Codehergebruik bezorgt Trend Micro brede ban in app store

Trend Micro is meegenomen in een privacyrel over Mac-apps die stiekem gevoelige gebruikersgegevens vergaren en uploaden. Aanleiding is een anti-adware app van vage herkomst die de browsergeschiedenis van Mag-gebruikers verpakt in een beveiligd zip-bestand en dat upload naar servers in China. Dergelijke praktijken zijn door een security-onderzoeker ook waargenomen bij beveiligingsapps van de bekende leverancier Trend Micro. Deze apps zijn niet meer aanwezig in de App Store die Apple runt voor systemen met zijn computerbesturingssysteem macOS (voorheen Mac OS X geheten).

De Japanse aanbieder van securitysoftware spreekt nu tegen dat het zonder toestemming data vergaart, en dat het die gegevens uploadt naar China. "Berichten dat Trend Micro 'gebruikersdata steelt" en die verstuurt naar een ongeïdentificeerde server in China zijn absoluut onwaar", verzekert het bedrijf. Deze ontkenning is het begin van de blogpost 'Antwoorden op je vragen over onze apps in de Mac App Store'.

Wel datavergaring

Eigen onderzoek naar de privacy-ophef wijst wel uit dat de producten Dr Cleaner, Dr Cleaner Pro, Dr. Antivirus, Dr. Unarchiver, Dr. Battery en Duplicate Finder gebruikersgegevens vergaren. Deze worden dan ge-upload naar cloudservers van AWS (Amazon Web Services) die zich in de Verenigde Staten bevinden en waar Trend Micro het beheer over heeft. Gebruikers zouden hiervoor permissie geven bij de installatie van deze producten, hoewel daar online aan wordt getwijfeld en kritiek op wordt gegeven.

De vergaarde en ge-uploadde data, zo legt Trend Micro uit, betreft slechts een kleine snapshot van de browsergeschiedenis. Bovendien gebeurt dit slechts eenmalig en bestrijkt het alleen de 24 uur vóór installatie van de app in kwestie. Deze one-time datacollectie is ten behoeve van de beveiliging, benadrukt Trend Micro. Het gebruikt deze informatie namelijk om te analyseren of de gebruiker recent al adware of andere securitybedreigingen is tegengekomen.

Vlot verwijderd

Op basis hiervan worden weer de producten en diensten van de beveiligingsleverancier verbetert, luidt de verklaring van Trend Micro. Deze algemene omschrijving wordt door vele ICT-leveranciers gebezigd voor uiteenlopende vormen van datavergaring. De omstreden functionaliteit voor het oogsten van gebruikersgegevens is nu door Trend Micro verwijderd uit zijn consumentenproducten. Verder heeft het bedrijf alle logs van voorheen verzamelde informatie verwijderd.

Tot slot is de app-maker tot de ontdekking gekomen dat het code heeft hergebruikt in een reeks van zijn producten. Dit is het resultaat van algemene codebibliotheken, blogt Trend Micro. De verzamelfunctionaliteit voor browsergeschiedenisdata is daarbij ingezet voor zowel security-georiënteerde producten als ook voor gewone tools. Laatstgenoemde apps omvatten realtime accumonitor Dr. Battery, compressieprogramma Dr. Unarchiver en Mac-schoonmaker Dr. Cleaner. Voor dergelijke tools is de genoemde beschermingsreden helemaal niet van toepassing.