Avast är i varmt vatten igen: dotterbolaget säljer surfningsdata
- Kategori: Säkerhet
De senaste par månaderna har inte varit bra för Avast. Företaget mötte en våg av kritik sedan dess några av dess affärsmetoder kom fram. Wladimir Palant sparkade av allt med en detaljerad analys av Avasts webbläsarutvidgningar.
Han upptäckte att utvidgningarna överförde webbläsarhistorikinformation till Avast som gick utöver de data som behövdes för att ge den säkerhet som produkten lovade. Bland uppgifterna var den fullständiga URL: en för alla besökta sidor, sidtitel, referens (webbplats som användaren kom från), samt varje länk på sökresultatsidor.
Palant drog då slutsatsen att översamlingen av data inte var ett tillsyn utan medvetet. Mozilla och Google tog bort Avast- och AVG-tillägg från sina respektive webbbutiker som en följd. Avast uppdaterade sina tillägg och de är nu tillgängliga igen.
En gemensam utredning av Vice och PC Magazine tittade djupare på Avasts affärspraxis kring samlade användardata. Enligt informationen får Avast-dotterbolaget Jumpshot data från Avast-antivirusinstallationer på användarenheter, bearbetar det för att sälja den bearbetade informationen till företag.
En produkt, kallad All Clicks Feed, skulle ge företag, kunder inklusive stora företag som Google, Microsoft, Pepsi, Home Depot eller McKinsey, information om användarbeteende, klick och aktivitet på besökta webbplatser i detalj.
Uppgifterna anonymiseras enligt Avast vilket innebär att personligt identifierbar information som användarens IP-adress eller e-postadresser tas bort från uppgifterna innan de säljs.
Det ser bra ut på papper, men det finns metoder för att av anonymisera data. Ett datapaket kan innehålla ett enhets-ID vilket innebär att det är tillräckligt enkelt att leta upp surfhistoriken för en viss enhet. Det inkluderar datum och tid samt information om den besökta webbplatsen.
Ett alternativ som företag som köper uppgifterna har är att använda andra datakällor för att identifiera enskilda användare. Föreställ dig att Google eller Amazon använder datum, tid och URL-information för att korsa kontrollen med användaraktiviteter på deras webbplatser.
Om den fullständiga URL: n anges i ett datapaket kan det också vara lätt att identifiera användare beroende på aktivitet. Besök på en personlig hemsida, Twitter-svar, uppladdningar till YouTube eller annan aktivitet som kan kopplas till konton skulle ge tredje part information om den faktiska användaren.
Enligt rapporterna från PC Magazine och Vice slutade Avast att använda data för ”något annat syfte än kärnans säkerhetsmotor”. PC Magazine noterar att Avasts Jumpshot-division fortfarande kan skaffa data genom Avasts huvudsakliga antivirusprogram (inklusive AVG). Båda antiviruslösningarna inkluderar en Web Shield-komponent som är utformad för att kontrollera besökta URL: er för att säkerställa att de inte utgör en säkerhetsrisk (t.ex. phishing-webbplatser).