O Google removeu vários apps da Play Store após a empresa de cibersegurança Avast ter identificado como “ provavelmente feitos por desenvolvedores russos para permitir que pessoas monitorassem funcionários, cônjuges ou crianças”, reportou a CNET nesta quarta-feira (17).
Os sete aplicativos — identificados como Track Employees Check Work Online Spy Free, Spy Kids Tracker, Phone Cell Tracker, Mobile Tracking, Spy Tracker, SMS Tracker, and Employee Work Spy — identificados pela Avast foram capazes de coletar informações, incluindo localização, contatos, registros de chamadas e o conteúdo de mensagens de texto.
De acordo com o Bleeping Computer, eles também eram capazes de interceptar mensagens enviadas em serviços de bate-papo criptografados, como WhatsApp e o Viber, se o dispositivo for alvo de root. A Avast diz que os sete aplicativos foram instalados mais de 130 mil vezes e incluíam instruções sobre como “desinstalar qualquer coisa perceptível ao proprietário do telefone”, tornando-os ideais para perseguição. Tudo o que fosse necessário para acessar o dispositivo em questão.
Um dos apps, Employee Work Spy, permitia que empregadores monitorassem os movimentos e atividades de suas equipes durante as horas de trabalho, segundo a Avast:
Descobrir um funcionário qualificado é só parte da tarefa. O grande desafio é mantê-lo fiel à empresa e à sua missão. Muitos funcionários podem estar apenas enrolando durante as horas de trabalho. É comum haver espionagem de crianças, mas funcionários precisam de um controle restrito.
O app Spy Tracker “se vendia” com a proposta de permitir que os pais mantivessem o controle total sobre as atividades de uma criança, observando que “é melhor conversar com as crianças, mas se você não for um bom ouvinte…[o app faz isso para você]”.
De acordo com a CNET, o Google removeu quatro apps na terça-feira (16) e os três restantes nesta quarta-feira, após o alerta da Avast e depois de determinar que eles violam as politicas da loja. Versões em cache da Play Store mostram que o Spy Tracker, por exemplo, tinha muitas avaliações de pessoas que instalaram no smartphone de seus cônjuges sem o consentimento delas. Outra página em cache do SMS Tracker contém uma resenha na qual um usuário afirma que o desenvolvedor é um “hacker profissional ético” antes de mencionar que o aplicativo o ajudou a “a acompanhar remotamente as mensagens do meu cônjuge”.
“Estes apps são altamente antiéticos e problemáticos para a privacidade das pessoas e não devem estar na Play Store, pois promovem comportamentos criminosos e podem ser usados de forma abusiva por empregadores, assediadores ou parceiros abusivos para espionar suas vítimas”, disse Nikolaos Chrysaidos, chefe de segurança móvel e inteligência da Avast, em um comunicado à CNET. “Alguns desses aplicativos são oferecidos como apps de controles para pais, mas suas descrições mostram algo diferente, dizendo aos usuários que o aplicativo permite que ‘fiquem de olho nos trapaceiros’.”
Como notado pelo Engadget, os apps eram apenas “moderadamente populares” e são facilmente detectáveis pelas ferramentas de segurança da Avast. No entanto, um artigo recente na MIT Technology Review destaca que que a prática de stalkerware está difundida. O pesquisador chefe de segurança da Kaspersky, David Emm, disse à revista que sua empresa identificou e removeu 58 mil instâncias de stalkerware em 2018, enquanto especialistas em abuso de parceiro dizem que os casos de perseguição e abuso doméstico envolvem rastreamento tecnológico:
O crescente papel da tecnologia no abuso de parceiros não se limita apenas ao stalkerware. A Refuge, uma organização de caridade que estuda violência doméstica, estima que cerca de 95% dos casos envolvem alguma forma abuso por meio da tecnologia, seja por meio de aplicativos de controle dos pais, para acompanhamento de funcionários ou até mesmo acompanhamento obsessivo da localização de um parceiro usando o Google Maps ou o Find My Friends. Conforme o mundo muda, os métodos dos abusadores também sofrem alteração.
Em 2017, o Motherboard informou que os vazamentos da SecureDrop fornecidos a eles por dois hackers mostraram que duas empresas de spyware, a Retina-X e a FlexiSpy, tinham aproximadamente 130 mil usuários.
“Pessoas acham que isto é um problema de nicho, mas isso não é verdade”, disse Rahul Chatterjee, cientista da computação e coautor de um estudo recente, que identificou centenas de apps que podem ser usados para vigilância de um parceiro íntimo, à MIT Technology Review. “Uma em três mulheres e um em seis homens [já tiveram algum tipo de relacionamento abusivo]. Isso representa milhões de pessoas, apenas nos EUA. Não podemos mais ignorar isso”.
O estudo relata que a Apple tem restrições no iOS (tanto no tipo de funcionalidade que a empresa permite na App Store como na dificuldade de obter apps em canais externos), tornando a vigilância remota mais difícil do que em dispositivos usando o sistema operacional Android, do Google. As funcionalidades dessas soluções variam de “rastreamento básico de localização e monitoramento de mensagens até mesmo a gravação secreta de vídeos”, segundo o New York Times, embora no iOS o acesso a dados que não sejam locais exigisse saber o nome do usuário e a senha do alvo. Um porta-voz do Google disse ao jornal que a empresa “restringiria ainda mais a promoção e a distribuição” de aplicativos que poderiam ser usados em perseguição.
Embora a vigilância digital de uma pessoa sem seu consentimento possa violar as leis por perseguição, escutas telefônicas ou hackeamento, diz o New York Times, houve poucos casos em que os desenvolvedores foram considerados os responsáveis. O jornal destacou um caso de 2014 no qual o Departamento de Justiça dos EUA acusou a empresa por trás de um aplicativo chamado StealthGenie sob as leis que proíbem a publicidade ou venda de dispositivos de interceptação clandestina — após o qual alguns desenvolvedores mudaram seus servidores para o exterior ou removeram a linguagem de marketing explicitamente afirmando que o app poderia ser usado para espionagem
Além da Avast e da Kaspersky, as empresas de segurança Symantec, Malwarebytes e Lookout disseram que vão intensificar os esforços para identificar stalkerwares, de acordo com a CNET.