Oltre 1.000 popolari applicazioni per dispositivi Android disponibili sul Google Play Store non rispettavano le autorizzazioni fornite dagli utenti, quindi sono state in grado di raccogliere i loro dati personali anche senza averne il permesso. E’ quanto emerso da un rapporto presentato alla conferenza PrivacyCon 2019 della Federal Trade Commission alla fine dello scorso mese di giugno e ripreso da Cnet.com.
Ai proprietari di un dispositivo Android sarà capitato di installare una applicazione che, al primo avvio, ha chiesto loro l’autorizzazione per ‘accedere’ al microfono, alla memoria interna, alla fotocamera, e ad altro ancora. Un’app puo’ anche richiedere piu’ di una autorizzazione, dipende a cosa serve. Ad esempio, Whatsapp necessita dell’autorizzazione di accedere alla fotocamera per scattare foto con la fotocamera in-app, oppure alla memoria interna per condividere file.
Come riportato da Cnet, i ricercatori dell’International Computer Science Institute che hanno condotto lo studio presentato al PrivacyCon di quest’anno hanno esaminato oltre 88mila applicazioni disponibili sul Play Store monitorando il modo in cui i dati venivano trasferiti dalle app una volta negate determinate autorizzazioni arrivando a scoprire che di queste ben 1325 sono state in grado di aggirare l’autorizzazione bloccata e raccogliere dati dai dispositivi anche se le persone ne avevano esplicitamente negato il permesso.
"Fondamentalmente, i consumatori hanno pochissimi strumenti e modi che possono usare per controllare ragionevolmente la loro privacy e prendere decisioni al riguardo", ha detto Serge Egelman, direttore delle ricerche sulla sicurezza e la privacy presso l’ICSI, aggiungendo che "Se gli sviluppatori di app riescono a eludere il sistema, chiedere ai consumatori il permesso è relativamente privo di significato."
Cnet riporta che i ricercatori hanno informato dei problemi riscontrati sia Google che l’FTC già lo scorso settembre. La società di Mountain View ha risposto promettendo che i problemi saranno risolti in Android Q, la prossima versione del suo sistema operativo mobile che sarà ufficiale da questa estate. Se questo puo’ sembrare positivo, tuttavia, significa che le versioni precedenti di Android non riceveranno una soluzione al problema.
Dal rapporto è emerso che le applicazioni monitorate sono state in grado di raccogliere dati di cui non avevano l’autorizzazione rispettando comunque il consenso negato, raggirandolo. Ad esempio, riuscivano ad accedere ai dati della posizione tramite le informazioni raccolte della connessione WiFi o ai metadati delle foto. Alcune app, invece, raccoglievano dati senza averne autorizzazione affidandosi ad altre applicazioni che invece la avevano.
I ricercatori presenteranno il rapporto completo con i dettagli delle 1325 app Android trovate raccogliere dati che non avrebbero dovuto raccogliere nel prossimo mese di agosto, alla conferenza sulla sicurezza Usenix Security.
