TikTok, Facebook e Instagram podem estar a usar comandos de Javascript para monitorizar utilizadores

As donas das redes sociais Facebook, Instagram e TikTok podem estar a utilizar o navegador web integrado nas aplicações iOS para monitorizar ações dos utilizadores, tais como cliques nas páginas, inserção de palavras-passe ou imagens visionadas.

O investigador Felix Krause já tinha deixado o alerta de que as aplicações das redes sociais Facebook e Instagram, para o sistema operativo iOS, continham um código de JavaScript inserido no browser de internet integrado na aplicação. Este permite às empresas responsáveis pelas aplicações monitorizarem todas as interações do utilizador na navegação a partir de cliques em endereços presentes nas redes sociais. E esse mesmo sistema foi também encontrado na aplicação iOS do TikTok, aponta o investigador.

Em termos práticos, a Meta ou a ByteDance podem monitorizar as ações dos utilizadores nos websites externos, incluindo a inserção de passwords, o preenchimento dos campos com os números de cartão de crédito, o registo dos endereços de internet ou qualquer outra interação através dos toques no teclado, sem que seja pedido o consentimento ao utilizador.

TikTok JavaScript Créditos: Felix Krause Felix Krause

Isso apenas acontece nas aplicações para iOS porque as aplicações utilizam um browser interno para que o utilizar navegue diretamente a partir dos links onde clica. E estes sobrepõem-se ao navegador predefinido que o utilizador escolhe no equipamento, neste caso o Safari, uma vez que o browser abre direto na aplicação.

Esses browsers injetam códigos de JavaScript em todos os websites navegados pelo utilizador, incluindo os toques em anúncios. Apesar do potencial de monitorização, as empresas assumem o uso do JavaScript não para aceder a dados sensíveis, mas para agregar dados com efeitos a publicidade personalizada, mas respeitando as preferências de privacidade dos utilizadores, referiu a Meta anteriormente.

No caso agora apresentado do TikTok, o investigador diz que a aplicação da rede social é a única, daqueles que analisou, que não oferece uma opção para abrir os endereços no browser predefinido do equipamento, obrigando o utilizador a navegar através da aplicação.

Em declarações à Forbes, o TikTok confirma que as funcionalidades de tracking existem no código de Java, mas que não as utiliza. Afirma que tal como outras plataformas, utiliza o browser interno para oferecer uma melhor experiência ao utilizador, mas o código de JavaScript mencionado é apenas utilizado para efeitos de debugging, procura de problemas e monitorização de performance, tal como verificar a rapidez com que uma página abre ou se esta bloqueia.

O investigador salienta que aplicações como o Snapchat ou Robinhood não modificam as páginas ou recolhem metadados dos websites abertos pelo utilizador. Ainda assim, acrescenta que as empresas têm formas de esconder as atividades do JavaScript nas suas aplicações, o que pode significar na teoria que façam mais monitorizações de fundo.

Para ajudar os utilizadores a detetar se as aplicações que utiliza escondem comandos de JavaScript, Felix Krause partilhou a ferramenta que utiliza chamada InAppBrowser, que os utilizadores de sistemas iOS podem testar.