Mercado Secreto Avast. Como os antivírus vendem seu histórico de navegação

Uma subsidiária do desenvolvedor de antivírus Avast vendeu todos os termos de pesquisa. Cada clique. cada compra. de cada site. Entre seus clientes estavam Google, Microsoft, Pepsi e outros.

Este episódio ocorreu há um ano. Após uma investigação, a Avast declarou que pararia de coletar dados para o Jumpshot e todas as transações com ele com urgência. Traduzimos esta emocionante história na íntegra e convidamos você a ler e tirar suas próprias conclusões.

Usado por milhões de pessoas em todo o mundo, o antivírus Avast vende dados confidenciais de seus usuários para grandes empresas, descobriu uma investigação conjunta da Motherboard e da PCMag . Documentos internos vazados provam o comércio de dados altamente confidenciais, incluindo o histórico do navegador dos usuários.

Documentos de uma subsidiária da Avast chamada Jumpshot esclarecem o comércio secreto e as cadeias de suprimentos dos históricos de navegação dos usuários. Eles mostram que depois de instalar o Avast em seu computador, ele começa a coletar dados e os transfere para o Jumpshot, após o que são vendidos para muitas empresas globais como Google, Yelp, Microsoft, McKinsey, Pepsi, Home Depot, Condé Nast, Intuit e outros. Algumas dessas empresas pagam milhões de dólares para receber dados sobre cada clique que você faz, o que lhes permite analisar seu comportamento online.

Avast tem uma base de usuários de aproximadamente 435 milhões de usuários e 100 milhões de dispositivos. Todos eles assinaram um contrato de usuário para coletar dados, mas alguns dos usuários disseram ao Motherboard e ao PCMag que não sabiam quais dados estavam sendo coletados ou que estavam sendo coletados. Surge a pergunta: quão bem informados estavam os usuários?

De que tipo de dados estamos falando? Sobre as pesquisas do Google, navegação no site, coordenadas GPS do Google Maps, visitas ao LinkedIn, YouTube e sites pornográficos. Embora esses dados não contenham nenhum nome, os usuários podem ser facilmente identificados com base neles.

A Jumpshot afirmou em julho que estava divulgando os dados para dar aos profissionais de marketing uma compreensão mais profunda do mercado online. A Jumpshot já listou publicamente alguns de seus clientes como Expedia, IBM, Intuit, TurboTax, Loreal e Home Depot. Os funcionários foram aconselhados a não falar publicamente sobre o relacionamento da Jumpshot com essas empresas.

Até recentemente, o Avast coletava dados usando uma extensão de navegador criada para restringir o acesso a sites maliciosos. O pesquisador de segurança cibernética e criador do AdBlock Plus, Vladimir Palant, publicou um post no blog sobre isso. Um pouco mais tarde, Mozilla, Opera e Google Chrome removeram essa extensão de seus navegadores. A Avast explicou anteriormente essa coleta e compartilhamento de dados em um blog e fórum em 2015. Desde então, a Avast prometeu parar de enviar dados de navegação coletados por essas extensões para o Jumpshot, disse a Avast em comunicado à Motherboard e à PCMag.

No entanto, a coleta de dados continuou. Se o Avast fazia isso por meio de uma extensão de navegador, agora começou a fazer por meio de seu antivírus

A Motherboard e a PCMag contataram mais de duas dezenas de empresas mencionadas em documentos internos. Poucos responderam a perguntas sobre o que fazem com os dados baseados no histórico de pesquisa dos usuários do Avast.

“Às vezes, usamos informações de fornecedores terceirizados para melhorar nossos negócios, produtos e serviços. Exigimos que esses provedores tenham os direitos apropriados para compartilhar essas informações conosco. Nesse caso, recebemos dados de usuários anônimos que não podem ser usados ​​para identificar clientes individuais", escreveu um porta-voz da Home Depot em um comunicado por e-mail.

A Microsoft se recusou a comentar os detalhes de por que comprou dados da Jumpshot, mas disse que atualmente não tem relacionamento com a empresa. A Southwest Airlines disse que discutiu a possibilidade de trabalhar com a Jumpshot, mas as empresas não chegaram a um acordo. A IBM disse que não era um cliente e a Altria disse que também não funcionou com o Jumpshot, embora não tenha especificado se funcionou anteriormente. A Sephora afirmou que não funciona com o Jumpshot. O Google nunca respondeu ao pedido.

Em seu site e em comunicados à imprensa, a Jumpshot nomeia a Pepsi e as gigantes da consultoria Bain & Company e McKinsey como clientes. Ele também lista alguns exemplos do uso de dados do histórico de navegação na web. A editora e gigante da mídia digital Condé Nast, por exemplo, usou os produtos da Jumpshot para ver se a publicidade da empresa resultava em mais vendas na Amazon e em outros lugares.

Feed de todos os cliques

Isso não é tudo, havia outro produto Jumpshot chamado All Click Feed. Ele permite que você compre informações sobre todos os cliques que o Jumpshot registrou em um domínio específico, como Amazon.com, Walmart.com, Target.com, BestBuy.com ou Ebay.com.

Os dados do Jumpshot podem mostrar como alguém com o Avast instalado em seu computador pesquisou um produto no Google, clicou em um link para a Amazon e possivelmente adicionou o item ao carrinho de compras em algum outro site antes de fazer uma compra.

De acordo com uma cópia do contrato da Jumpshot, uma das empresas que comprou o All Clicks Feed é a empresa de marketing Omnicom Media Group, com sede em Nova York. O Jumpshot deu à Omnicom acesso a todos os cliques de usuários em 14 países diferentes, incluindo EUA, Inglaterra, Canadá, Austrália e Nova Zelândia. Os dados também incluíam o gênero estimado dos usuários, sua idade estimada e uma "string de URL completa", mas com as informações pessoais removidas, diz o contrato.

De acordo com o contrato com a Omnicom, o "ID do dispositivo" de cada usuário é criptografado, o que significa que a empresa que compra os dados não precisa ser capaz de identificar exatamente quem está por trás de cada visualização. Em vez disso, os produtos Jumpshot devem ajudar as empresas a descobrir quais produtos são particularmente populares ou quão eficaz é sua campanha publicitária.

Mas os dados do Jumpshot podem não ser completamente anônimos. O guia interno do produto afirma que os IDs de dispositivo não mudam por usuário, a menos que o usuário desinstale e reinstale completamente o software de segurança. Numerosos artigos e estudos acadêmicos mostraram como a identidade de uma pessoa pode ser conhecida usando dados supostamente anônimos. Isso foi confirmado por repórteres do New York Times em 2006 e por pesquisadores da Universidade de Stanford em 2017.

A deanonimização se torna um problema muito maior quando você considera que os usuários finais dos dados do Jumpshot podem combiná-los com seus próprios dados.

“A maioria das ameaças representadas pela desanonimização vem da capacidade de combinar informações com outros dados.”

Um registro de data e hora com precisão de milissegundos pode permitir que uma empresa com seu próprio banco de dados de clientes veja um usuário visitar seu próprio site e depois segui-lo por outros sites usando o Jumpshot.

“É quase impossível despersonalizar os dados”, disse Eric Goldman, professor da Escola de Direito da Universidade de Santa Clara.

Jornalistas da Motherboard e da PCMag fizeram à Avast uma série de perguntas detalhadas sobre como ela protege o anonimato do usuário, bem como detalhes de alguns dos contratos da empresa. A Avast não respondeu à maioria das perguntas, mas escreveu em um comunicado: “Através de nossa abordagem, garantimos que o Jumpshot não receba nenhuma informação de identificação, incluindo nome, endereços de e-mail ou detalhes de contato, de pessoas que usam nosso popular software antivírus gratuito”.

“Temos uma vasta experiência na proteção de dispositivos e dados dos usuários contra malware, e entendemos e levamos a sério a responsabilidade de equilibrar a privacidade do usuário com o uso necessário dos dados”, disse o comunicado.

A empresa também disse que cumpre a Lei de Privacidade do Consumidor da Califórnia (CCPA) e o Regulamento Europeu de Proteção de Dados (GDPR) para toda a sua base de usuários.

Quando o editor PCMag instalou pela primeira vez o produto antivírus Avast, o programa realmente perguntou se eles queriam participar da coleta de dados.

“Se você der permissão, concederemos à nossa subsidiária Jumpshot Inc. coleta de dados não identificados obtidos de seu histórico de navegação para permitir que a Jumpshot analise mercados e tendências de negócios e colete outras informações valiosas”, no entanto, a janela pop-up não disse nada sobre como a Jumpshot usa esses dados.

UPD: resposta oficial da Avast

“O Avast encerrou o Jumpshot em janeiro de 2020, encerrando assim as transferências de dados. Nosso objetivo é tornar a Internet mais segura e proteger as informações pessoais das pessoas. Portanto, em 2020, tomamos medidas para melhorar a proteção de dados, contratando um Chief Privacy Officer que continua a conduzir nossa estratégia de proteção de dados e compartilha experiências com organizações como TOR e o Future of Privacy Forum. Nossa política de privacidade foi certificada pela TRUSTe. No futuro, continuaremos a tomar medidas para garantir a privacidade do usuário.”

Cortesia de Vice e PCMag Imagem da capa
: Monika Kovacs