La aplicación LastPass para Android contiene 7 rastreadores de empresas de terceros 😬
Ultimo pase
Cuando se trata de la seguridad de la cuenta, usar un administrador de contraseñas generalmente es una buena idea. Pero, ¿qué sucede si ese administrador de contraseñas está rastreando lo que estás haciendo y ni siquiera te lo dice? Según el investigador de seguridad Mike Kuketz, la aplicación LastPass para Android tiene siete rastreadores incorporados, y es posible que LastPass no sepa qué datos recopilan.
Tal como lo detectó por primera vez The Register, Kuketz usó herramientas de Exodus Privacy para examinar la aplicación LastPass para Android y descubrió siete rastreadores incrustados en su código:
- Folleto de aplicaciones
- Google analitico
- Google CrashLytics
- Google Firebase Analytics
- Administrador de etiquetas de Google
- MixPanel
- segmento
Si bien Exodus Privacy confirma la presencia de rastreadores, eso no garantiza que hagan algo. Entonces, Kuketz siguió con el monitoreo de la red mientras configuraba una nueva cuenta de LastPass. Descubrió que la aplicación se comunicaba con casi todos los servidores de rastreadores sin pedir permiso primero.
Una inspección más detallada no sugiere que los rastreadores hayan transferido datos de nombre de usuario o contraseña, pero parece saber cuándo el usuario crea una contraseña y de qué tipo. Kuketz dice que incluir un código de seguimiento de este tipo en un administrador de contraseñas (o una aplicación similar centrada en la seguridad) no es aceptable, ya que los desarrolladores no pueden ser plenamente conscientes de lo que recopila el código de seguimiento. Esto se debe a que los rastreadores a menudo usan código propietario que no está abierto para inspección.
La cantidad de datos parece ser extensa y revela información sobre el dispositivo en uso, el operador del teléfono celular, el tipo de cuenta de LastPass y el ID de publicidad de Google del usuario (utilizado para conectar datos sobre el usuario entre aplicaciones). Son suficientes datos para crear un perfil extenso en torno a la información más privada que almacena.
Según Exodus Privacy, otros administradores de contraseñas no usan tantos rastreadores. Bitwarden tiene dos, RoboForm y Dashlane tienen cuatro y 1Password no tiene ninguno. No está claro por qué LastPass usa tantos.
En una declaración a The Register, un portavoz de LastPass dijo: "… ningún dato confidencial de usuario identificable personalmente o actividad de bóveda podría pasar a través de estos rastreadores". El portavoz continuó diciendo que puede optar por no participar en el análisis en el menú de configuración. Aún así, entre este informe y el cambio reciente que hizo LastPass para obligar a los usuarios de nivel gratuito a elegir entre la sincronización de escritorio y móvil, puede ser hora de pasar a otra alternativa como Bitwarden o 1Password.
a través del registro