Mozilla descubre que Stardust comparte datos de salud de usuarios con firma de análisis

«Tus datos son privados. Punto», dice Stardust en su sitio web. Sin embargo, una investigación de Mozilla descubrió que la aplicación de seguimiento del periodo comparte información de salud confidencial de las usuarias con la empresa de análisis externa RudderStack. Los datos compartidos incluyen la fecha de nacimiento de la usuaria, el tipo de anticonceptivo, los objetivos reproductivos y síntomas específicos, vinculados a un identificador único en lugar de a un nombre. La Comisión Federal de Comercio (el regulador de protección al consumidor de Estados Unidos) ha advertido durante mucho tiempo que los identificadores únicos no anonimizan los datos ni evitan que se vinculen nuevamente con una persona.

La investigadora de seguridad de Mozilla, Shoshana Wodinsky, analizó el tráfico de red de seis aplicaciones de seguimiento del periodo evaluadas, incluida Stardust, para comprender cómo recopilaban y compartían datos con terceros, si es que lo hacían. Descubrió que Stardust era la única aplicación de las seis evaluadas que compartía datos de salud confidenciales de las usuarias con otra empresa. Por el contrario, Mozilla recomendó a Euki como «completamente limpia», ya que la aplicación no compartía ningún dato con terceros a través de sus funciones principales, manteniendo los datos de salud en el dispositivo de la usuaria. El hallazgo evoca una investigación de TechCrunch de 2022, motivada por el aumento en las descargas de Stardust tras la anulación del derecho constitucional al aborto en Estados Unidos: Stardust afirmaba que contaba con cifrado de extremo a extremo —lo que significaba que ni siquiera la empresa podía acceder a los datos de sus usuarias—, pero TechCrunch descubrió al analizar el tráfico de red de la aplicación que la afirmación de la empresa era falsa.

Según citas de BBC News, un vocero de Stardust señaló que RudderStack tiene «prohibido por contrato venderlos o utilizarlos para sus propios fines». Aun así, al ser empresas con sede en Estados Unidos, tanto Stardust como RudderStack todavía pueden recibir solicitudes de información de las usuarias por parte de las fuerzas del orden. Compartir la información de las usuarias con terceros conlleva de manera inherente riesgos como posibles fallas de seguridad, filtraciones de datos o el acceso de las fuerzas del orden. La fundadora de Stardust, Rachel Moranis, no respondió a la solicitud de comentarios de TechCrunch el jueves, que incluía preguntas sobre si la empresa ha recibido tales solicitudes de las fuerzas del orden; un vocero confirmó la recepción del correo electrónico, pero no proporcionó comentarios.

Por qué importa

Los hallazgo subrayan los persistentes riesgos de privacidad y seguridad de las aplicaciones de seguimiento del periodo y otras aplicaciones de salud que comparten datos con terceros, lo que expone a las usuarias a posibles fallas de seguridad, filtraciones de datos o al acceso de las fuerzas del orden a registros de salud confidenciales.