O rastreador de período Stardust compartilha dados de saúde dos usuários com empresa de análise, diz pesquisa da Mozilla

“Seus dados são privados. Ponto final”, diz o rastreador de período Stardust em seu site. Como descobriu uma nova pesquisa da Mozilla, alguns usuários podem achar que essa afirmação é um exagero.

De acordo com As últimas descobertas da Mozilla examinando as práticas de privacidade de aplicativos de monitoramento de período, descobriu-se que a Stardust estava compartilhando informações confidenciais de saúde dos usuários com a empresa de análise terceirizada RudderStack. Esses dados incluíam a data de nascimento do usuário, tipo de controle de natalidade, objetivos reprodutivos e sintomas específicos que o usuário estava enfrentando, e vinculavam esse registro a um identificador exclusivo no lugar do nome da pessoa. (A FTC há muito avisado que isso não torna os dados anônimos nem impede que sejam vinculados a uma pessoa.)

A pesquisa da Mozilla ressalta os riscos de segurança e privacidade associados ao uso de monitoramento menstrual e outros aplicativos de saúde que compartilham dados com terceiros. Muitas vezes, isso acontece como atividade em segundo plano no aplicativo e não é visível para o usuário. Não é incomum que os aplicativos compartilhem dados com outros serviços para armazenamento, análise e pagamentos, mas compartilhar informações dos usuários com terceiros traz inerentemente riscos, como possíveis falhas de segurança, violações de dados ou ter os dados procurados pelas autoridades.

O TechCrunch escreveu anteriormente sobre Stardust em 2022, depois que o aplicativo aumentou em downloads após a derrubada do direito constitucional de fazer um aborto nos Estados Unidos. A Stardust alegou que era criptografado de ponta a ponta – o que significa que nem mesmo a empresa poderia acessar os dados de seus usuários – mas o TechCrunch descobriu analisando o tráfego de rede do aplicativo que a alegação da empresa era falsa.

A pesquisadora de segurança da Mozilla, Shoshana Wodinsky, usou uma técnica semelhante de análise do tráfego de rede de vários rastreadores de período, incluindo Stardust, para entender como os aplicativos coletavam e compartilhavam dados (se é que o faziam) com terceiros. Wodinsky descobriu que o Stardust era o único aplicativo dos seis testados que compartilhava dados confidenciais de saúde do usuário com outra empresa.

Como citado por Notícias da BBCum porta-voz da Stardust disse que o RudderStack está “contratualmente proibido de vendê-lo ou usá-lo para seus próprios fins”. Como empresas sediadas nos EUA, tanto a Stardust quanto a RudderStack ainda podem receber demandas de informações dos usuários por parte das autoridades policiais para obter informações de saúde dos usuários armazenadas em seus servidores.

A fundadora da Stardust, Rachel Moranis, não respondeu ao pedido de comentários do TechCrunch na quinta-feira, nem às perguntas sobre se a empresa recebeu demandas pelos dados de seus usuários. Um porta-voz acusou o recebimento de um e-mail, mas não fez comentários.

Dos seis aplicativos testados por Wodinsky, a Mozilla recomendou o Euki como “completamente limpo”, já que o aplicativo não compartilhava nenhum dado com terceiros com seus recursos principais e os dados de saúde do usuário não saíam do dispositivo.