Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Cohesity Identity Resilience: da Cohesity e Semperis una soluzione per proteggere le infrastrutture di identità aziendali
MuddyWater si evolve: attacchi più sofisticati e infrastruttura più resiliente
Un attacco supply chain ha compromesso oltre 40 pacchetti NPM
TeamItaly, presentata la nuova squadra di giovani cyber defender
CERT-AGID 6-12 settembre: i ransomware mostrano una nuova tattica di ingegneria sociale

Sarahah ruba tutti i contatti degli utenti

Ago 28, 2017 Marco Schiaffino Gestione dati, In evidenza, News, Privacy, RSS 2

L’app che propone la possibilità di ricevere commenti “onesti” grazie all’anonimato carica sui suoi server tutti i contatti che trova nella rubrica.

L’idea alla base di Sarahah è semplice, ma intrigante: consentire a tutti i nostri contatti di inviarci un messaggio anonimo in cui possono essere completamente onesti nei giudizi che esprimono nei nostri confronti. Messaggi anonimi che permettono alle persone di essere completamente oneste.

Non stupisce, quindi, che l’app abbia conquistato un nutrito numero di estimatori: su Google Store l’app ha tra i 10 e i 50 milioni di download, mentre su iTunes è tra le 100 più scaricate.

Quello che i milioni di utilizzatori di Sarahah non potevano immaginare, però, è che l’anonimato valga solo per loro. L’app, infatti, è programmata per caricare sui server degli sviluppatori tutti i contatti memorizzati sul dispositivo di chi la installa.

A lanciare l’allarme è stato Zachary Julian, un ricercatore di sicurezza di Bishop Fox, che ha analizzato il comportamento dell’app utilizzando BURP Suite, uno strumento di analisi che consente di monitorare le comunicazioni in entrata e in uscita dallo smartphone.

Certo, al momento dell’installazione Sarahah chiede il permesso di accedere ai contatti memorizzati sul telefono (cosa per nulla strana per un’app di questo genere) ma come si vede nel video pubblicato da The Intercept, l’applicazione non si limita ad accedere alle informazioni quando ne ha bisogno, ma le trasferisce in blocco a un server esterno.

In seguito alla diffusione della notizia (ripresa ieri da numerosi organi di stampa) l’autore di Sarahah ZainAlabdin Tawfiq‏ ha cercato di giustificarsi con una serie di tweet che, per la verità, lasciano un po’ perplessi.

In un primo momento ha sostenuto che la raccolta di dati avvenisse in vista di una futura funzione di “ricerca di amici”. In seguito, come riporta The Intercept, ha sostenuto che la funzione avrebbe dovuto essere rimossa ma che sarebbe ancora presente a causa di un errore che Tawfiq attribuisce a un collaboratore con cui non lavorerebbe più.

Nella pagina delle FAQ lo sviluppatore assicurava che “Sarahah non ruba informazioni”. A parte tutti i contatti degli utenti…

L’ultimo atto della sua “arrampicata sugli specchi”, riferiscono i colleghi di The Intercept, è stato quello di sostenere che la funzione sia comunque disattivata sul server e che, di conseguenza, i contatti degli utenti non vengono memorizzati nel database remoto. Un’informazione, questa, che è impossibile verificare.

In seguito alla bufera che lo ha travolto, è probabile che Tawfiq mantenga le sue promesse e rilasci a breve una nuova versione dell’app più rispettosa della privacy. Anche se fosse, però, rimane il problema di capire che fine abbiano fatto i dati sottratti fino a ora e come siano stati usati.

Condividi l'articolo