Aparelhos inteligentes: armadilhas para capturar dados pessoais e de utilização

Equipamentos tão populares como televisores, colunas de som, fritadeiras e videoporteiros já têm versões, ditas inteligentes, que podem ser ligadas à rede wi-fi e comandadas à distância com uma app instalada no smartphone.

O exército de maquinaria conectada faz-nos ganhar as batalhas do conforto e da conveniência. Mas a vitória paga-se com dados pessoais e de utilização, quase sempre recolhidos e transmitidos a terceiros, que com eles constroem perfis, entre outros, para o envio de publicidade direcionada.

Como se não bastasse, alguns dispositivos acusam vulnerabilidades que podem pôr em risco a segurança física dos utilizadores. Imagine que um videoporteiro está ligado ao wi-fi doméstico e que um ciberpirata consegue aceder à rede e desligá-lo ou alterar as credenciais de login.

Parece ficção, mas estes são alguns dos resultados obtidos pela DECO PROteste, em anos recentes, por via dos testes que tem conduzido para aferir a segurança de aparelhos inteligentes. Por vezes, nem são precisas sofisticadas habilidades para desferir os ataques, tal o descaso dos fabricantes com a segurança dos seus produtos.

A organização de consumidores voltou a pôr à prova aparelhos conectados de uso comum. E as conclusões confirmam a tendência, ainda que as falhas detetadas sejam agora menos graves.

Aparelhos conectados não respeitam o RGPD

O estudo da DECO PROteste revela práticas preocupantes de grandes marcas, com destaque para a falta de transparência na recolha e na partilha de dados, o rastreamento abusivo do perfil dos utilizadores e o pedido de permissões e informações desprovidas de justificação técnica. Conclusões que confirmam uma tendência que, de teste para teste, não dá sinais de abrandar.

O negócio dos aparelhos conectados, para as marcas, não se esgota aquando da venda. Continua a ser alimentado com os dados dos utilizadores, que, muitas vezes, dão permissões para que a sua informação pessoal seja recolhida sem se aperceberem.

A falta de transparência das marcas choca com o Regulamento Geral sobre a Proteção de Dados (RGPD). Este estipula que o utilizador tem de receber informação clara sobre a natureza dos dados recolhidos e o tratamento a que são sujeitos.

O consentimento do utilizador para a recolha deve ser explicitamente dado e pode sempre ser retirado. Pouco ou nada disto acontece, seja em marcas consagradas ou ilustres desconhecidas. O que converte o RGPD em letra morta, no universo paralelo da Internet das Coisas.

Dispositivos IoT pouco transparentes na recolha e partilha de dados

A maioria dos 13 dispositivos examinados exigem a criação de conta para funcionarem, mesmo se tecnicamente desnecessária. As exceções são a coluna bluetooth Bose e a iluminação Philips Hue. A Google, com o termóstato Nest, recolhe uma quantidade elevada de dados (nome, e-mail, data de nascimento, género e código postal), mas não os envia a terceiros. Outras marcas, como Samsung, Ring, Arlo e Tado, também pedem dados questionáveis, como data de nascimento, telefone e morada física.

Na mesma toada, as apps pedem permissões excessivas, como acesso a localização, microfone, contactos e chamadas. Algumas são concedidas de forma automática, sem que o utilizador disso se aperceba.

Todas as apps recolhem e enviam dados a terceiros. Estão em causa os identificadores do dispositivo, dados pessoais (nome, e-mail e localização), elementos técnicos (modelo do telefone, operador, etc.) e o perfil de uso. A app do Google Nest é a exceção. Mesmo assim, não se sabe o que faz com os dados.

Pouca transparência na recolha e no envio é a tónica. Os terceiros que recebem os dados não são explicitamente indicados. Tão-pouco são concedidas explicações sobre os dados partilhados. E, ao contrário do que determina o RGPD, a permissão para a recolha não é dada explicitamente. Ao aceitar a política, o utilizador aceita tudo em bloco.

Falhas de segurança em aparelhos conectados

Alguns aparelhos e as suas apps são vulneráveis a ataques do tipo man-in-the-middle. Um pirata pode intercetar a comunicação entre o dispositivo e a app, para capturar ou alterar informações. Por exemplo, pode mudar passwords, e impedir a utilização do aparelho. Ainda assim, o risco foi considerado baixo.

Mais graves são as falhas do aspirador Dreame, que transmite dados pessoais: embora encriptados, não é verificado se o certificado do servidor é válido e confiável. Assim, qualquer servidor que apresente um certificado falso ou autoassinado pode ser aceite. Tal permite a leitura dos dados, mesmo encriptados.

Parece salvar-se a desativação. À partida, na hora de dar reforma aos aparelhos, os dados do utilizador não ficam retidos.

13 aparelhos inteligentes testados em laboratório

Marcas desconhecidas, vendidas em plataformas como AliExpress e afins, ou fabricantes consagrados, pouco importa: todos recolhem e partilham dados pessoais de forma pouco transparente. Também todos rastreiam a atividade dos utilizadores dentro das apps associadas aos equipamentos. E alguns pedem permissão para acederem a outras apps instaladas no smartphone e a contactos de e-mail ou telefone, ou até para gerirem chamadas, algo que está longe de ser necessário para os equipamentos funcionarem. Muito frequentemente, o utilizador autoriza sem se aperceber de que o faz.

Coluna bluetooth

A Bose Portable Home Speaker pede poucas permissões, mas não lhe faltam rastreadores (Google, Facebook, Amazon e SAP). O rastreio é ativado por defeito, e o utilizador não é informado de que pode desativá-lo. E-mail e password são enviados a terceiros sem o consentimento explícito.

A Sonos Move 2 pede acesso ao microfone para emparelhar dispositivos via som, método questionável. Também envia identificadores e localização a empresas de marketing (Braze).

Televisor

A app do LG OLED55C46LA para Android pede constantemente acesso à localização, mesmo depois de o utilizador a recusar, e admite partilhar a informação com terceiros.

Já a app do Samsung QE55Q60D para iOS pede acesso ao microfone para emparelhar dispositivos via som, técnica pouco segura e difícil de justificar. Em ambos os casos, atenção aos consentimentos automáticos, isto é, dados sem aviso: podem, por exemplo, permitir alterar definições do sistema ou controlar outras apps.

Videoporteiro

O Ring Battery Video Doorbell acusa ligações extensas à Amazon, que passam pelo envio de dados pessoais, como localização, endereço de e-mail e número de telefone. Neste caso, o rastreio também é ativado por defeito.

O Arlo 2K Wireless Video Doorbell, por sua vez, recorre a diversos rastreadores de perfis de utilização, sem oferecer possibilidades de desativá-los. Além disso, pede permissões arriscadas para o utilizador, como "gerir chamadas telefónicas".

Air fryer

Tanto a Xiaomi Smart Airfryer Pro como a Philips Airfryer XL Connected HD9280/70 são campeãs dos rastreadores, incluindo até sete por app. Mas também se excedem nas permissões. Pedem acesso à câmara do smartphone e à localização, e até para seguirem a atividade do utilizador noutros sites e apps. Os dados são enviados para empresas como Google, Facebook e Tencent. A Xiaomi partilha endereços de e-mail com a Google, sem anonimização.

Aspirador-robô

O Dreame L10s Ultra Gen 2 revelou ligações a empresas como Google, Facebook, Alibaba e Tencent, com quem partilha identificadores e informações do telefone.

Mas o Eufy Clean L60 SES não lhe fica atrás: envia e-mails e palavras-passe para servidores da Amazon, sem encriptação, o que representa um risco elevado em caso de fuga de dados. Em ambos os casos, algumas permissões são concedidas de modo automático, sem que isso seja facilmente reconhecível pelo utilizador.

Termóstato

O Tado Smart Thermostat X partilha dados pessoais do utilizador com a Amazon.

Já o Google Nest Learning Thermostat tem a única aplicação, de entre as examinadas, que não partilha dados com entidades terceiras. Ainda assim, recolhe grande quantidade de dados para si próprio, no momento da criação de conta. Estamos a falar de elementos como nome, género e morada, que estão longe de serem necessários para o equipamento funcionar.

Lâmpadas e sensores

O kit Philips Hue Bundle, que congrega lâmpadas e sensores, proporciona, finalmente, um exemplo de boas práticas, ao contrário da fritadeira da mesma marca. Neste caso, não é exigida conta, além de serem pedidas poucas permissões e não serem partilhados dados identificáveis com entidades terceiras.

Mais uma boa notícia? O rastreio não está ativado por defeito e pode ser controlado pelo utilizador.