¿Espían TikTok, Facebook o Instagram todo lo que haces con tu móvil?
Un investigador afirma que varias aplicaciones registran las teclas que pulsamos, lo que expone contraseñas o números de tarjetas de crédito
sara borondo
Martes, 30 de agosto 2022, 00:20
De vez en cuando resurgen las dudas sobre el acceso de algunas aplicaciones de móvil (sobre todo las relacionadas con redes sociales, como TikTok, Facebook o Instagram) a los datos de sus usuarios y lo que hacen con ellos. En este caso ha sido por la posibilidad de que estas apps registren, en su versión para iOS, todas las teclas que el propietario del teléfono pulsa cuando utiliza sus navegadores internos.
La liebre saltó a raíz del informe publicado en su blog por Felix Krause, creador de Fastlane, un conjunto de herramientas para automatizar procesos necesarios para publicar una app. En el post publicado el 10 de agosto titulado 'Privacidad de iOS: ¿Pueden Instagram y Facebook realizar un seguimiento de todo lo que hagas en cualquier web con el navegador que hay dentro de la app?', afirmaba que el hecho de que esas dos apps mostrasen los enlaces y anuncios de terceras empresas en un navegador propio suponía varios riesgos para los usuarios, ya que podían registrar todo lo que éstos escribiesen en el móvil mientras usaban esos navegadores (incluidas contraseñas, direcciones o números de la tarjeta de crédito sin el consentimiento del usuario).
La app de Instagram, apuntaba Krause, inyecta su código JavaScript en todas las webs visitadas, incluso en los anuncios, lo que permite tener acceso a todas las interacciones del usuario, cada botón y cada enlace que pulsa, el texto que selecciona, si realiza una captura de pantalla o si escribe algo en un formulario o un campo de texto, eso sí, únicamente mientras se esté utilizando el navegador que hay en la aplicación al abrir esos enlaces.
En iOS el usuario debe dar su consentimiento para que una app rastree sus datos. El navegador incluido en los dispositivos con iOS, Safari, bloquea por defecto las cookies de otras empresas y otros navegadores como Chrome tienen previsto eliminarlas este mismo año, mientras que Firefox ha anunciado su intención de evitar que se crucen datos de seguimiento entre páginas. Al día siguiente, Krause añadió un párrafo al post de su blog indicando que Meta -propietaria de Facebook e Instagram- cumplía las reglas ATT de transparencia en el seguimiento de aplicaciones de Apple y puntualizó que «esto no quiere decir que esas aplicaciones recojan los datos, sino que, técnicamente, podrían hacerlo».
Krause afirmaba en otra actualización del post que, tras haber planteado varias preguntas a Meta, la empresa reconoció que inyectaba ese JavaScript, pero para asegurarse de que se respetaban las elecciones del usuario según las mencionadas reglas ATT de Apple. Una respuesta que no acaba de satisfacer al experto.
TikTok también inyecta JavaScript, pero afirma que no usa la información
Una semana después, el 18 de agosto, Krause desgranaba que órdenes JavaScript inserta el navegador interno de TikTok en iOS, que abre cualquier enlace de la app dentro de su propio navegador: «Mientras interactúa con una web, Tiktok registra todo lo que se haga con el teclado, incluyendo claves o información de la tarjeta de crédito, y cualquier toque que se realice en la pantalla, como los botones y enlaces sobre los que el usuario pulsa». No es posible saber, apunta Krause, el uso que da TikTok a esta información, pero técnicamente equivale a instalar un 'keylogger', un código que realiza ese mismo seguimiento en un ordenador sin que lo sepa el usuario.
Este diario ha recabado la opinión de TikTok sobre este asunto y esta es la contestación de un portavoz de la empresa: «Las conclusiones del informe sobre TikTok son incorrectas y engañosas. El investigador indica específicamente que el código JavaScript no significa que nuestra aplicación esté haciendo algo malintencionado, y admite que no tiene forma de saber qué tipo de datos recoge nuestro navegador interno. Al contrario de lo que afirma el informe, no recopilamos combinaciones de teclas o entradas de texto a través de este código, que se utiliza únicamente para la depuración y solución de problemas y el análisis del rendimiento».
Para evitar la posibilidad de que una app rastree lo que se hace, Krause recuerda que la mayoría de aplicaciones con navegadores internos dan la opción de utilizar Safari y que ésta es lo más aconsejable. En los casos en los que no está el botón que lo permite, se puede copiar la URL del enlace, abrir Safari y pegarla en su barra de dirección.
