O eBay pode estar a espiar o seu computador 🕵️🖥️

Categoria : Segurança Visitas: 4004 Tempo de Leitura: 4 Minutos

O mais famoso site de venda por leilão do mundo pode ser capaz de entrar remotamente nos computadores dos seus milhões de utilizadores. A descoberta foi feita esta semana por Charlie Belmer, funcionário da DuckDuckGo na área da privacidade e segurança.

Esta afirmação, avançada pelo especialista no seu blog, caiu como uma bomba: este comportamento por parte do website foi visto a ocorrer com browsers no Windows, mas não no sistema operativo Linux.

O que é um port scan?

De forma altamente resumida, um port scan ou rastreador de portas é uma aplicação ou técnica frequentemente usada para confirmar se há portas abertas na rede, no alojamento ou no servidor, de forma a evitar - ou levar a cabo - ataques específicos.

É muito comum que os antivírus consigam detetar estes port scans ativos e que os sinalizem como potenciais abusos ou tentativas de ataque. Estas aplicações são muitas vezes utilizadas por profissionais ligados à área da segurança, pois ajuda-os a perceber se há fragilidades no sistema que possam ser exploradas por cibercriminosos.

Ao mesmo tempo, são usadas por estes mesmos hackers pelos mesmos motivos: encontrar portas abertas para que, em limite, possam entrar remotamente no sistema operativo.

Que portas estão a ser usadas pelo eBay?

A Bleeping Computer fez uma compilação que nos mostra um total de 14 portas que estão a ser exploradas pelo eBay. Além de um programa desconhecido na porta 63333, as restantes 13 são ferramentas de acesso remoto como o VNC e o TeamViewer, por exemplo.

Entretanto, já foram feitos alguns testes em dois browsers distintos (Google Chrome e Mozilla Firefox), ambos a correr em computadores com o Windows 10. Os testes foram efetuados de acordo com as seguintes ações: começou-se por abrir o browser, pressionar o F12 e depois a aba “network” ou “rede”; de seguida, ao entrar no site do eBay, percebeu-se que as conexões ao 127.0.0.1, o localhost, estariam mesmo a ser rastreadas.

Para ver mais aprofundadamente este assunto, pode espreitar este artigo.

E o que diz o eBay sobre o assunto?

A um jornalista de uma revista norte-americana - que questionou a empresa sobre o tema, quis saber como é que que os dados estão a ser usados e se deveria ser pedido o consentimento aos utilizadores antes de optar por este tipo de ação -, um porta-voz do eBay disse o seguinte: “A privacidade e os dados dos nossos clientes continuam a ser a nossa principal prioridade. Estamos comprometidos em providenciar uma experiência nos nossos sites e serviços que seja segura e de confiança”.

Ainda assim, sabe-se que a empresa está a investigar as queixas relativas a esta atividade de rastreamento de portas, que é, de facto, uma tecnologia utilizada como parte de um programa de deteção de fraude utilizado pela companhia.

Esta tecnologia em particular chama-se ThreatMetrix e é utilizada para identificar sistemas potencialmente comprometidos e atividade fraudulenta. O mesmo repórter contactou a LexisNexis Risk Solutions, que comercializa o ThreatMetrix, mas esta empresa não teceu quaisquer comentários ao caso.

Será que se trata de proteção anti-fraude?

Mas, e se o eBay está a levar a cabo estas ações para evitar problemas e porque leva a segurança muito a sério? Seria ótimo, obviamente, pois todos nós deveríamos aplaudir medidas apertadas de cibersegurança, mas aqui é que surge o problema: os utilizadores não deviam ser questionados sobre o seu consentimento antes de terem o seu computador espiado?

Caso esta pergunta fosse feita, o mais certo é que os users consentissem. No entanto, mesmo que algo relacionado com este tema estivesse ‘escondido’ nos termos e condições do eBay, tal teria muito poucas consequências. E isto porque, aparentemente, este comportamento não ocorre apenas quanto aos utilizadores autenticados e com o login feito no site; tal acontece também aos visitantes que não tenham conta ou que não tenham feito o login, e mesmo que utilizem abas de navegação privada (o chamado modo incógnito no browser).

O que dizem os especialistas? 

Os profissionais ligados à área da cibersegurança têm uma opinião praticamente unânime quanto a este tema: é sempre de evitar que uma empresa leve a cabo este tipo de ações de forma tão silenciosa, sem sequer alertar os seus clientes ou visitantes. Sim, mesmo que estejam a evitar a ocorrência de qualquer tipo de fraude.

Esta situação traz mais uma grande desvantagem para a empresa: tal como muitas outras, o eBay depende muito da confiança dos seus clientes para prosperar. Ao fazer estes rastreios sem pedir autorização ou informar, os seus users podem começar a procurar a concorrência.

Qualquer site que tenha acesso aos dados bancários dos seus clientes deve oferecer a melhor proteção possível contra fraudes, mesmo que para isso utilize o port scan, mas tem de avisar os utilizadores de que o está a fazer.

É conhecido que algumas entidades bancárias também o fazem, mesmo sem pedirem autorização aos seus clientes ou informarem sobre essa ação. A dúvida aqui mantém-se, e recai até na legalidade da ação. No Reino Unido, por exemplo, esta prática é proibida e pode mesmo levar a uma pena de prisão.

Como evitar que o eBay faça isto no meu computador?

Existem algumas formas de prevenir a ocorrência destes rastreios se está a utilizar o sistema operativo Windows. Pode utilizar outros browsers para se conectar ao eBay, algo que aparentemente bloqueia o port scan – de acordo com alguns users relataram no Twitter.

Em alternativa, pode instalar algumas aplicações e extensões para o Chrome e Firefox que bloqueiam este tipo de ações. 

Catarina Sousa

A former journalist on newspapers and TV, now publicist and creative mind at her own agency. Passionate about writing, creating ads and watch Law & Order. Married, mom of two adorable cats.