Angry birds deler dataene dine vidt og bredt

Angry Birds er ganske pratete med spillernes personlige opplysninger, ifølge en grundig analyse fra FireEye.

Android-versjonen av Angry Birds tilgjengelig på Google Play, sist oppdatert 4. mars, deler personlig informasjon som alder, kjønn og adresse sammen med enhetsinformasjon med flere parter, ifølge et blogginnlegg av FireEye-forskerne Jimmy Su, Jinjian Zhai og Tao Wei. Brukere som spiller spillet uten en Rovio-konto, deler også informasjon om enhetene sine uten å innse det, heter det i innlegget.

Dette er ikke første gang Rovio, utviklerne bak de veldig populære Angry Birds-appene, har vist seg å dele brukerdata litt for vidt. I januar avslørte en felles rapport fra The New York Times, ProPublica og The Guardian at offentlige etater som National Security Agency kunne trykke på spillet og andre lignende mobilapper for å høste inn brukerdata. Mens tidligere rapporter hadde fokusert på eldre versjoner eller "spesialutgaver" av spillet, fant FireEye-teamet at utbredt deling forekommer i flere versjoner, inkludert den siste "klassiske" versjonen, Angry Birds 4.1.0.

Med mer enn 2 milliarder nedlastinger av Angry Birds så langt, og mer enn en fjerdedel milliard brukere som oppretter Rovio-kontoer, "påvirker denne delingen mange, mange enheter, " skrev forskerne.

Hva slags deling?

Rovio oppfordrer brukere til å opprette brukerkontoer for å lagre score, objekter i spillet og for å kunne bytte enheter midt i spillet. Registrering ber om fødselsdato, kjønn og e-post. Spillere kan også abonnere på nyhetsbrevet, som ber om e-post, navn, hjemland og kjønn. Informasjonen blir samlet i en enkelt profil ved å matche e-postadressen.

FireEye slo fast at data flyter fra Angry Birds-appen, Angry Birds Cloud og annonseringsformidlingsplattform og bibliotek Burstly. Tredjeparts annonseringsnettverk Jumptap og Millennial Media innhenter informasjonen fra Burstly for å vise målrettede annonser. Angry Birds bruker også Skyrocket, en app-inntektsgenereringstjeneste fra Burstly.

Burstly legger til en unik kundeidentifikator til dataene den samler og gjør den tilgjengelig for en rekke andre annonseringsnettverk - ikke bare Jumptap og Millenial Media. Sammen med personopplysninger ble det også overført enhetsinformasjon (inkludert Android og enhetsidentifikatorer), MAC- og IP-adresser, og maskinvaremerket og modellen. På dette tidspunktet har brukeren ingen anelse om eller kontroll over hvem som har denne informasjonen, bemerket FireEye.

Forskere var også bekymret for at informasjonen ble overført via HTTP, i klartekst eller i "lett dekrypterte formater, " ifølge innlegget.

Lekkete, lekkende apper

Rovios personvernregler sier tydelig at selskapet vil samle inn og laste opp informasjonen til tredjeparts markedsføringsenheter, slik at det har dekket sine baser. Imidlertid, hvis personlig informasjon blir overført, skal den aldri være i klartekst. Ingen unnskyldninger.

Sikkerhetsselskaper er i økende grad bekymret for mengden informasjon som overføres av mobilapper til annonsørnettverk. Vi snakker jevnlig om lette apper som en del av Mobile Threat mandag. BitDefenders Clueful informerer deg når personlig informasjon blir delt, og viaForensics har nylig lansert viaProtect, som lar deg få en grundig titt på nøyaktig hvor dine data går.

Men dette er et veldig godt eksempel på hvor mye data som kan samles og hvordan det bare sprer seg utover en app. Spillere kan tro at dataene bare brukes til målrettede annonser i spillet, men som det fremgår av denne analysen, når dataene først er på Burstlys servere, kan de brukes av hvem som helst, også utenfor spillet. Mens FireEye fokuserte på Angry Birds, er det en sikker innsats at andre spill og apper bruker lignende taktikker for å dele brukerinformasjon. Husk at bare noe er gratis, betyr ikke det at du ikke betaler.