Sistema de permissões do Gmail pode expor mensagens a terceiros

O Gmail permite que desenvolvedores terceiros, com autorização (mas sem o conhecimento pleno) do usuário, leiam seus e-mails pessoais.

Não é algo novo, mas às vezes é preciso alguém que toque na ferida para nos relembrar disso. No caso, Douglas MacMillan, do Wall Street Journal. Ele conversou com mais de 20 fontes de empresas que desenvolvem aplicativos que se conectam ao Gmail e descobriu que o sistema de permissões do serviço de e-mails mais popular do planeta tem problemas.

Desde 2014, o Google trata o Gmail como uma plataforma. É bem parecido com o que o Facebook faz — e viabilizou o escândalo da Cambridge Analytica —, ou seja, o Gmail permite que desenvolvedores externos se conectem a partes limitadas da conta de um usuário em troca de recursos, vantagens e apps.

Apps que prometem limpar a caixa de entrada de assinaturas de newsletters indesejadas (o Unroll, por exemplo), clientes de e-mail com funções extras e serviços que complementam dados de contatos estão entre os que podem se conectar ao Gmail e ter acesso a dados sensíveis do usuário.

Uma das empresas consultadas pelo WSJ, a Return Path de Nova York, trabalha fornecendo dados comerciais extraídos automaticamente de e-mails das caixas de dois milhões de usuários. Ela oferece apps próprios e tecnologia para 163 parceiros. Há dois anos, a empresa detectou que o algoritmo estava confundindo e-mails pessoais com comerciais. Para treiná-lo, empregou dois funcionários que analisaram oito mil mensagens manualmente, etiquetando cada uma delas. Essa prática é comum. Inteligências artificiais precisam ser “treinadas”, ou seja, aprenderem pelo exemplo, dado por seres humanos, para replicar as “regras” em quantidades maiores de dados. (Leia isto para entender melhor.)

Os termos de uso do Google, que abrangem o Gmail, proíbem a exibição de dados privados do usuário sem o consentimento explícito. É algo tão disseminado que se tornou, nas palavras de Thede Loder, CEO da eDataSource, uma concorrente da Return Path, um “segredo sujo” da indústria. Os desenvolvedores consultados na reportagem dizem que o Google pouco faz para fazer valer essas restrições. O Google nega e diz fazer uma verificação prévia do domínio que requisita acesso ao sistema de permissões do Gmail. A empresa também publicou um post, em seu blog oficial, detalhando o funcionamento do sistema de permissões do Gmail.

Em 2017, o Google interrompeu a análise automatizada de mensagens do Gmail para exibição de anúncios, uma prática que nasceu com o serviço e fora alvo de críticas desde o início, entre outras coisas além do óbvio desconforto, por ser usada em contas de estudantes. O Gmail é o serviço de e-mail mais popular do planeta, com 1,4 bilhão de usuários — é mais gente que os 25 serviços seguintes combinados.

O Google informou, ainda, que o usuário pode revogar a permissão de um app a qualquer momento. Isso não exclui dados que o desenvolvedor tenha coletado até então, porém.

Para verificar quais apps têm acesso à sua conta no Gmail — e a outros serviços atrelados à conta no Google —, acesse esta página. Nela, também é possível revogar essas permissões.

Imagem do topo: Earny/Reprodução.