L’app per Android LastPass contiene 7 tracker di società di terze parti 😬

Ultimo passaggio

Quando si tratta di sicurezza dell’account, l’utilizzo di un gestore di password è generalmente una buona idea. Ma cosa succede se quel gestore di password tiene traccia di ciò che stai facendo e non te lo dice nemmeno? Secondo il ricercatore di sicurezza Mike Kuketz, l’app LastPass per Android ha sette tracker incorporati e LastPass potrebbe non sapere quali dati raccolgono.

Come notato per la prima volta da The Register, Kuketz ha utilizzato gli strumenti di Exodus Privacy per esaminare l’app LastPass per Android e ha scoperto sette tracker incorporati nel suo codice:

• Volantino delle app
• statistiche di Google
• Google CrashLytics
• Google Firebase Analytics
• Google Tag Manager
• Mix Panel
• segmento

Sebbene Exodus Privacy confermi la presenza di tracker, ciò non garantisce che facciano nulla. Quindi Kuketz ha seguito il monitoraggio della rete durante la configurazione di un nuovo account LastPass. Ha scoperto che l’app ha raggiunto quasi tutti i server di tracker senza prima chiedere il permesso.

Un’ulteriore ispezione non suggerisce che i tracker abbiano trasferito dati su nome utente o password, ma sembra sapere quando l’utente crea una password e di che tipo. Kuketz afferma che l’inclusione di un codice di monitoraggio di questo tipo in un gestore di password (o un’app simile incentrata sulla sicurezza) non è accettabile, poiché gli sviluppatori non possono essere pienamente consapevoli di ciò che il codice di monitoraggio raccoglie. Questo perché i tracker usano spesso codice proprietario che non è aperto per l’ispezione.

La quantità di dati sembra essere ampia, rivelando informazioni sul dispositivo in uso, sull’operatore di telefonia cellulare, sul tipo di account LastPass e sull’ID pubblicità Google dell’utente (utilizzato per collegare i dati sull’utente tra le app). Sono dati sufficienti per costruire un profilo completo attorno alle informazioni più private che memorizzi.

Secondo Exodus Privacy, altri gestori di password non utilizzano tanti tracker. Bitwarden ne ha due, RoboForm e Dashlane ne hanno quattro e 1Password non ne ha. Perché LastPass ne usi così tanti non è chiaro.

In una dichiarazione a The Register, un portavoce di LastPass ha affermato: "…nessun dato utente sensibile di identificazione personale o attività del caveau potrebbe essere passato attraverso questi tracker." Il portavoce ha continuato dicendo che puoi disattivare l’analisi nel menu delle impostazioni. Tuttavia, tra questo rapporto e la recente modifica apportata da LastPass per costringere gli utenti di livello gratuito a scegliere tra la sincronizzazione desktop e mobile, potrebbe essere il momento di passare a un’altra alternativa come Bitwarden o 1Password.

tramite Il Registro