FTC toma medidas contra aplicativos de perseguição

Você sabe que sentindo estranho que alguém está seguindo todos os seus movimentos? Se alguém secretamente instalasse um “aplicativo de perseguição” ou “stalkerware” vendido pela Retina-X Studios, LLC, no seu dispositivo móvel, essa sensação estranha pode ser muito mais do que um sentimento. Uma queixa contra o desenvolvedor e o profissional de marketing alega violações da Lei FTC e a regra da Lei de Proteção à Privacidade Online das Crianças.

Retina-X e James N. Jones, Jr., sediada na Flórida, comercializaram três aplicativos como maneiras de monitorar crianças ou funcionários. Mobilespy capturou e registrou localização GPS, mensagens de texto, fotos, histórico de chamadas, histórico de navegador etc. As pessoas que compraram a versão premium também podem ver a tela do usuário inocente em tempo real. O PhoneSheriff monitorou muitos dos mesmos dados, além do histórico de e -mails e capturas de tela de atividade usando o Snapchat. Como parte do processo de registro do iOS para Teenshield, Retina-X coletou as datas de nascimento de usuários sendo monitorados-aproximadamente um terço dos quais tinha menos de 13 anos. Uma vez instalado, o local capturado por Teenshield, mensagens de texto, histórico de chamadas, histórico do navegador, e-mail , e similares.

Para instalar os produtos, o comprador precisava de acesso físico ao dispositivo e muitas vezes precisava jailbreak ou enraizá -lo. Em outras palavras, eles tiveram que ignorar as restrições incorporadas no sistema operacional no dispositivo. Uma vez que o software estivesse em vigor, os compradores poderiam monitorar remotamente as atividades do usuário em um painel on -line. Por padrão, um ícone apareceu no dispositivo. No entanto, a Retina-X instruiu a pessoa que instalou o software sobre como ocultá-lo e fazer com que o aplicativo seja executado de forma clandestina sem o conhecimento do usuário. Embora a Retina-X tenha reivindicado em suas políticas de privacidade que os produtos foram projetados para serem usados ​​apenas para monitorar o filho ou funcionário menor de um dos pais, a empresa não tomou nenhuma etapa para garantir que fosse assim que seus aplicativos foram usados. Além do mais, por que pais ou empregadores jailbreak ou telefones root para instalar o software Retina-X quando outros aplicativos de monitoramento no mercado não exigiam jailbreak ou enraizamento?

O reclamação alega várias formas de lesão no consumidor. Uma preocupação particular é que os perseguidores – por exemplo, os autores da violência doméstica – possam usar os aplicativos para acompanhar a localização de suas vítimas e a atividade on -line, as informações que eles poderiam usar para infligir danos emocionais ou até físicos. Os perseguidores também podem usar software como esse para comandar as contas financeiras das vítimas. No mínimo, as pessoas que instalaram os aplicativos da Retina-X nos dispositivos de usuários desavisados ​​provavelmente anularam as garantias de seus dispositivos e expuseram os usuários a aumentar os riscos de segurança comuns quando um dispositivo foi inabalável.

Além disso, a FTC alega que a Retina-X não tomou medidas básicas para proteger os dados confidenciais que seus aplicativos coletados, especialmente informações coletadas das crianças que estão sendo monitoradas. Por exemplo, a empresa não havia escrito os padrões de segurança e não conduziu testes de segurança para vulnerabilidades conhecidas. Além disso, ao divulgar a capacidade de seus produtos de monitorar outros, a denúncia alega que a Retina-X não tomou as medidas apropriadas para monitorar seu próprio provedor de serviços-a empresa que desenvolveu aplicativos da Retina-X, gerenciou seus servidores, lidou com seu processamento de pagamentos e forneceu serviços de marketing e suporte ao cliente.

As políticas de privacidade para Mobilespy, Phonesheriff e Teenshield incluíram a mesma linguagem calmante: “É a política da empresa que nossos bancos de dados de clientes permaneçam confidenciais e privados. . . . Suas informações privadas são seguras conosco. ” Mas ninguém contou isso ao hacker que em 2017 encontrou credenciais não criptografadas para a conta de armazenamento em nuvem da empresa no kit de pacotes Android Teenshield. Depois de conectado, o hacker encontrou o nome de usuário e a senha do servidor Retina-X. Esse foi o “gergelim aberto!” O hacker precisava acessar dados confidenciais coletados através do PhoneSheriff e Teenshield e depois apagá -los. Retina-X não aprendeu sobre o hack até dois meses depois, quando um jornalista entrou em contato com a empresa depois de ter recebido evidências do hacker.

Avanço rápido de um ano e um hacker novamente encontrou as credenciais para a conta de armazenamento em nuvem da empresa, desta vez no kit de pacotes Android PhoneSheriff. As credenciais eram – para usar a terminologia da empresa – “ofuscada”, mas o hacker ainda era capaz de descriptografá -los. Desta vez, o hacker apagou todas as fotos na conta de armazenamento em nuvem.

O reclamação Inclui uma contagem de atos ou práticas desleais e três acusações de engano. Além disso, a FTC alega que Retina-X coletou conscientemente informações pessoais de crianças menores de 13 anos através do produto Teenshield, mas não conseguiu honrar o Copo de regraO requisito de manter procedimentos razoáveis ​​para proteger a confidencialidade, segurança e integridade desses dados.

Para resolver o casoRetina-X e James N. Johns, Jr., concordaram em excluir os dados que coletaram e não vender nenhum produto que exija jailbreak ou enraizamento. Além disso, no futuro, eles terão que receber declarações de compradores de que usarão o aplicativo apenas para monitorar seu filho ou um funcionário ou um adulto que consentiu por escrito. Eles também devem incluir um ícone com o nome do aplicativo que só pode ser removido pelos pais que o instalaram nos telefones de seus filhos. De acordo com outros acordos recentes de segurança de dados, eles devem obter avaliações de terceiros de seu programa de segurança de informações a cada dois anos.

Uma vez o liquidação proposta Aparece no Federal Register, a FTC aceitará comentários públicos por 30 dias. Enquanto isso, aqui estão dicas que outras empresas podem tirar do caso.

• Exercício Cuidado se você vender produtos de monitoramento. Tome medidas razoáveis ​​para garantir que seu produto seja usado apenas para fins legais. Por exemplo, você não pode exigir a contornar o sistema operacional interno ou as proteções de segurança do dispositivo e, em seguida, reivindicar a ignorância sobre como seu produto é usado.
• Se você o colecionar, proteja -o. A coleta de qualquer forma de dados sensíveis carrega consigo a obrigação de protegê -los quando estiver em sua posse. Se são informações cobertas por Coppa, Seção 312.8 da regra Coloca proteções especiais de dados em vigor.
• Tome medidas para evitar uma queimadura de terceiro grau. Ao trabalhar com provedores de serviços de terceiros, solte suas expectativas de segurança de dados em seus contratos e crie mecanismos de monitoramento para garantir que estejam seguindo. Quando informações cobertas de Coppa estão envolvidas, Seção 312.8 da regra da COPPA ressalta esse requisito: “