Додаток LastPass для Android містить 7 трекерів від сторонніх компаній 😬

Lastpass

Що стосується безпеки облікового запису, використання менеджера паролів, як правило, є хорошою ідеєю. Але що станеться, якщо менеджер паролів відстежує те, що ви робите, і навіть не повідомляє вам? За словами дослідника безпеки Майка Кукетца, додаток LastPass для Android має сім вбудованих трекерів, і LastPass може не знати, які дані вони збирають.

Як вперше помітив The Register, Кукетц використав інструменти Exodus Privacy для вивчення програми LastPass для Android і виявив сім трекерів, вбудованих у його код:

• AppsFlyer
• Google Analytics
• Google CrashLytics
• Google Firebase Analytics
• Менеджер тегів Google
• MixPanel
• сегмент

Хоча Exodus Privacy підтверджує наявність трекерів, це не гарантує, що вони щось зроблять. Тому Кукетц продовжив моніторинг мережі, створюючи новий обліковий запис LastPass. Він виявив, що додаток звертається до серверів майже кожного трекера, не запитуючи попереднього дозволу.

Подальша перевірка не свідчить про те, що трекери передали будь-які дані імені користувача або пароля, але, схоже, вони знають, коли користувач створює пароль і якого типу. Кукетц каже, що включення коду відстеження такого типу в менеджер паролів (або подібний додаток, орієнтований на безпеку) неприйнятно, оскільки розробники не можуть бути повністю обізнаними про те, що збирає код відстеження. Це тому, що трекери часто використовують власний код, який недоступний для перевірки.

Обсяг даних, здається, великий, розкриваючи інформацію про пристрій, який використовується, оператора мобільного телефону, тип облікового запису LastPass та ідентифікатор реклами Google користувача (використовується для з’єднання даних про користувача між додатками). Цих даних достатньо, щоб створити широкий профіль навколо найбільш приватної інформації, яку ви зберігаєте.

Відповідно до Exodus Privacy, інші менеджери паролів не використовують стільки трекерів. Bitwarden має два, RoboForm і Dashlane мають чотири, а 1Password не має жодного. Чому LastPass використовує так багато, незрозуміло.

У заяві для The Register речник LastPass сказав, що «… жодні конфіденційні персональні дані користувача або діяльність у сховищі не можуть передаватися через ці трекери». Речник сказав, що ви можете відмовитися від аналітики в меню налаштувань. Тим не менш, між цим звітом і нещодавньою зміною, внесеною LastPass, щоб змусити користувачів безкоштовного рівня вибирати між синхронізацією на комп’ютері та мобільному пристрої, можливо, настав час перейти до іншої альтернативи, як-от Bitwarden або 1Password.

через Реєстр