Apple precisa agir contra falsas promessas de privacidade de aplicativos

A Apple terá de se tornar mais agressiva na maneira como policia as promessas de privacidade que os desenvolvedores fazem ao vender aplicativos na App Store. O que os usuários corporativos podem fazer para proteger a si próprios e a seus usuários nesse ínterim?

Qual é o problema?

Alguns desenvolvedores continuam a tirar proveito do espírito das regras de privacidade da App Store. Isso inclui postar informações enganosas nas informações de privacidade do aplicativo, juntamente com a violação total das promessas de não rastrear dispositivos. Alguns desenvolvedores continuam a ignorar solicitações de não rastreamento para exfiltrar informações dos dispositivos.

O Washington Post, que recentemente lançou sua própria rede de anúncios digitais, identificou vários casos em que aplicativos desonestos da App Store não mantêm a promessa de privacidade do usuário.

Quando um usuário diz que não quer que um aplicativo os rastreie, o aplicativo deve respeitar essa solicitação. Mas o relatório cita vários casos em que os aplicativos continuam a coletar as mesmas informações, não importa o que o usuário solicite. Esses dados podem ser vendidos a empresas terceiras de rastreamento de dados ou usados para publicidade direcionada, diz o relatório. O que não diz, é que não respeitar os desejos do usuário é uma traição de confiança.

O que pode ajudar?

The Post falou com Johnny Lin, ex-engenheiro do iCloud, que argumenta que: “Quando se trata de interromper rastreadores terceiros, a Transparência de Rastreamento de Aplicativos é um fracasso. Pior, dar aos usuários a opção acionar o botão ‘Pedir ao App para Não Rastrear’ pode até dar aos usuários uma falsa sensação de privacidade”.

Essa é uma crítica severa e parece apropriado observar que Lin é parte interessada aqui. Sua empresa desenvolve o Lockdown, que bloqueia “rastreamento, anúncios e badware” em todos os aplicativos, não apenas no Safari. Talvez a Apple devesse adotar a mesma abordagem. Mas, dados os meses de resistência que a empresa enfrentou quando lançou a Transparência de Rastreamento de aplicativos, na escala da Apple, conseguir isso levará tempo. O capitalismo de vigilância tem muito dinheiro para gastar na oposição a tais planos; da forma como está, os usuários, principalmente os usuários corporativos, devem tomar medidas para se proteger.

Precisamos de alguma educação

Outra abordagem é a educação. Cada vez que vemos o aparecimento de problemas de privacidade, também parecemos ter reclamações de que vários desses aplicativos desonestos vêm na forma de títulos de entretenimento de tamanho reduzido voltados para jogadores casuais e crianças.

Claro, um aplicativo ativamente obtendo dados não se importa se foi o pai que instalou o aplicativo ou se foi o filho dele que o fez em um smartphone emprestado.

Os usuários realmente precisam aprender a discernir os aplicativos que usam. Quando se trata do poder básico de importunação de uma criança, eu diria que a abordagem mais segura seria usar o Apple Arcade e deixar seus filhos jogarem o que quiserem a partir daí. Não é o ideal, mas é uma forma de limitar o risco.

Adote (mas verifique) os aplicativos de shadow IT

Uma terceira abordagem que deve funcionar é o desenvolvimento de políticas. As empresas devem observar atentamente os aplicativos usados pelos funcionários em seus dispositivos para garantir que eles sejam aprovados na política de segurança.

O uso de sistemas MDM e IDs Apple gerenciados para a parte corporativa deve aumentar, enquanto as empresas realmente devem trabalhar em estreita colaboração com os funcionários para identificar os aplicativos que eles usam. Muitas empresas agora têm problemas com shadow IT, aplicativos e serviços que os funcionários usam para realizar o trabalho simplesmente porque esses sistemas funcionam melhor do que as ferramentas que a empresa fornece. Na maioria dos casos, a proibição não funciona.

Uma abordagem melhor é identificar esses aplicativos e examiná-los em relação à política de segurança da empresa e explicar de forma transparente por que alguns não podem ser usados. Isso deve ser combinado com um trabalho que garanta que seus próprios aplicativos sejam pelo menos tão fáceis de usar quanto às alternativas do mercado de shadow IT. Essa abordagem ativa aumenta a autonomia pessoal em suas equipes de maneira muito mais eficaz do que os ditames autocráticos. A ideia é que, trabalhando em equipe, você tenha um espaço mais seguro. Você pode complementar isso com soluções clássicas de MDM.

Polícia do carma

Mas o que fará a maior diferença é o policiamento. A Apple já diz que trabalhará com desenvolvedores que não cumprirem a promessa de privacidade, mas talvez precise endurecer essa abordagem. Eu diria que ele deve monitorar proativamente todos os aplicativos em relação às promessas de privacidade que eles fazem para garantir que cumpram essas promessas.

Aqueles que não o fazem devem ser removidos.

Também não é suficiente examinar apenas aplicativos específicos identificados por terceiros. Se um desenvolvedor abusar da privacidade em um aplicativo, todos os seus aplicativos devem ser verificados.

Consumidores instruídos e pesquisadores de segurança podem ajudar com isso, usando aplicativos como Little Snitch, Lockdown, Jumbo, Disconnect.me e uma série de outros para monitorar a atividade gerada por aplicativos. Se um aplicativo promete privacidade, ele deve ser responsabilizado, e uma maneira de fazer isso é usando aplicativos como esses, para monitorar vazamentos de privacidade e avisar à Apple quando identificar um aplicativo que vaze dados sem sua permissão.

Essa abordagem – de aprender sobre riscos, trabalhar com seus grupos internos (família, funcionários, crianças) para gerenciar e minimizar riscos, e tentativas agressivas de identificar aplicativos que não cumprem sua promessa de privacidade – deve ajudar a tornar o ambiente mais desafiador para esse tipo de ataque.

O que poderia acontecer a seguir

Apesar dos esforços da Apple, o que está acontecendo agora é que estamos recebendo uma falsa sensação de segurança quando consideramos a política de privacidade de um aplicativo na App Store. Quando um desenvolvedor de aplicativo promete não roubar nossas informações ou quando pedimos que ele não nos rastreie, estamos inclinados a acreditar nele. Para a Apple, a próxima etapa pode ser examinar e verificar todos os aplicativos que vende para garantir que cumpram as promessas de privacidade que fazem.

Em minha opinião, a fraude de privacidade é tão ruim quanto qualquer outro tipo de fraude. A Apple já policia seus aplicativos por comportamento fraudulento e no ano passado rejeitou 150.000 aplicativos por serem spam, imitações ou enganosos para os usuários.

Agora, ela precisa fazer o mesmo com relação às fraudes de privacidade.