Avast is weer in de war: dochteronderneming verkoopt browsegegevens
- Categorie: Veiligheid
De afgelopen maanden zijn niet goed geweest voor Avast. Sindsdien kreeg het bedrijf te maken met een golf van kritiek enkele van zijn zakelijke praktijken Kwam aan het licht. Wladimir Palant trapte het allemaal af met een gedetailleerde analyse van de browserextensies van Avast.
Hij ontdekte dat de extensies browsegeschiedenisinformatie naar Avast stuurden die verder ging dan de gegevens die nodig waren om de veiligheid te bieden die het product beloofde. Onder de gegevens bevonden zich de volledige URL van elke bezochte pagina, de paginatitel, verwijzer (site waar de gebruiker vandaan kwam), evenals elke link op pagina's met zoekresultaten.
Palant concludeerde toen dat het overmatig verzamelen van gegevens geen vergissing was, maar een opzettelijke. Als gevolg hiervan hebben Mozilla en Google de extensies Avast en AVG uit hun respectieve webwinkels verwijderd. Avast heeft zijn extensies bijgewerkt en ze zijn nu weer beschikbaar.
Een gezamenlijk onderzoek door Ondeugd en PC Magazine dieper ingegaan op de zakelijke praktijken van Avast met betrekking tot verzamelde gebruikersgegevens. Volgens de informatie krijgt Avast-dochter Jumpshot gegevens van Avast-antivirusinstallaties op gebruikersapparaten en verwerkt deze om de verwerkte gegevens aan bedrijven te verkopen.
Eén product, All Clicks Feed genaamd, zou bedrijven, klanten inclusief grote bedrijven zoals Google, Microsoft, Pepsi, Home Depot of McKinsey, voorzien van gedetailleerde informatie over gebruikersgedrag, klikken en activiteit op bezochte websites.
De gegevens worden volgens Avast geanonimiseerd, wat betekent dat persoonlijk identificeerbare informatie, zoals het IP-adres van een gebruiker of e-mailadressen, uit de gegevens wordt verwijderd voordat deze worden verkocht.
Hoewel dat er op papier goed uitziet, bestaan er methoden om gegevens te de-anonimiseren. Een datapakket kan een apparaat-ID bevatten, wat betekent dat het eenvoudig genoeg is om de browsegeschiedenis van een bepaald apparaat op te zoeken. Het bevat ook datum en tijd en informatie over de bezochte site.
Een optie die bedrijven hebben die de gegevens kopen, is om andere gegevensbronnen te gebruiken om individuele gebruikers te identificeren. Stel je voor dat Google of Amazon datum, tijd en URL-informatie gebruikt om te controleren met gebruikersactiviteit op hun sites.
Als de volledige URL wordt verstrekt in een gegevenspakket, kan het ook gemakkelijk zijn om gebruikers te identificeren, afhankelijk van de activiteit. Bezoeken aan een persoonlijke startpagina, Twitter-antwoorden, uploads naar YouTube of enige andere activiteit die aan accounts kan zijn gekoppeld, zouden derden informatie over de daadwerkelijke gebruiker verschaffen.
Volgens de rapporten van PC Magazine en Vice is Avast gestopt met het gebruik van gegevens voor 'enig ander doel dan de kernbeveiligingsengine'. PC Magazine merkt op dat de Jumpshot-divisie van Avast nog steeds gegevens kan verkrijgen via de belangrijkste antivirusprogramma's van Avast (inclusief die van AVG). Beide antivirusoplossingen bevatten een Web Shield-component die is ontworpen om bezochte URL's te controleren om er zeker van te zijn dat ze geen beveiligingsrisico vormen (bijv. Phishing-sites).