Mozilla تكشف أن Stardust تشارك البيانات الصحية للمستخدمين مع شركة تحليلات

تقول Stardust على موقعها الإلكتروني: “بياناتك خاصة. نقطة انتهى.” ولكن وجد بحث من Mozilla أن تطبيق تتبع الدورة الشهرية يشارك معلومات صحية حساسة للمستخدمين مع شركة التحليلات RudderStack التابعة لجهة خارجية. وتشمل البيانات المشتركة تاريخ ميلاد المستخدم، ونوع وسيلة منع الحمل، والأهداف الإنجابية، وأعراضاً محددة، وهي بيانات مرتبطة بمعرّف فريد بدلاً من الاسم. ولطالما حذرت لجنة التجارة الفيدرالية (الجهة التنظيمية الأمريكية لحماية المستهلك - FTC) من أن المعرّفات الفريدة لا تجعل البيانات مجهولة الهوية، ولا تمنع ربطها مجدداً بالشخص المعني.

وحللت Shoshana Wodinsky، باحثة الأمن لدى Mozilla، حركة مرور الشبكة لستة تطبيقات تم اختبارها لتتبع الدورة الشهرية، بما في ذلك Stardust، لفهم كيفية جمع هذه التطبيقات للبيانات ومشاركتها مع أطراف خارجية، إن وجدت. ووجدت أن Stardust كان التطبيق الوحيد من بين التطبيقات الستة التي خضعت للاختبار الذي يشارك بيانات صحية حساسة للمستخدم مع شركة أخرى. وفي المقابل، أوصت Mozilla بتطبيق Euki ووصفته بأنه “نظيف تماماً”، نظراً لأن التطبيق لا يشارك أي بيانات مع أطراف خارجية من خلال ميزاته الأساسية، بل يحتفظ بالبيانات الصحية على جهاز المستخدم. ويعيد هذا الاكتشاف إلى الأذهان تحقيقاً أجرته TechCrunch في عام 2022، جاء مدفوعاً بالطفرة الكبيرة في تنزيلات Stardust بعد إلغاء الحق الدستوري في الإجهاض في الولايات المتحدة: حيث ادعت Stardust أنها مشفرة بين الطرفين (end-to-end) — مما يعني أنه لا يمكن حتى للشركة الوصول إلى بيانات مستخدميها — لكن TechCrunch وجدت من خلال تحليل حركة مرور الشبكة الخاصة بالتطبيق أن ادعاء الشركة كان غير صحيح.

ونقلت BBC News عن متحدث باسم Stardust قوله إن RudderStack “ممنوعة بموجب العقد من بيع هذه البيانات أو استخدامها لأغراضها الخاصة”. ومع ذلك، وبصفتهما شركتين تتخذان من الولايات المتحدة مقراً لهما، لا يزال بإمكان كل من Stardust وRudderStack تلقي طلبات للحصول على معلومات المستخدمين من جهات إنفاذ القانون. وتؤدي مشاركة معلومات المستخدمين مع أطراف خارجية بطبيعتها إلى مخاطر مثل الثغرات الأمنية المحتملة، أو اختراق البيانات، أو وصول جهات إنفاذ القانون إليها. ولم تستجب Rachel Moranis، مؤسسة Stardust، لطلب التعليق الذي أرسلته TechCrunch يوم الخميس، بما في ذلك الأسئلة المتعلقة بما إذا كانت الشركة قد تلقت مثل هذه الطلبات من جهات إنفاذ القانون؛ في حين أكد متحدث رسمي استلام البريد الإلكتروني لكنه لم يقدم أي تعليق.

لماذا يهم

تؤكد هذه النتائج على المخاطر المستمرة المتعلقة بالخصوصية والأمن لتطبيقات تتبع الدورة الشهرية وغيرها من التطبيقات الصحية التي تشارك البيانات مع أطراف خارجية، مما يعرض المستخدمين لثغرات أمنية محتملة، أو اختراقات للبيانات، أو وصول جهات إنفاذ القانون إلى سجلاتهم الصحية الحساسة.