Tag: Privacidade ⁄ Página: 7 ⁄ Manual do Usuário

Tendo a Meta como grande expoente — a dona do Facebook e autora de práticas abusivas e continuadas de extração de dados pessoais dos usuários —, a privacidade em ambientes de realidade virtual (~metaverso) passa a ser um tema relevante.

Pesquisadores da Universidade de Stanford conseguiram identificar pessoas no mundo real a partir de dados extraídos de sessões curtas de realidade virtual, que não chegam a somar cinco minutos. Dos 511 participantes, 95% foram identificados. (Link para o paper, em inglês.)

Meta e HTC (fabricante do headset Vive) reservam a si mesmas o direito de compartilhar dados “anonimizados” com terceiros. Isso acende um alerta, pois de anônimos esses dados não têm nada, como demonstra o estudo.

Trata-se de mais um estudo que coloca em xeque as técnicas e garantias de anonimização, artifício usado de forma recorrente por empresas de tecnologia para repassarem dados dos usuários a terceiros. Via TechDirt (em inglês).

22/2/20231

Quando você troca de número de celular, o Telegram não remove automaticamente o número antigo. Paula Gomes, chapa deste Manual do Usuário, descobriu isso da pior maneira possível.

Ela trocou de número de celular e, um tempo depois, alguém que comprou um chip que seu número antigo, “reciclado” pela operadora, ganhou acesso à sua conta no Telegram. A pessoa “saiu de uns grupos, entrou em outros e adicionou contatos”, relatou no Twitter.

O Telegram menciona esse cenário, da troca de número, em sua documentação. O texto é confuso. Há três possibilidades: descartar o número antigo, mantê-lo enquanto outro é usado temporariamente (durante uma viagem internacional, quando o usuário troca o seu chip por um local) e continuar usando ambos os números.

Aparentemente (não entendi muito bem), se você se autentica com o novo número em sua conta antiga, os dois números, antigo e novo, ficam vinculados à mesma conta. Para remover o antigo, é preciso acessar as configurações e removê-lo manualmente.

Como o login não depende necessariamente do número de telefone, muitas pessoas não se atentam a isso. Talvez achem que a lógica do WhatsApp, que não vincula mais de um número à mesma conta e exclui contas antigas vinculadas a números desativados depois de feita a migração para o novo, valha para o Telegram também, o que não é verdade.

(O modelo do Telegram, que prioriza a disponibilidade em múltiplos dispositivos, abre algumas brechas do tipo. Deltan Dalagnol que o diga…)

Bom, fica a dica. Outra medida útil para evitar situações como a que a Paula passou é ativar a senha do Telegram (autenticação em dois fatores). Nesse caso, mesmo que alguém herde seu número antigo e ele ainda esteja vinculado à sua conta no Telegram, essa pessoa não conseguirá acessá-la sem a senha.

15/2/20236

A Apple enviou ao AppleInsider um posicionamento a respeito da suspeita de que aplicativos como o iFood poderiam ter explorado uma falha no iOS e acessado a localização do iPhone sem autorização.

A empresa negou esse cenário e deu mais detalhes da falha corrigida no iOS 16.3. Segundo a Apple, ela só podia ser explorada em aplicativos fora da “sandbox” no macOS, mas foi propagada para os outros sistemas da casa mesmo assim, ainda que “eles nunca tenham estado em risco”.

Segue abaixo o comunicado oficial (tradução minha):

Na Apple, acreditamos firmemente que os usuários devem escolher quando compartilhar seus dados e com quem. Semana passada, emitimos um alerta para uma vulnerabilidade de privacidade que só poderia ser explorada a partir de aplicações “unsandboxed” no macOS. A base de código que corrigimos é compartilhada pelo iOS e iPadOS, tvOS e watchOS, portanto a correção e o alerta foram propagados para esses sistemas operacionais também, apesar do fato de que eles nunca estiveram em risco.

A sugestão de que esta vulnerabilidade poderia ter permitido que aplicativos burlassem os controles do usuário no iPhone é falsa.

Um relato também sugeriu incorretamente que um aplicativo iOS estava explorando esta ou outra vulnerabilidade para burlar o controle do usuário sobre os dados de localização. Nossa investigação concluiu que o aplicativo não estava burlando os controles do usuário através de nenhum mecanismo.

Só fica a dúvida do que aconteceu no iPhone do Guilherme. Terá sido um “glitch” (uma falha na interface do iOS)?

Via AppleInsider (em inglês).

11/2/2023

Atualização (11/2): A Apple emitiu um posicionamento ao AppleInsider negando que a falha mencionada abaixo tenha sido explorada e que o iFood tenha burlado os controles de privacidade do iOS.

O leitor Guilherme Teixeira notou algo estranho em seu iPhone no início de janeiro: o aplicativo do iFood estava acessando a localização do aparelho sem ter permissão para tal.

Quando Guilherme compartilhou essa curiosidade no nosso grupo do Telegram (para apoiadores), ficamos intrigados. Outro leitor respondeu: “iFood passando a perna na Apple.” Parece loucura. Mas… será?

Imagens: Guilherme Teixeira/Reprodução.

É uma hipótese reforçada pelas notas de lançamento do iOS 16.3, liberado pela Apple no dia 23 de janeiro. Entre outras, ela lista a falha CVE-2023-23503, submetida por um pesquisador anônimo, que permitia que um aplicativo conseguisse “ignorar as preferências de privacidade [do Maps]”.

A falha está em modo “reservado” no banco de dados do sistema CVE, ou seja, os detalhes ainda não foram publicados.

Guilherme disse que, depois que reiniciou o iPhone, o aplicativo do iFood voltou ao normal, ou seja, antes do iOS 16.3 ser disponibilizado.

Pode ter sido outra coisa? Uma falha pontual? Um erro de exibição do iOS? Pode. Mas que é uma estranha coincidência, isso é.

O Manual do Usuário entrou em contato com a assessoria de imprensa do iFood pedindo um posicionamento. Eles receberam a demanda, pediram mais detalhes e mais prazo, que foi concedido, mas o posicionamento ainda não havia chegado até a publicação desta nota. O post será atualizado assim que ele chegar.

Atualização (1/2, às 17h30): Segue o posicionamento do iFood na íntegra:

O iFood reforça que a segurança de dados é prioridade em seu negócio e na relação com os consumidores, entregadores e restaurantes. Os dados coletados são utilizados apenas para as finalidades previstas em nossa Declaração de Privacidade.

Neste caso, após análise minuciosa pela equipe de tecnologia, não foi identificado nenhum código no aplicativo iFood que permite o acesso a localização do usuário sem autorização, mas ainda assim, a empresa permanece à disposição para esclarecer qualquer dúvida referente ao assunto ou qualquer suposta falha, de modo a contribuir para trazer mais segurança à plataforma.

Presente em mais de 1700 cidades no Brasil e referência em delivery online, o iFood realiza investimentos constantes em segurança, tecnologia e monitoramento para identificação e correção de possíveis falhas e melhoria contínua do aplicativo.

31/1/2023

Não acho que [a API de tópicos] seja a respeito dos cookies de terceiros — é sobre vigilância na web e rastreamento. Se removermos os cookies de terceiros e substitui-los com algo que tem os mesmos problemas, então não é ok.

— Amy Guy, do Grupo de Arquitetura Técnica do W3C.

A API de tópicos é a última aposta do Google para substituir os cookies de terceiros no Chrome como aparato de vigilância para o seu negócio de publicidade segmentada. O W3C, em reunião realizada em 10 de janeiro, analisou e rejeitou a proposta. O Google se pronunciou; disse que seguirá em frente mesmo com o revés.

Quando uma empresa de publicidade desenvolve um navegador web, não surpreende que a prioridade seja usá-lo para devassar a privacidade dos usuários. Felizmente o W3C e outros navegadores (WebKit/Safari, Firefox) estão combatendo com afinco essa aberração. Via Insider (em inglês).

18/1/20233

Privacidade é ok

11/1/20239

por Tim Bray

Nota do editor: Vez ou outra alguém sugere criar exceções à criptografia de ponta a ponta de aplicativos como Signal e WhatsApp a fim de combater a criminalidade. É uma ideia bem ruim. O texto abaixo é a resposta de Tim Bray a mais um desses pedidos inócuos. Mesmo parte de um debate norte-americano, achei-a bem embasada e válida no nosso contexto, por isso a trouxe para cá.

Detesto escrever um artigo apenas para dizer que Alguém Está Errado na Internet, mas o de Reid Blackman, “Signal e o perigo da privacidade a todo custo” (em inglês, no New York Times), não está apenas errado: ele é, também, perigosamente enganoso. Ainda não vi uma explicação breve do porquê, então aqui vai uma.

(mais…)

Extensão Privacy Redirect para Safari

11/1/20238

“Sair do Twitter” não significa ignorá-lo por completo. Na cobertura do Manual e até mesmo em trocas de mensagens com amigos e familiares, vez ou outra aparece um link para lá.

Foi numa dessas situações que lembrei da extensão Privacy Redirect, que redireciona links de redes sociais comerciais para front-ends alternativos focados em privacidade. No caso do Twitter, o Nitter.

Se você usa Chrome ou Firefox, ótimo: a extensão é gratuita, só instalar e apontar quais serviços deseja que sejam redirecionados.

No caso do Safari, desconhecia alternativa. Aí fiz uma pesquisa e descobri que, em agosto de 2021, alguém lançou uma versão da Privacy Redirect para o navegador da Apple. Custa R$ 10,90, mas… né, o que não custa alguns reais nas plataformas da Apple?

Para começar bem o ano, a Meta foi multada pela União Europeia (UE) em € 390 milhões (~R$ 2,25 bilhões) e obrigada a, em três meses, obter o consentimento dos usuários do bloco para continuar exibindo publicidade segmentada baseada em dados pessoais.

As decisões (duas, uma para o Facebook, outra para o Instagram) decorrem de reclamações feitas em 2018 pela noyb, uma organização europeia sem fins lucrativos de direitos digitais, representando a Áustria e a Bélgica. Foi justo quando o GDPR, lei de proteção de dados pessoais da UE, passou a valer.

A Meta, na ocasião, inseriu uma cláusula referente à publicidade em seus termos de uso atualizados a fim de burlar a obrigação, imposta pelo GDPR, de obter o consentimento dos usuários para usar seus dados pessoais na segmentação de publicidade.

Agora, o Conselho de Proteção de Dados da Europa (EDPB, na sigla em inglês), decidiu que a manobra foi ilegal. Por isso, além da multa, a Meta terá que obter o consentimento explícito dos usuários para continuar exibindo publicidade baseada em seus dados pessoais.

A decisão reverte uma mais branda tomada anteriormente pela Comissão de Dados Pessoais (DPC) da Irlanda, onde fica a sede europeia da Meta. As multas somavam pouco mais de € 60 milhões (~R$ 350 milhões).

E pode piorar (ou melhorar, né?): segundo a noyb, há uma terceira decisão pendente, referente ao WhatsApp, feita em nome da Alemanha. Ela deve ser divulgada na semana que vem.

A Meta disse em nota que discorda das decisões e que vai recorrer. Via noyb (em inglês).

5/1/20231

A SPTrans deu um presentão de Natal a 13 milhões de usuários do sistema de transporte público da capital paulista. Na última sexta (23), a responsável pelo sistema do Bilhete Único avisou que os dados pessoais de toda essa gente vazaram.

Vazaram nome, nome social, data de nascimento, CPF, RG, endereço, número de telefone, filiação, PIS, matrícula de aluno, estado civil, naturalidade, sexo, e-mail, além de login e senha do portal de serviços da SPTrans na internet.

O evento ocorreu em abril de 2020, mas só agora, dois anos e meio depois, foi descoberto após a troca da equipe de segurança. De acordo com a SPTrans, o vazamento decorreu de um “crime cibernético”. A empresa comunicou a ANPD e a Polícia Civil de São Paulo, e, segundo uma advogada especializada em LGPD ouvida pelo Diário do Transporte, terá que provar que não contribuiu ou deu brecha à invasão.

Como mitigações, a SPTrans está avisando os usuários afetados por e-mail e “orienta” a troca de senhas. Os bilhetes continuam valendo e não há necessidade dos usuários procurarem postos de atendimento. Via Diário do Transporte (2).

28/12/20227

Criptografia de ponta a ponta no iCloud vem aí — e é algo grande

9/12/20223

Em agosto de 2021, a Apple anunciou um plano em que passaria a analisar fotos marcadas para serem enviadas ao iCloud em busca de imagens ilegais, de abusos sexuais contra crianças, nos dispositivos (iPhones, iPads e Macs) dos usuários.

A notícia caiu como uma bomba nos círculos que debatem a privacidade digital. Embora tivesse fim nobre, a iniciativa foi duramente criticada: naquela situação, o fim talvez justificasse a bisbilhotagem das fotos dos usuários, mas e quando esse fim fosse… menos nobre? E se um governo autoritário exigisse que a Apple identificasse manifestantes?

(mais…)

A Apple anunciou três novos ótimos recursos de segurança/privacidade para o iCloud, incluindo a “Proteção Avançada de Dados” que, ao ser ativada, expande a criptografia de ponta a ponta para quase tudo salvo na nuvem da empresa — backups do iOS, fotos, notas e tudo mais; só ficam de fora e-mail, agenda de compromissos e contatos, por usarem protocolos abertos incompatíveis com a criptografia de ponta a ponta.

Isso significa que em contas com a Proteção Avançada de Dados ativada, nem mesmo a Apple poderá acessar os dados armazenados em seus servidores.

Por isso, o recurso é “opt-in”, ou seja, desativado por padrão: ao ativá-lo, o suporte da Apple perde a capacidade de “resetar a senha” em caso de esquecimento.

Outra novidade legal é o suporte a chaves de segurança físicas, como as YubiKeys. O comunicado à imprensa deixa subentendido que isso permitirá desativar o número de telefone como segundo fator de autenticação.

A terceira novidade é uma verificação de contatos para o iMessage, o tipo de coisa que só é importante nos Estados Unidos, onde o aplicativo é usado.

Todos os três recursos serão disponibilizados no mundo inteiro no início de 2023. Via Apple (em inglês).

7/12/20222

Morreu neste domingo (4) o advogado e especialista em proteção de dados Danilo Doneda. Ele tinha 52 anos e deixa esposa e três filhos. Segundo a Folha de S.Paulo, Danilo lutava contra um câncer no intestino há três meses.

Doutor em Direito pela Universidade Estadual do Rio de Janeiro (UERJ), Danilo fez parte do seu doutorado na Itália, onde trabalhou ao lado de Stefano Rodotà, na Autoridade de Proteção de Dados do país europeu.

No Brasil, envolveu-se em projetos-chaves da área, como a aprovação do Marco Civil da Internet, em 2014, da Legislação Geral de Proteção de Dados Pessoais (LGPD) e, mais recentemente, da proposta de substitutivo para a regulação da inteligência artificial no Brasil.

Lecionou em diversas universidades e, sempre solícito, aparecia com frequência na imprensa compartilhando seu conhecimento e opiniões acerca da privacidade de dados. A este Manual, falou numa pauta sobre “cookie pools” em 2018. Via Folha de S.Paulo, Uol Tilt.

5/12/20222

Defender a privacidade dos usuários é uma posição que vai além do discurso. É estrutural. Vide este caso do Telegram na Índia, onde o aplicativo entregou à Justiça os dados de administradores de canais suspeitos de pirataria — nomes, números de telefone e endereços IP. O processo foi movido por uma professora, Neetu Singh, que teve seus materiais de estudo, que ela vende, pirateados e revendidos em canais do Telegram.

O caso ilustra bem desafios e falhas de privacidade no modelo do Telegram, algo que Pavel Durov, CEO do Telegram, costuma ignorar quando argumenta que o Telegram seria o aplicativo de mensagens mais privado do mercado.

Quando a Justiça de um país faz uma demanda, a empresa detentora do aplicativo não pode se negar a cumprir a ordem. A única saída que ela tem para não atender à exigência é não possuir os dados pedidos.

Que é o que o Signal faz. Em duas ocasiões, a Justiça dos Estados Unidos solicitou dados de usuários do Signal. Em ambas, ficou sem porque o Signal não coleta dados dos usuários. Da última vez, em abril de 2021:

É impossível entregar dados a que nunca tivemos acesso. O Signal não tem acesso às suas mensagens; sua lista de conversas; seus grupos; seus contatos; suas figurinhas; seu nome ou avatar; nem mesmo aos GIFs que você pesquisa. Por isso, nossa resposta a essa intimação parecerá familiar. É o mesmo conjunto de “Informações da Conta e do Assinante” que entregamos em 2016 [no outro caso do tipo]: registro do dia e horário em formato Unix de quando cada conta foi criada e a data em que elas se conectaram pela última vez ao serviço do Signal.

Via TechCrunch (em inglês).

2/12/20224

LGPD, LAI e o blecaute de transparência do Governo Bolsonaro

1/12/20224

por Guilherme Felitti

Conta o mito que cerca de 750 antes de Cristo dois gêmeos foram abandonados pela mãe nas margens do rio Tibre, na Itália, após o pai mandar matá-los. Segue a lenda que aquele rio tinha um deus específico chamado Tiberino que salvou os gêmeos da morte e permitiu que, mais tarde, uma loba os encontrasse no meio do mato e os alimentassem. O leite da loba garantiu que Rômulo e Remo sobrevivessem até que um pastor os adotassem.

(mais…)

O acordo entre Serpro e DrumWave, startup que quer criar “carteira de dados pessoais” no Brasil

28/11/20225

No dia 19 de novembro, o Painel da Folha de S.Paulo veiculou uma breve entrevista com André Vellozo, fundador da DrumWave, empresa com sede nos Estados Unidos que, segundo o texto, “desenvolveu uma plataforma que promete transformar os dados pessoais de qualquer pessoa em dinheiro” e está prestes a entrar no mercado brasileiro.

Chamou a atenção uma resposta de André em que ele afirma já ter assinado “um contrato com a Serpro, a maior empresa pública de tecnologia do mundo”.

A entrevista não se aprofunda no assunto, então entrei em contato com o Serpro para tentar entender os detalhes do contrato.

(mais…)

Pesquisadores identificam usuários “anônimos” de óculos de realidade virtual com menos de cinco minutos de dados

Ao trocar de número de celular, cuidado para não deixar sua conta no Telegram exposta

Apple afirma que iFood não burlou controle de privacidade de localização

O iFood estava burlando a privacidade de localização do iPhone?

Europa multa Meta em € 390 milhões e obriga empresa a obter consentimento de usuários

Vazamento de dados pessoais de 13 milhões de usuários do Bilhete Único em São Paulo

Apple anuncia criptografia de ponta a ponta para iCloud e suporte a chaves de segurança

Morre Danilo Doneda, advogado referência em proteção de dados no Brasil

Telegram entrega dados de usuários à Justiça da Índia. E a privacidade?