LOGIN
Quando scarichiamo un'app, tanto su Android quanto su iOS, gli unici avvisi che ci vengono mostrati riguardano i permessi necessari all'app per funzionare e l'informativa sulla privacy. Da questi due "elementi", almeno teoricamente, dovremmo ricavare tutte le informazioni di cui abbiamo bisogno per scoprire quali dati verranno catturati dall'applicazione e l'utilizzo che lo sviluppatore, o la casa sviluppatrice, ne farà.
Purtroppo, però, non è sempre così che funziona. Alcuni ricercatori di sicurezza hanno scoperto che molte applicazioni acquisiscono ugualmente dati e informazioni sugli utenti anche nel caso in cui sia stato negata l'autorizzazione. Un esempio lampante è quello offerto dalle app di tracciamento del ciclo mestruale, che hanno condiviso informazioni sensibili con Facebook e altre società, nonostante questo fosse esplicitamente vietato. Lo stesso dicasi delle app progettate per bloccare le chiamate indesiderate dei call center, le quali condividevano i nostri dati con le società di analisi e consulenza.
I ricercatori hanno scoperto che molte app inviano dati che vanno al di là di ciò che le persone accettano in base alle policy sulla privacy e alle richieste di autorizzazione. I dati sulla posizione del telefono, ad esempio, possono essere una miniera d'oro per gli inserzionisti e vengono utilizzati per capire dove si trovano le persone in determinati momenti. Ma potrebbero essere utili anche alle agenzie governative per sorvegliare le persone utilizzando i dati raccolti dalle app.
Tracciamento continuo
Uno dei problemi di maggior rilievo nell'ambito della protezione dei dati personali riguarda il tracciamento della posizione da parte delle app. Anche da parte di quelle che non verrebbero mai in mente a nessuno. Un esempio? AccuWeather, la celebre app meteo per sistemi Android e iOS, invia i dati di posizione dell'utente anche quando il GPS del telefono è disattivato. Questa una delle scoperte di Will Strafach, esperto di sicurezza informatica e fondatore della società Guardian.
Lo tesso Strafach si è reso protagonista di una lunga serie di scoperte di questo genere: alcune app, addirittura, arrivano a inviare i dati del GPS fino a 200 volte in 12 ore (una volta ogni 3 minuti e mezzo), tracciando ogni singolo spostamento dell'utente, o quasi. I dati del GPS, dunque, sembrano fare particolarmente gola ai marketeer, e non è neanche troppo difficile capire il perché: potendo sapere dove si trovano le persone in maniera precisa e puntuale, è possibile ricostruire i loro percorsi, sapere in quali luoghi si fermano per più tempo e quali sono le loro preferenze a ora di pranzo o mentre fanno shopping. Dati utili per "ricostruire" il profilo personale di ogni utente e realizzare pubblicità "cucite addosso" alle sue esigenze.
Rete interconnessa di app
Bill Budington, tecnico senior della Electronic Frontier Foundation, analizza la rete da più di un decennio ed è tra gli ideatori di Panopticlick, uno strumento utile per mostrare quanto sia ampiamente tracciata la nostra navigazione sul web. Nell'ultimo anno, Budington ha iniziato a concentrare i suoi sforzi sulle app mobili. Lo specialista in sicurezza informatica ha trovato una rete interconnessa di app che condividono tutte le informazioni acquisite sugli utenti.
In casi come questi, la preoccupazione non è legata al "comportamento" della singola app, ma come questa possa relazionarsi alle altre app installate sullo smartphone e come, in "gruppo", possano collezionare dati sulle abitudini degli utenti e rivenderle successivamente al miglior offerente (solitamente qualche agenzia pubblicitaria interessata a "segmentare" fasce di popolazione per i suoi utenti).
La principale preoccupazione di Budington è però legata al cosiddetto "fingerprinting del dispositivo". Anche se i dati vengono raccolti in forma anonima, da una loro "triangolazione" è infatti possibile creare profili univoci degli utenti e legarli in maniera certa e inconfutabile a un singolo dispositivo.
Le modalità con le quali è possibile ricostruire "l'impronta digitale del dispositivo" sono varie. Alcuni tracker raccolgono dati su impostazioni, caratteri e app da utilizzare come identificativo unico. Un metodo che funziona in quanto è improbabile che qualcun altro utilizzi le stesse identiche configurazioni. Sulle app mobili questo discorso è ancora più semplice perché Apple e Google forniscono l'identificazione pubblicitaria per i loro dispositivi. Spesso puoi modificare questo ID, ma i tracker possono comunque ottenere i dati. E poiché dispongono già dell'indirizzo IP o il numero hardware del dispositivo, è abbastanza facile abbinare il dispositivo al nuovo ID pubblicitario.
Uno sforzo comune
All'International Computer Science Institute dell'Università della California di Berkeley, il dott. Egelman guida un team di circa 10 ricercatori che utilizza più smartphone con sistema operativo personalizzato, in modo che scarichi le app appena rilasciate sul Play Store e studiarne il comportamento. Questa particolare release di Android consente a Egelman e al suo team di vedere tutto ciò che fa un'app, sia quando è connessa a Internet sia quando è "isolata".
Lo strumento messo a punto dal gruppo di ricerca statunitense cerca nuove app e le aggiunge a un database che ogni due settimane effettua un check per vedere se sono stati aggiunti nuovi tracker al codice dell'app in questione. Come Budington, Egelman ha affermato che la principale preoccupazione riscontrata durante la ricerca di app mobili è l'identificazione persistente. Nel 2019, Egelman ha pubblicato una ricerca che descrive come circa 17.000 app Android stessero creando un registro permanente dell'attività del dispositivo collegando un ID pubblicitario a identificatori univoci che non potevano essere modificati, come avviene per il codice hardware del dispositivo.
Come difendersi dai tracker pubblicitari
Non c'è molto che possiamo fare per proteggerci da questi tracker, tranne che evitare di scaricare app ambigue. Ma non è così facile come sembra. Lo strumento ideato da Egelman può essere utilizzato dalle persone per individuare possibili app ambigue, ma non è così facile da usare. Secondo lo studioso sarebbe meglio creare dei gruppi di controllo in grado di monitorare l'attività delle app, in modo che i consumatori non debbano farlo in prima persona.
Oltre il tracking: le app che spiano gli appunti
La questione tracker non è affatto da sottovalutare, né è facile da regolamentare. Ma negli ultimi tempi anche altre minacce alla nostra privacy sono salite alla ribalta. Ha fatto scalpore, a giugno 2020 la notizia che l'app di TikTok per iOS accede spessissimo alla "Clipboard", cioè l'area della memoria dove il sistema operativo mobile di Apple posiziona i nostri appunti, quello che copiamo e poi incolliamo altrove. Ma ben presto si è scoperto che l'app di TikTok non è affatto l'unica a farlo.
Una risposta di Apple è stata quella di inserire, su iOS 14, una notifica automatica ogni volta che una app accede agli appunti. Ma le app possono comunque continuare ad accedere quando vogliono agli appunti. Su Android la situazione è simile, non è quindi una questione di sistema operativo più o meno sicuro.
Il vero dubbio è se i dati letti non vengano poi inviati ad un server remoto, che potrebbe archiviarli, anche perché tra questi dati ci potrebbero essere nomi utente e password dei nostri account, compresi gli account bancari. Né iOS né Android hanno una cronologia delle cose che copiamo e questo è un bene, perché altrimenti le app potrebbero accedere anche a queste informazioni.
La situazione su desktop non un po' più rassicurante: tecnicamente, sia su Mac che su Windows, tutte le app potrebbero accedere agli appunti, ogni volta che vogliono. Nella pratica, però, ciò ormai avviene meno spesso perché molte cose ormai si fanno da dentro un browser e le app Web non possono accedere direttamente alla clipboard: siamo noi che dobbiamo incollare manualmente sul sito web per fornire i contenuti degli appunti al sito web che li chiede.
