Avast má naďalej sledovať a zbierať dáta o pohybe používateľov na webe, ktoré následne ďalej predáva svojim klientom, o čom sme informovali ešte v decembri minulého roka. Spoločnosť vo vyjadrení pre FonTech.sk následne poprela, že by informácie predávala tretím stranám, no zistenia portálov Motherboard a PCMag teraz dokazujú pravý opak. Avast mal podľa týchto zdrojov zbierať informácie o stovkách miliónoch používateľoch a následne ich anonymizované predávať aj firmám ako Microsoft a Google.

Apple chce dať ľuďom lepšie súkromie. Vývojári aplikácií však hľadajú agresívnejší spôsob, ako ťa sledovať

Informácie od spomínaných zdrojov sú založené na únikoch používateľských dát, kontraktoch a ďalších dokumentoch spoločnosti, ktoré ukázali, ako nakladá s údajmi o svojich používateľoch. Takéto informácie sú skutočne citlivé a donedávna boli iba tajomstvom medzi Avastom a jeho partnermi. Už v minulom článku sme však informovali aj o tom, že spoločnosť tvrdí, že dôvod na obavy nie je. Všetky získané dáta totiž prejdú procesom, ktorý má zabezpečiť anonymitu používateľov. Údaje pritom od roku 2013 analyzuje spoločnosť Jumpshot, v ktorej má Avast väčšinový podiel. Je tomu ale skutočne tak a nemajú sa používatelia čoho báť?

Avast potajme sleduje svojich používateľov. „Anonymné“ údaje predáva ďalej

Podľa nových informácií má totiž antivírus Avast skutočne zhromažďovať dáta o používateľoch, ktoré následne spracúva a rozdeľuje do rôznych balíkov práve Jumpshot. Potom sú takéto údaje, ktoré majú byť anonymizované, aby nedošlo k odhaleniu používateľov, predávané tretím stranám. Zoznam klientov spoločnosti je naozaj dlhý a zahŕňa okrem Microsoftu a Googlu aj Yelp, McKinsey, Pepsi, Sephoru, Home Depot, Condé Nast či Intuit a ďalšie veľké firmy. Jumpshot pritom ponúka na predaj aj tzv. balíček „All Clicks Feed“, v ktorom sú informácie o chovaní používateľa a jeho pohybe na webe, kliknutiach a ďalšie detaily, ktoré môžu klienti spoločnosti využiť pre vlastné účely. Prístup k takémuto balíku mala v decembri 2018 získať ďalšia spoločnosť Omnicom Media Group.

Pri nedávnom odhalení týchto praktík nás však spoločnosť ubezpečovala, že „bezpečnosť a súkromie našich užívateľov sú pre Avast absolútnou prioritou, a preto máme funkčný a komplexný proces na ochranu ich dát. Aby naše rozšírenia prehliadačov mohli plniť svoju úlohu, teda detekovať a blokovať hrozby, potrebujeme, aby bolo možné zhromažďovať informácie o adresách URL.

Pre túto činnosť ale nepotrebujeme žiadne osobne údaje. Aby sme ochránili súkromie našich užívateľov, sú dáta, ktoré zhromažďujeme, zabavené všetkých osobne identifikovateľných informácií. Tieto agregované štatistické dáta taktiež zdieľame s našou vlastnou marketingovou analytickou spoločnosťou Jumpshot.“ Na to pritom Avast upozorňuje aj na svojom blogu.

Avšak, pokiaľ ide o zbieranie dát, Avast nebol tak úplne transparentný. V decembri sa pre našu redakciu vyjadrila Barborá Petrová, PR konzultantka spoločnosti: „V Avaste sa snažíme zhromažďovať iba dáta potrebné pre poskytovanie našich služieb.“ 

Tu však narážame na protichodné tvrdenie, ktoré je v rozpore s novými informáciami, ktoré hovoria o tom, že firma dáta používateľov poskytuje/predáva svojim klientom, teda ich nevyužívala len na poskytovanie vlastných služieb. Podľa informácií portálov Motherboard a PCMag mal Avast zbierať aj informácie o vyhľadávaniach, GPS údaje na mapách, návštevy stránok na LinkedIn, YouTube videá a dokonca aj dáta o návšteve porno stránok.

Zamestnanci o predajoch nehovoria, Jumpshot mal poskytnúť kompletné údaje tretej strane aj s identifikátorom

Hoci majú byť takéto údaje anonymizované, stále je z nich možné dostať to, kedy a v aký čas používateľ navštívil niektorý web s erotickým obsahom a aj to, ktoré video si počas svojej súkromnej chvíle pozrel. Jumpshot pritom ešte v júli informoval, že on jediný môže „odomknúť“ zozbierané dáta o ľuďoch.

Menovite spomínal aj svojich klientov, ktorými v tomto príspevku boli Microsoft, Google, Yelp, Condé Nast a TripAdvisor, no samotní zamestnanci spoločnosti sa na adresu vzťahov týchto klientov a Avastu nemôžu na verejnosti vyjadrovať. Jeden z anonymných zdrojov pre portál Motherboard povedal: „Je to veľmi podrobné a sú to skvelé údaje pre tieto spoločnosti, pretože idú až na úroveň zariadenia s časovou známkou.„

Zozbierané dáta síce nemajú obsahovať meno dotknutej osoby, jej email či IP adresu, no sú priradené k vlastnému ID zariadenia, ktoré ostáva aktívne až do odinštalovania antivírusového programu Avastu. Obyčajne majú byť dáta predávané bez tohto identifikátora, no v prípade Omnicom mal Jumpshot poskytnúť všetky údaje aj s príslušným ID. To však podľa expertov, s ktorými sa rozprával portál PCMag a Motherboard, stačí na to, aby bol používateľ odhalený.

Spoločnosť môže dáta anonymizovať, no časová známka, ID zariadenia a URL adresy majú byť podľa nich dostatočným materiálom na to, aby bola prezradená identita osoby. A práve jednu z najväčších hrozieb predstavuje odtajnenie z takýchto „anonymných“ údajov, čím sa odhaľujú citlivé dáta, ktoré môžu kompromitovať množstvo ľudí.

Problém sa týka stoviek miliónov ľudí

Avast má pritom až 435 miliónov aktívnych používateľov mesačne a Jumpshot má v hrsti údaje až zo 100 miliónov ich zariadení. Prednedávnom spoločnosť tvrdila, že údaje zbiera prostredníctvom rozšírení v prehliadačoch, no teraz vychádza najavo, že tak robí aj pomocou svojho antivírusu. Predajom informácií o používateľoch a ich chovaní na internete môže zarobiť aj 20 miliónov dolárov ročne, informoval český Forbes.

„Pracujeme v súlade s GDPR a s ďalšími osvedčenými postupmi v našom obore, ktoré sú popísané v Zásadách ochrany osobných údajov. Máme taktiež Portál ochrany osobných údajov, na ktorom sa môžu naši zákazníci prihlásiť a overiť, aké osobné údaje o nich máme,“ vyjadrila sa pre FonTech.sk Barbora Petrová z Avastu.

Takéto analýzy a metriky sú užitočné pre množstvo spoločností, ktoré sledujú a vyhodnocujú napríklad úspech konkrétneho produktu na trhu či záujem ľudí o rôzne značky. Raz darmo, ani bezplatné služby a softvér nie je tak úplne bezplatný. Hoci zaň používateľ nezaplatí peniazmi, daňou za používanie takýchto produktov býva čoraz častejšie práve odovzdávanie časti svojho súkromia do rúk technologických gigantov, ktorí už vedia, ako s nim naložiť.