...
Julian preparou um smartphone Samsung Galaxy S5 com Android Lollipop 5.1.1 e o software de monitoramento Burp Suite, que intercepta o tráfego no dispositivo (entrante e saída). Com a ajuda do Burp Suite, ele verificou que Sarahah envia para a Web todos os contatos e endereços de e-mail do usuário. Em versões mais modernas do Android e builds posteriores do iOS, o app solicita permissão para "acessar os contatos", mas na maioria dos casos, o envio é feito sem aviso. Como se não bastasse, Julian descobriu que se o usuário não abrir o app por um tempo (menos de 48 horas), o Sarahah envia os contatos novamente.
A imprensa especializada tentou falar com os responsáveis pelo Sarahah e, após um breve silêncio, seu criador Zain al-Abidin Tawfiq comunicou via Twitter que a leitura de contatos será removida em um build futuro, e que havia sido planejada para a introdução de um recurso que permitisse "encontrar seus amigos". Aparentemente, esse recurso sofreu "múltiplos problemas técnicos", e o parceiro encarregado de removê-lo do app (que, aliás, já não trabalha mais no Sarahah) nunca o fez. Ao mesmo tempo, a função foi removida do servidor, e seus bancos de dados não guardam nenhum contato. É claro, essa declaração é impossível de verificar sem uma abertura total do código do Sarahah e a auditoria correspondente. Quem decidir continuar usando o Sarahah depois de tamanha descoberta deveria abandonar o app móvel e entrar pelo site.
