Avast er igen i varmt vand: datterselskab sælger gennemsøgningsdata
- Kategori: Sikkerhed
De sidste par måneder har ikke været godt for Avast. Virksomheden stod siden en bølge af kritik nogle af dets forretningspraksis kom frem. Wladimir Palant sparkede det hele ud med en detaljeret analyse af Avasts browserudvidelser.
Han opdagede, at udvidelserne overførte information om browserhistorik til Avast, at det gik ud over de data, der var nødvendige for at give den sikkerhed, produktet lovede. Blandt dataene var den fulde URL på en hvilken som helst side, der blev besøgt, sidetitlen, refereren (webstedet brugeren kom fra) samt hvert link på søgeresultatsiderne.
Palant konkluderede dengang, at overdreven indsamling af data ikke var et tilsyn men bevidst. Mozilla og Google fjernede Avast- og AVG-udvidelser fra deres respektive webbutikker som en konsekvens. Avast opdaterede dens udvidelser, og de er nu tilgængelige igen.
En fælles undersøgelse af Vice og PC Magazine kiggede dybere ind i Avasts forretningspraksis omkring indsamlede brugerdata. Ifølge info får Avast-datterselskabet Jumpshot data fra Avast-antivirusinstallationer på brugerenheder, behandler det for at sælge de behandlede data til virksomheder.
Et produkt, kaldet All Clicks Feed, ville give virksomheder, kunder, herunder store virksomheder som Google, Microsoft, Pepsi, Home Depot eller McKinsey, oplysninger om brugeradfærd, klik og aktivitet på tværs af besøgte websteder i detaljer.
Dataene anonymiseres i henhold til Avast, hvilket betyder, at personligt identificerbare oplysninger såsom en brugers IP-adresse eller e-mail-adresser fjernes fra dataene, før de sælges.
Selvom det ser godt ud på papiret, findes der metoder til at anonymisere data. En datapakke kan omfatte et enheds-ID, hvilket betyder, at det er let nok at slå op browsinghistorikken for en bestemt enhed. Det inkluderer dato og tid samt information om det besøgte websted.
En mulighed, som virksomheder, der køber dataene, er at bruge andre datakilder til at identificere individuelle brugere. Forestil dig at Google eller Amazon bruger dato, tid og URL-oplysninger til at krydskontrol med brugeraktivitet på deres websteder.
Hvis den fulde URL findes i en datapakke, kan det også være let at identificere brugere afhængigt af aktivitet. Besøg på en personlig startside, Twitter-svar, uploads til YouTube eller enhver anden aktivitet, der kan være knyttet til konti, ville give tredjepart oplysninger om den aktuelle bruger.
Ifølge rapporter fra PC Magazine og Vice stoppede Avast med at bruge data til 'ethvert andet formål end kernesikkerhedsmotoren'. PC Magazine bemærker, at Avasts Jumpshot-afdeling stadig kan hente data gennem Avasts vigtigste antivirus-applikationer (inklusive dem af AVG). Begge antivirusløsninger inkluderer en Web Shield-komponent designet til at kontrollere besøgte URL'er for at sikre, at de ikke er en sikkerhedsrisiko (f.eks. Phishing-websteder).