Internacional
Anonymous emitem alerta: “Delete o TikTok imediatamente”
Um alerta emitido nas redes sociais de uma célula do movimento hacktivista Anonymous tomou conta de noticiários do mundo inteiro. “Delete o TikTok imediatamente; se você conhecer alguém que está utilizando-o, explique para eles que se trata basicamente de um malware operado pelo governo chinês para uma operação massiva de espionagem”, declarava a publicação do grupo.
Essa não foi a primeira vez que o grupo descentralizado emitiu alertas a respeito do aplicativo asiático — aliás, os Anonymous em si estão longe de serem os primeiros especialistas a criticar tal rede social.
AlHux
Anonymous pedem para usuários de TikTok apagarem aplicativo do celular – Imagem: Reprodução
Desta vez, porém, o gancho usado pelos ativistas cibernéticos foi bem mais grave: o novo alerta se baseia em uma profunda análise do software realizada por um internauta do Twitter identificado como Bangorlol. O pesquisador passou um bom tempo realizando engenharia reversa no TikTok e descobriu que o programa coleta uma quantidade massiva de informações a respeito do usuário.
“O TikTok é um serviço de coleta de dados que está parcialmente encoberto como uma rede social. Se existe uma API para pegar informações suas, de seus contatos, de seu dispositivo… Bom, eles estão utilizando”, afirma o analista.
De acordo com Bangorlol, o TikTok é capaz de coletar, dentre várias outras, informações sobre o smartphone usado (CPU, identificadores de componentes, tamanho da tela, DPI, uso de memória, espaço em disco etc.); sobre outros apps instalados (incluindo alguns que você já deletou, analisando o cache); dados da rede (endereços IP, endereço MAC do roteador, seu endereço MAC, nome do ponto WiFi) e até se o gadget possui root (no caso de Androids) ou jailbreak (no caso de iPhones).
O app vai além e, em algumas de suas variantes, também rastreia sua geolocalização (GPS) de 30 em 30 segundos, além de estabelecer um servidor proxy local que poderia ser muito bem utilizado para fins abusivos. A rede social, porém, afirma que tal servidor é usado apenas para codificar conteúdos multimídia.
“A parte mais assustadora é que tudo isso que eles estão registrando é configurável remotamente, e a menos que você reverta cada uma de suas bibliotecas nativas e inspecione manualmente cada função ofuscada”, explica Bangorlol. “Eles possuem várias proteções diferentes para prevenir você de reverter ou fazer debugging do app. O comportamento do app muda ligeiramente se eles sabem que você está tentando descobrir o que eles estão fazendo”, adiciona.
Em entrevista ao BoredPanda, o pesquisador garantiu que ele possui anos de experiência com engenharia reversa e que o TikTok foi, de longe, o maior desafio de sua carreira. “O TikTok pode não atender os critérios exatos de um ‘malware’, mas ele é definitivamente nefasto e (na minha humilde opinião) um tanto malvado”, pontua.
Espiões de butuca
A ofuscação de código citada por Bangorlol é, basicamente, a arte de disfarçar parâmetros em um código para que eles estejam invisíveis a uma análise superficial. Trata-se de uma técnica amplamente usada no mundo do crime cibernético para evitar detecções por softwares de proteção de endpoint (antivírus), fazendo com que um arquivo malicioso se pareça com um documento comum e inofensivo.
Essa seria a grande diferença entre, por exemplo, apps de grandes empresas como Facebook e Google — que não escondem funcionalidades de coleta de dados — e o TikTok, que faz tudo o que estiver ao seu alcance para impedir que um analista descubra a real dimensão de seu programa de monitoramento.
Vale lembrar também que o app passou por poucas e boas no fim de junho depois que um novo recurso da versão Beta do iOS 14 revelou que ele (junto com diversos outros softwares, sendo a maioria também de origem chinesa) estava monitorando tudo o que o usuário copiava para a área de transferência.
Por conta desses problemas, o TikTok já se encontra banido da Índia e da Indonésia; os Estados Unidos também cogitam tirar a rede social dos marketplaces App Store e Play Store. Ademais, algumas empresas de grande porte, incluindo Amazon e Wells Fargo, já pediram para que seus colaboradores não instalem o aplicativo em seus smartphones corporativos, temendo o roubo de informações sensíveis.
Isto posto, não é de se espantar que os Anonymous orientem os civis a também desinstalarem o app. Até que hajam mais informações concretas a respeito da idoneidade da plataforma, ela parece oferecer riscos demais para benefícios de menos.
TikTok responde
Em nota enviada ao Canaltech, o TikTok negou as acusações de que o app se trata de uma ferramenta do governo chinês e afirmou levar a sério as práticas de segurança. Confira o comunicado na íntegra:
Nas últimas semanas, houve várias alegações feitas na Internet sobre as práticas de segurança do TikTok, incluindo algumas que foram feitas anonimamente. Levamos essas reivindicações a sério e estamos no processo de realizar uma revisão completa e determinamos que muitas delas são imprecisas ou refletem a análise de versões mais antigas do aplicativo que, em alguns casos, estão desatualizadas.
Nosso Chefe de Segurança da Informação, Roland Cloutier, publicou relatos detalhados de algumas das acusações sem fundamento contra o TikTok. Como parte de nossa abordagem geral à segurança, nossa equipe de segurança da informação executa um processo contínuo para verificar as vulnerabilidades de segurança e corrigi-las. Incluímos empresas de segurança de classe mundial nessas avaliações.
O TikTok está comprometido em respeitar a privacidade de seus usuários e em ser transparente com nossos especialistas em comunidade e segurança sobre como o aplicativo funciona. Estamos constantemente nos esforçando para ficar à frente dos crescentes desafios de segurança e incentivamos nossos usuários a usar a versão mais recente do TikTok para que eles possam aproveitar a melhor experiência possível.
Sobre acusação de que se trata de uma ferramenta do governo chinês:
O TikTok é de propriedade de investidores globais e possui uma equipe de gerenciamento baseada em todo o mundo nos mercados em que o aplicativo está disponível. O TikTok não está disponível na China e não fornecemos dados do usuário do TikTok ao governo chinês e não o faríamos se solicitado.
