Smartwatches baratos falham na privacidade dos dados

Têm chegado aos mercados online smartwatches, feitos por fabricantes asiáticos, a preços baratos, tornando estes aparelhos acessíveis a mais consumidores. Regra geral, são equipamentos de qualidade aceitável e com várias semelhanças com modelos de marcas premium. No entanto, sobre estes smartwatches paira o mito de que apenas são aparelhos baratos, porque recolhem informações pessoais dos utilizadores, usando-as de forma pouco clara.

A DECO PROTESTE testou a segurança e privacidade de vários modelos de smartwatches baratos, entre 2 e 20 euros, pondo à prova este mito. A avaliação foi assegurada por uma equipa de consultores de cibersegurança e estendeu-se ao longo do segundo semestre de 2022. A maioria das avaliações foi realizada utilizando a versão Android das aplicações associadas ao smartwatch. O teste focou-se, principalmente, nos critérios de privacidade e segurança.

Os resultados não foram animadores e acabaram por validar o mito criado em torno destes aparelhos. A DECO PROTESTE detetou vários problemas de segurança e privacidade, que foram agrupados em oito categorias.

Envio de geolocalização demasiado precisa

As aplicações associadas a alguns modelos testados enviam dados precisos de coordenadas para os seus servidores. Segundo alegam, esta informação serve supostamente para verificar a meteorologia, mesmo quando o utilizador não tira partido dessa função no relógio. A verdade é que, para ter acesso a informações sobre o estado do tempo, não é necessário recolher a localização precisa.

Houve mesmo um modelo que, durante a utilização, tentou transmitir dados de coordenadas mais de 250 vezes, em cinco minutos. Devido à frequência de transmissão, estes dados podem fornecedor informações sobre os locais que o utilizador frequenta — a morada, por exemplo —, bem como permitir a monitorização das suas rotinas. 

Posto isto, nenhuma aplicação deve transmitir dados de localização sem o consentimento explícito do utilizador, tanto no registo inicial, como na primeira vez que a aplicação inicia. Ainda assim, os dados de localização devem ser aproximados, de forma a evitar um rastreio individual preciso.

Dados pessoais do utilizador não são encriptados

Nenhuma das comunicações feitas por algumas aplicações testadas usou criptografia na transmissão dos dados para os servidores da empresa. 

Sem criptografar os dados entre o dispositivo e os serviços associados, qualquer pessoa entendida pode intercetar e modificar os dados em trânsito. Podem ser fornecidas informações pessoais sensíveis, tais como biometria, peso, altura, sexo, entre outros.

Esta falha de segurança grave é facilmente corrigida com recurso a uma ligação segura para transmitir os dados. Todas as comunicações externas via internet devem circular por um canal cifrado (https://), de forma a impedir a interceção ou a modificação de dados em trânsito.

Estrutura de suporte das aplicações desatualizada

Apenas um smartwatch apresentou falhas na infraestrutura do servidor web. O facto de estar desatualizada e vulnerável a várias explorações pode já ter comprometido os dados armazenados. 

Assim, tal como os utilizadores, quem suporta a infraestrutura do equipamento deve manter sempre os programas atualizados, respeitando os padrões de segurança mais atuais.

Inexistência de formas de autenticação de segurança

Nenhum dos modelos testados apresenta formas de autenticação devidamente seguras. Ou seja, qualquer pessoa pode utilizar o equipamento, desde que tenha acesso físico a ele, e, como tal, obter informações dos contactos do utilizador. 

Todos os smartwatches devem ter a capacidade de configurar um PIN ou um código de acesso para bloquear o dispositivo, impedindo, assim, a utilização não autorizada ou o acesso ilegítimo.

Permissões de localização permanentemente ligadas

Algumas aplicações exigem que as permissões de localização sejam definidas como "sempre ligadas", em vez de "permitir apenas ao usar a aplicação" ou "perguntar cada vez que utiliza a aplicação". Desta forma, o smartwatch está constantemente a localizar o utilizador, mesmo que ele não esteja a usá-la.

Os aparelhos que permitem este falha devem ser atualizados. Se o utilizador pretende permitir a monitorização permanente da sua localização, o consentimento deve ser exigido, bem como uma explicação de que dados serão recolhidos.

Dados pessoais do utilizador armazenados no servidor

Por vezes, foram armazenados dados do utilizador (nome, idade, peso, sexo e altura) na infraestrutura controlada pelo fornecedor, em vez de localmente no próprio dispositivo ou no smartphone. Isto significa que, sempre que o utilizador pretenda visualizar os seus dados, é criada uma ligação ao servidor.

O armazenamento e processamento de informações pessoais está sujeito a várias leis internacionais de controlo de dados, como, por exemplo, o RGPD. Neste caso, os conceitos básicos deste regulamento já foram violados.

Dados recolhidos sem que o utilizador possa rejeitar

Alguns smartwatches testados alegavam motivos demasiados latos para a recolha de dados, sem a possibilidade de "autoexclusão". A política de recolha de dados da aplicação é muito extensa, apresentando dados de identificação pessoal (bilhete de identidade, passaporte, etc.) e informações de propriedade pessoal (registos de transações e consumo, saldos, etc.).

Uma das utilizações mencionadas neste acordo é a publicidade direcionada e personalizada. Isso não é fornecido como uma opção que os utilizadores possam rejeitar, mas, sim, como uma secção do contrato. Se os utilizadores recusarem este acordo, a aplicação deixa de funcionar até que a recolha de dados seja permitida.

De acordo com as regras do RGPD, é necessário que as empresas informem os utilizadores de qualquer uso dos seus dados e lhe deem a possibilidade de escolherem a forma como estes estão a ser utilizados. Devem, ainda, fornecer a opção de desativar cookies de rastreamento, por exemplo.

Os contratos e termos e condições das aplicações devem ser atualizados para exigir apenas a recolha do mínimo de dados necessário para o funcionamento do smartwatch.

Medições duvidosas e pouco rigorosas

Embora não seja uma falha de segurança, é de realçar que dois dos smartwatches testados registaram medições de saúde mesmo quando o relógio não estava a ser utilizado. Ou seja, continuam a gravar, por exemplo, a frequência cardíaca e oxigénio no sangue, o que é tecnicamente impossível. 

A DECO PROTESTE não pode afirmar se que este comportamento é malicioso e fraudulento ou se é, simplesmente, má conceção de hardware/software do produto. Os aparelhos só devem apresentar informações que têm por base medições reais.