Avast prodával citlivá data jako historii prohlížení. Svou dceřinku nakonec uzavře

Bezpečnostní produkt by měly počítač chránit. Jenže bezplatné produkty s sebou mohou nést určitá úskalí. Avast například důkladně sledoval, kudy brouzdáte. Data pak přeprodával přes svou dceřinku.

20

Oživeno dne 30. 1. 2020

Jak si chce bezpečnostní firma napravit jméno? Dnes řekla, že nejen ukončuje jakoukoli výměnu dat s Jumpshotem, svoji dceřinnou společnost dokonce natrvalo uzavře. Avast svůj záměr oznámil v tiské zprávě. Svůj postoj vyjadřuje v otevřeném dopise Ondřej Vlček, ředitel podniku.

Promlouvá v něm k investorům a investorkám, ale také k dalším zainteresovaným stranám. Uvedený krok ukazuje, že dosavadní akce nebyly dostatečné v otázce obnovení důvěry ve značku. Historie Avastu sahá až do roku 1988. V roce 2016 pak pohltil AVG Technologies.

„Hlavním posláním Avastu je chránit své uživatele na internetu a poskytnout jim kontrolu nad jejich soukromím. Jakékoli praktiky, které ohrožují důvěru uživatelů, jsou pro Avast neakceptovatelné. Bedlivě střežíme soukromí uživatelů a proto jsme co nejrychleji přikročili k procesu ukončení činnosti Jumpshotu v návaznosti na pochyby některých uživatelů o poskytování dat Jumpshotu, které není v souladu s naším posláním a zásadami, které nás jako společnost definují,“ uvádí Vlček.

Původní článek ze dne 29. 1. 2020

Tuzemský výrobce světově úspěšných antivirových produktů Avast byl nařčen z pochybného získávání velmi osobních dat na počítačích, což je praktika odhalená společným šetřením magazínů MotherboardPCMag. Svá zjištění doložily získanými interními dokumenty. Sběr a následný prodej dat označily za skutečnou cenu bezplatného antivirového produktu.

Antivirový program Avast se dnes v rámci instalace dotazuje na to, zda mu chcete umožnit sběr anonymizovaných dat, která vychází z historie prohlížení webových stránek. Tato data jsou následně poskytnuta dceřince Avastu, která se nazývá Jumpshot a pomáhá i velkým firmám porozumět chování spotřebitelů a spotřebitelek měřením jejich chování. Tyto subjekty pak mohou zlepšit své obchodní strategie a vydělat více.

V kostce se situace dá popsat tak, že Avast sleduje, kudy brouzdáte na webu, a tato data jsou následně zpeněžena jeho dceřinou společností. Již před koncem loňského roku Wladimir Palant, autor doplňku Adblock Plus, zjistil, že doplňky Avastu pro prohlížeče vytěžují uživatelská data. Zejména umožňovala rekonstruovat historii prohlížení. V reakci doplňky Avast Online Security, AVG Online Security, Avast SafePrice a AVG SafePrice ze svého katalogu odstranily Mozilla a Opera, nakonec i Google.

Sdílení dat se třetími stranami podle nastavení nadále možné je

Podezření potvrzeno

Palant poukázal na to, že Avast prováděl sběr dat nad rámec potřeb svého softwaru, aniž by stanovil jasnou retenční politiku. Navíc podle určitých studií nemusí být problém aspoň část dat deanonymizovat. Avast koupil Jumpshot v roce 2013 a Palant spekuloval, že právě skrze tento subjekt bezpečnostní firma data využívá.

Tip: Souboj bezpečnostních expertů. Jsou antiviry přínosné, nebo je máme zahodit?

Nová zjištění podržení potvrzují. Jumpshot uvádí, že disponuje daty ze 100 milionů zařízení, Avast pak používá přes 435 milionů lidí. Jeho výrobce pak někdejší sběr a prodej dat potvrdil ve vyjádření, které nám zaslal, s tím, že od praktik už upustil. V tomto případě je jednak problémové, jak byl/je sběr dat komunikován. Podle Motherboardu řada lidí nevěděla, že Avast sbírané údaje dále přeprodával.

K potenciálním zákazníkům Jumpshotu patří např. Microsoft, který prý s firmou aktuálně nemá žádný vztah, IBM, které prý rovněž není zákazníkem, nebo Google. Z netechnologických firem jmenujme Pepsi, Sephoru nebo Condé Nast.

Můžeme data sbírat?

Tuzemská firma nám místo odpovědí na naše otázky zaslala pouze delší vyjádření níže. Nepotvrdila nám např. to, kterých všech produktů se sběr dat týkal. Podle všeho probíhal a probíhá jen skrze bezplatnou verzi antiviru.

Avast aspoň potvrdil, že sběr dat na počítačích probíhá dobrovolně až od července 2019, do té doby produkt neobsahoval výzvu, kde byste měli možnost se dobrovolně explicitně přihlásit. Do července jste se tak jen mohli vyvázat, pokud jste věděli, kam klepnout myší. Ani dnes produkt nekomunikuje do detailu, k čemu jsou data využita. Sdílení se třetími stranami nicméně probíhá, pokud jej povolíte.

Co se doplňků pro prohlížeče týče, o ty už bylo postaráno v prosinci, viz vyjádření níže. Od tohoto měsíce data posbíraná doplňky nepředává Jumpshotu a využívá je pouze pro potřeby antiviru.

Další část problematiky se týká možnosti deanonymizovat data, zejména díky spojení s dalšími daty nabíranými jinými cestami. Jumpshot disponuje adresami URL, která jsou doplněná časovým razítkem (s přesností milisekund). PCMag a Motherboard na základě odborných názorů tvrdí, že provést deanonymizaci je možné.

Vyjádření Avastu

 „V prosinci 2019 jsme rychle zareagovali a upravili naše bezpečnostní doplňky prohlížečů, tak aby splňovaly standardy obchodů s doplňky prohlížečů, takže vše nyní plně odpovídá jejich požadavkům. Současně jsme přestali používat jakákoliv data z bezpečnostních doplňků prohlížeče pro jiný účel, než je jádro našeho antivirového programu, včetně sdílení s naší dceřinou společností Jumpshot.

Ujišťujeme, že společnost Jumpshot nezískává osobní identifikační údaje jako jsou jména, e-mailové adresy nebo kontaktní údaje. Uživatelé měli vždy možnost odhlásit se a data se společností Jumpshot nesdílet. Od července 2019 jsme zavedli volbu „opt-in“, tedy možnost pro všechny nové uživatele zvolit si, zda chtějí data sdílet, nebo ne. Nyní také vyzýváme naše stávající uživatele bezplatného antivirového programu, aby se rozhodli pro možnost opt-in nebo opt-out. Tento proces bude dokončen v únoru 2020.

Naše platné Zásady ochrany osobních údajů podrobně popisují způsob ochrany dat, který jsme zavedli pro všechny naše uživatele. Ti si také mohou upravit úroveň ochrany osobních údajů pomocí široké škály nastavení dostupných v našich produktech, včetně kontroly nad jakýmkoli sdílením dat. Globálně jsme se všude, kde působíme, dobrovolně přihlásili k dodržování požadavků na ochranu soukromí GDPR a kalifornského spotřebitelského zákona California Consumer Privacy Act (CCPA).

Avast má dlouhou historii ochrany zařízení a dat uživatelů před škodlivým malwarem. Vnímáme velmi vážně naši odpovědnost za nalezení rovnováhy mezi soukromím uživatelů a nezbytným používáním dat pro naše základní bezpečnostní produkty.“

Avast prodával citlivá data jako historii prohlížení. Svou dceřinku nakonec uzavře
Ohodnoťte tento článek!
4.7 (93.85%) 13 hlas/ů

20 KOMENTÁŘE

  1. Informace o používání sbírají všichni a kdo tvrdí, že ne, ten jich sbírá nejvíc. Třeba Google ví, jaké stránky jsem navštívil, co jsem hledal, kde jsem byl, často i co jsem tam dělal (fotky), co a s kým si píšu, a svým způsobem to taky prodává dál, i když ne v takto komplexní podobě. Rozdíl je v tom, že Google je důvěryhodná a vysoce transparentní firma (v podmínkách má přesně do puntíku vypsáno, co, proč a jak sbírají, co s tím dělají a kdo s tím může přijít do styku) a zadruhé za to dostávám „zdarma“ celou řadu skvělých služeb, které bych jinak musel platit. Na druhé straně Avast sbírá to samé a nejspíš ještě víc (když zaznamenává, co hledám v Googlu, tak klidně může zaznamenávat mail, bankovnictví, datovou schránku, navíc vidí i čistě offline obsah, na který Google nedosáhne) a dostávám za to co? Nic moc antivir, který je horší než antivir zdarma, který je součástí systému. To je tedy bezva koupě. Ještě že ho nepoužívám.

  2. Mám taky androida. A žádný mail mi nepřišel. To je asi tím že automaticky klikám na „NE. Nepřeju si šmirování.“
    I když tato volba je vždy skrytá na rozdíl od ANO. Musím se přiznat že Waze mně oznámilo kolik jsem ujel km. No vzhledem k tomu že ho koupil google (Zase to Deja vu) zkusím přejít na mapy.cz.
    A tento komentář si google taky přečte, protože ve FF se mi nedá přihlásit na cnews.cz. Asi protože blokuji cookies?

    • Neodvádí dceřinná společnost případné zisky matce(držitelce podílu)? V případě průvihu se typicky kapitálově prázdná dceřinka může pohřbít. Matka není jejím případným jednáním ohrožena, dceřinka má vlastní právní subjektivitu. Není žádný důvod vystavovat případnému riziku mateřskou společnost.