A privacidade dos dados é um dos pilares fundamentais na gestão de palavras-passe, mas uma nova descoberta levanta questões sérias sobre as práticas de um dos serviços mais populares do mercado. A dupla de investigadores de segurança e developers de iOS, conhecida como Mysk, revelou que o 1Password mantém as fotografias de perfil dos utilizadores armazenadas e publicamente acessíveis através de um URL, mesmo depois de a conta ter sido apagada ou a imagem alterada.
Esta situação expõe uma potencial falha nos mecanismos de retenção de dados da empresa, contradizendo as expectativas de privacidade dos utilizadores que confiam na plataforma para proteger as suas credenciais mais sensíveis.
URLs públicos e persistentes
A investigação começou quando os especialistas descobriram que as imagens de perfil carregadas para o serviço não ficavam restritas ao ambiente seguro da aplicação. Em vez disso, estas ficavam acessíveis através de um endereço web público. Segundo a demonstração partilhada por Mysk no Mastodon, qualquer pessoa com o link poderia visualizar a imagem, independentemente de ter ou não conta no serviço.
O problema agrava-se quando se analisa o comportamento do sistema após alterações por parte do utilizador. Num teste realizado com uma conta de ensaio, os investigadores alteraram a imagem de perfil, mas constataram que a fotografia antiga continuava disponível no link original. Isto significa que o ficheiro não foi substituído nem eliminado dos servidores, permanecendo acessível online.
O cenário mais crítico ocorre no momento da eliminação da conta. A expectativa de qualquer utilizador é que, ao encerrar o serviço, todos os seus dados sejam removidos. No entanto, Mysk reporta que, mesmo após apagar a conta de teste, a imagem de perfil continuou armazenada nos servidores da empresa e acessível publicamente através do mesmo URL.
Conflito com o RGPD e dados pessoais
Esta prática levanta sérias dúvidas sobre a conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD). Os investigadores salientam que a própria documentação do 1Password classifica as imagens de perfil como Informação Pessoalmente Identificável (PII).
À luz das normas europeias de proteção de dados, quando a finalidade para a qual os dados foram recolhidos deixa de existir (neste caso, a identificação de um perfil numa conta que foi apagada), essa informação deve ser eliminada. Manter imagens pessoais acessíveis publicamente sem o consentimento ou conhecimento do utilizador, especialmente após este ter cortado laços com o serviço, pode constituir uma violação do direito ao esquecimento e das políticas de privacidade que regem o tratamento de dados sensíveis.
Nenhum comentário
Seja o primeiro!