В менеджере паролей для Android обнаружили трекинговые инструменты

11.03.2021 Майк Кукетц, немецкий эксперт по информационной безопасности, заявил, что в версии LastPass для Android есть семь трекеров, собирающих сведения об используемом устройстве, операторе связи, аккаунте LastPass, а также о рекламном идентификаторе Google, который потенциально может быть использован, чтобы связать данные о пользователе, полученные из других приложений. Трекинговые утилиты, помимо прочего, получают информацию о создании новых паролей и их типе.

Предположительно, в LastPass таким путём пытаются монетизировать большое количество бесплатных аккаунтов. Однако эксперт считает, что такой подход может создать угрозу безопасности пользовательских данных, и что трекеров в менеджерах паролей не должно быть по определению. Разработчики зачастую не знают, какие именно данные они передают трекерам, и каким третьим лицам эти данные впоследствии отправляются. Более того, интеграция стороннего кода в подобные приложения чревата утечкой данных.

Из семи трекеров, активных в LastPass для Android, четыре принадлежат Google, остальные - AppsFlyer, MixPanel и Segment. Если даже согласиться, что они действительно собирают данные с целью отчётов о сбоях и аналитики, то разработчики Segment пишут, что инструмент предлагает составить «единое представление о клиенте», идентифицируя пользователя и связывая воедино его действия на разных платформах, вероятно, для более корректной работы контекстной рекламы.

LastPass убеждают СМИ, что данные трекеры не могут передавать конфиденциальные данные пользователей, и их хранилище тоже в безопасности. Также они заявили, что трекеры получают лишь статистические данные, используемые для оптимизации программы, а также напомнили, что в её настройках есть возможность отключения сбора аналитики.