LOGIN
Che i permessi e le autorizzazioni siano fondamentali per proteggere privacy e dati personali su smartphone è ormai un dato di fatto. Gestendo al meglio le autorizzazioni ad accedere alle varie funzionalità del telefonino, infatti, gli utenti possono impedire pericolose "fughe di notizie" ed evitare che i propri dati finiscano in mano a sviluppatori (oppure organizzazioni) senza scrupoli. Cosa, purtroppo, accaduta in più occasioni: il caso più eclatante è quello dell'app-torcia utilizzata dallo sviluppatore per appropriarsi dei dati degli utenti, ma non è l'unico.
Per mettere un freno a comportamenti del genere, gli sviluppatori di Android e iPhone hanno adottato politiche di gestione permessi definite "granulari". In questo modo, se un'app richiede l'accesso alla fotocamera, al microfono e alla rubrica, gli utenti potranno decidere se concedere una delle autorizzazioni o negare l'accesso alla funzionalità.
La gestione permessi app iPhone e la gestione permessi introdotta con Android 6, però, sembrano non aver scoraggiato gli sviluppatori che tentano di spiare gli utenti e rubare le loro informazioni. L'ultimo caso di gestione "furba" dei dati in background è quello di Flash Keyboard, tastiera predittiva e personalizzata per dispositivi Android capace di raccogliere grande successo in tutto il mondo.
L'app più scaricata di WhatsApp
Anche se ai più può apparire come una delle tante tastiere alternative Android presenti nel Google Play Store, con il passare del tempo Flash Keyboard è stata in grado di conquistare una grande fetta del pubblico del sistema operativo del robottino verde. Secondo alcuni analisti, addirittura, la tastiera Android è stata installata più volte di WhatsApp, mentre nel febbraio 2016 risultava essere l'11esima app più scaricata dal Google Play Store statunitense.
Il motivo di tale successo è presto spiegato: le funzionalità aggiuntive che Flash keyboard è in grado di offrire gratuitamente agli utenti. Oltre a un layout che aiuta la digitazione dagli schermi touch degli smartphone Android, la tastiera mette a disposizione emoticon, adesivi animati e un sistema proprietario di correzione automatica molto raffinato.
Un lungo elenco
Se la lista delle funzionalità è molto attraente, lo stesso non si può dire dell'elenco delle autorizzazioni e dei permessi che Flash Keyboard chiede al momento dell'installazione. Andando a spulciarlo, infatti, si scopre che la tastiera alternativa è piuttosto invasiva e mette nel mirino i dati personali degli utenti. Anche se alcuni permessi possono anche sembrare comprensibili e accettabili (l'accesso alla rubrica, ad esempio, è funzionale ai suggerimenti veloci, mentre la fotocamera può tornare utile per creare stickers con foto realizzate dall'utente), altri non trovano giustificazione alcuna. Flash Keyboard, tanto per fare un esempio, può interrompere l'esecuzione di altre applicazioni attive (un comportamento tipico dei malware che vogliono bloccare le funzionalità degli antivirus e agire così indisturbati).
Pubblicità indesiderata
Come se non bastasse, grazie alle molteplici autorizzazioni che richiede, Flash Keyboard è in grado di sostituire la schermata di blocco scelta con pubblicità legate alle abitudini dell'utente stesso. Sfruttando la possibilità di leggere e creare impostazioni in Home (la schermata principale, tanto per intendersi), la tastiera va a modificare una delle schermate più visualizzate dello smartphone, riuscendo a trarre profitto dai dati personali degli utenti.
Comunicazioni transoceaniche
Il vero problema, però, è un altro ed è stato evidenziato da PenTest, organizzazione britannica da tempo attiva nel settore della protezione dati personali e privacy. Insospettiti dalla lunga lista di autorizzazioni necessarie, i ricercatori di PenTest hanno iniziato ad analizzare il comportamento di Flash Keyboard, scoprendo che l'obiettivo non è solo quello di visualizzare pubblicità non gradita, ma anche fare incetta di dati personali.
La tastiera alternativa Android, infatti, può accedere alla localizzazione GPS, allo stato della rete Wi-Fi, al file di LOG e ottenere il permesso di "utilizzare" il dispositivo con le credenziali di amministratore. Queste ultime due autorizzazioni, in particolare, sono quelle che maggiormente preoccupano gli esperti di sicurezza informatica britannica. Nel primo caso, infatti, l'app riceve il permesso di accedere alle credenziali utilizzate dall'utente per accedere ai suoi account online; nel secondo, invece, può amministrare a proprio piacimento il telefonino, assumendone di fatto il controllo.
Tutte le informazioni raccolte, poi, sono inviate a server web localizzati in Cina e non è dato sapere che utilizzo sia fatto dei dati. Nei file inviati oltre oceano sono contenute informazioni quali produttore e modello di smartphone, il codice IMEI, versione del sistema operativo, l'indirizzo email del proprietario, l'identificativo SSID della rete Wi-Fi a cui è collegato, l'operatore mobile e molto altro ancora.
