Un antivirus vende datos de navegaci¨®n que permiten identificar a sus usuarios

En diciembre del a?o pasado, Ondrej Vlcek, CEO de Avast, reconoci¨® que su compa?¨ªa recopila y vende informaci¨®n sobre los h¨¢bitos de navegaci¨®n de sus usuarios. ¡°Esto no es ning¨²n esc¨¢ndalo de privacidad¡±, dijo entonces. ¡°La informaci¨®n que vendemos es an¨®nima, no puede rastrearse y asociarse a usuarios concretos¡±, asegur¨®. Esta informaci¨®n incluye todos los clics y cada b¨²squeda, compra y visitas a p¨¢ginas web, incluso a las pornogr¨¢ficas. Ahora, dos periodistas de PCMag y Motherboard han tenido acceso a documentos internos y han descubierto que los datos s¨ª se pueden asociar a usuarios concretos.

Avast vende la informaci¨®n a trav¨¦s de Jumpshot, una compa?¨ªa que ofrece datos recopilados de m¨¢s de 100 millones de dispositivos m¨®viles y ordenadores. La informaci¨®n recolectada est¨¢ tan diseccionada que las empresas que la compran ¡ªentre las que se encuentran Google, Yelp, Microsoft, McKinsey, Pepsi, Home Depot y Cond¨¦ Nast, seg¨²n los dos medios citados¡ª pueden ver todos los clics de los usuarios que tienen el antivirus instalado con un gran nivel de detalle. Un clic contiene todos estos elementos:

En este caso, el clic hace referencia a una compra en Amazon. Pero tambi¨¦n pueden saber qu¨¦ palabras busca el usuario y en qu¨¦ resultado de Google clica, b¨²squedas y localizaciones en Google Maps, qu¨¦ v¨ªdeos de YouTube ve e incluso qu¨¦ p¨¢ginas porno visita. ¡°Vimos los datos recopilados y ten¨ªan registros con consultas sobre temas cotidianos y mundanos. Pero tambi¨¦n hubo b¨²squedas sensibles de pornograf¨ªa¡±, cuentan en PCMag. ¡°Es posible determinar a qu¨¦ hora y qu¨¦ d¨ªa el usuario an¨®nimo visit¨® YouPorn y, en algunos casos, qu¨¦ t¨¦rminos de b¨²squeda us¨® y qu¨¦ v¨ªdeo concreto vio¡±, detallan en Motherboard.

Aunque los datos recopilados no est¨¢n asociados al nombre, email o la direcci¨®n IP de la persona (por eso Avast dice que son an¨®nimos) si se combinan con otra informaci¨®n como las URLs recopiladas pueden analizarse para exponer la identidad de alguien, seg¨²n cuentan PCMag y Motherboard. Varios estudios demuestran que es posible identificar a los usuarios de esta forma, entre ellos la investigaci¨®n Desanonimizar datos de b¨²squedas web con redes sociales, llevada a cabo por la Universidad de Perth (Australia) en 2017.

¡°Efectivamente, se puede hacer un proceso de re-identification de los datos que se?alan¡±, explica ?scar Lage, experto en ciberseguridad de Tecnalia. ¡°Es sencillo, siempre que tengan otra informaci¨®n asociada¡±. Seg¨²n Lage, una vez que tienes todos los detalles de la navegaci¨®n, aunque sea bajo un pseud¨®nimo como el del ejemplo (abc123x), ya tienes todos los movimientos del usuario y puedes relacionarlos con los datos que manejan otras empresas que pueden apuntar a su identidad.

Hay varias opciones para mantener esta informaci¨®n m¨¢s segura. Una de ellas es recopilar datos m¨¢s generales, aunque eso hace que pierdan valor. ¡°Si se guardan menos detalles, es m¨¢s dif¨ªcil identificar al usuario que hay detr¨¢s, pero las empresas que los compran quieren inferir acciones y gustos as¨ª que le interesa tener datos muy detallados¡±, cuenta Sage.

Otra opci¨®n es que la empresa que recopila la informaci¨®n sea la ¨²nica que la maneje. Es decir, que Avast d¨¦ un servicio de an¨¢lisis. Si un comercio online quiere saber a qu¨¦ hora se busca m¨¢s su producto en Google, puede comprar la informaci¨®n y analizarla o, lo m¨¢s recomendable, preguntar a Avast para que la analice y le d¨¦ la respuesta. As¨ª, se evita que los datos se unan a otros que puedan poner en peligro la identidad del usuario.