Violação de privacidade do Vlingo: dados enviados para servidores remotos sem consentimento

Um de nossos usuários, o administrador Jörg, descobriu recentemente uma entrada na leitura do logcat de seu Samsung Galaxy Note que o fez pausar. Um dos processos em execução em sua Nota continuou trazendo o seguinte pedido Ele não tinha certeza do que fazer com o pedido curioso e rapidamente configurou um filtro, que organizava cada processo por seu ID de processo (PID) para ajudá-lo a obter um controle do pedido ímpar.

Depois de várias horas de trabalho debruçado sobre seu Galaxy Note, ele teve sua resposta e parece Vlingo sabe mais sobre seus clientes do que está deixando transparecer.

Mas antes de entrarmos no que Jörg descobriu, algumas informações sobre o app em questão: Vlingo é um aplicativo pré-instalado no Samsung Galaxy Note e também pode ser baixado no Android Market.

Depois de analisar as leituras filtradas do logcat, Jörg conseguiu determinar o seguinte:

1) Os dados do usuário estão sendo coletados

D/UALService:Timer-323(10019): VLG_transmitting user activity data <– O processo de coleta começa aqui
D/HttpManager:Timer-323(10019): VLG_Queing background http request: ActivityLog
…….
…….
D/VLServiceUtil:BackgroundHttpManager323(10019): VLG_** vlclient: <– Início da coleta de dados do dispositivo
DeviceMake=samsung;
DeviceOSName=Android;
DeviceModel=GT-N7000;
DispositivoOS=2.3.6;
Idioma=de-DE;
ConnectionType=DirectTCP;
Operadora=T-Mobile A;
País da Operadora=AT;
DeviceID=359532540167434;
AudioDevice=Android
……..
……..
D/AndroidLocationUtils:BackgroundHttpManager323(10019): VLG_Getting location <– os dados de localização do usuário são coletados
D/AndroidLocationUtils:BackgroundHttpManager323(10019): VLG_Found provedor: rede <– a localização do wifi da rede é coletada
……..
……..
D/AndroidLocationUtils:BackgroundHttpManager323(10019): <– os dados de localização são compilados
VLG_Got Lat=46.178338204999932;
Longo=14,362434382504343;Alt=0,0;
GSM_MCC=232;GSM_MNC=03;CID=2107023;LAC=58400;RAC=0
…….
…….
D/HttpUtil:BackgroundHttpManager323(10019): VLG_extraHeaders: <– O cabeçalho http é preparado
{X-vlsr=AppID=com.samsung.android.umpc,
Accept-Language=de-DE,de;q=0.7,en;q=0.5,
X-vllocation=Lat=46.178338204999932;Long=14.362434382504343;Alt=0.0;
GSM_MCC=232;GSM_MNC=03;CID=2107023;LAC=58400;RAC=0,
Accept-Charset=utf-8,ISO-8859-1;q=0.5,*;q=0.5,
X-vlsoftware=Nome=SamsungVoiceUI; Versão=2.9.0.B1104; AppChannel=Pré-instalação gratuita,
x-vlclientdate=Data=2012-01-21,
X-vlclient=DeviceMake=samsung;
DeviceOSName=Android; DeviceModel=GT-N7000; DispositivoOS=2.3.6;
Idioma=de-DE; ConnectionType=DirectTCP; Operadora=T-Mobile A;
País da Operadora=AT; DeviceID=359532540167434; AudioDevice=Android,
X-vlprotocol=Versão=3.6; ResponseEncoding=text/xml,
X-vvs=Versão=1.0,
Content-Type=application/octet-stream;boundary=——————————-1878979834,
Cache-Control=no-cache,no-store,max-age=0,no-transform}
…….
…….
I/HttpRequest-BackgroundHttpManager323(10019): VLG_** Obtendo nova conexão http. método POST hc com.[email protected]40625f00
D/HttpRequest:BackgroundHttpManager323(10019): VLG_** postData=359532540167434WGKK10/1< /c>Auskunft118 676Táxi60……..

7. São recolhidas listas de todos os títulos de música, incluindo informações de música, de títulos guardados no cartão SD.
Semelhante às informações de contato, as informações sobre todos os arquivos de mídia no cartão SD são comunicadas ao Vlingo.
URL: http://samsungvuiasr.vlingo.com:80/voicepad/lmtt

8. O que você pode fazer sobre isso?

• Em primeiro lugar, você deve desative o “usar minha localização” opção nas configurações do Vlingo. Isso evita que qualquer informação de localização seja associada aos dados coletados pelo vlingo.
• Se você excluir os dados associados do Vlingo via menu > aplicação > Vlingo então Vlingo não pode mais coletar suas informações. Claro, isso também significa que você não pode mais usar o controle de voz.
• Se você tiver acesso root ao seu telefone, também poderá excluir o aplicativo. Mas é difícil dizer se isso afetará o desempenho do seu dispositivo em outras áreas

Conclusão:

Mesmo que o primeiro aviso do usuário indique que os dados do usuário serão coletados, ele não fornece uma imagem verdadeira do escopo das informações coletadas nem uma imagem precisa de quão seguros são os dados transferidos. A política de coleta de dados da Vlingo é um convite ao abuso de informações do usuário e dados privados.