App do Uber pode monitorar a tela do iPhone sem usuário saber

Nesta semana, o pesquisador de segurança Will Strafach publicou no Twitter uma série de de informações a respeito de um privilégio bastante curioso de que o aplicativo do Uber se aproveita no iOS. Em suma, o recurso permite ao app monitorar secretamente a tela do iPhone, com o potencial de registrar qualquer informação que surge ali mesmo com o app fechado.

De acordo com o especialista, essa “brecha” existe no iOS e só pode ser utilizada com uma espécie de permissão especial concedida pela própria Apple. De acordo com o ZDNet, o Uber seria o único aplicativo de terceiros (ou seja, não oficial da Maçã) a utilizar este recurso, algo sem precedente no universo do segundo sistema mobile mais usado no mundo.

O privilégio utilizado pelo app do Uber se trata do com.apple.private.allow-explicit-graphics-priority. Ele permite que um serviço leia ou registre informações a partir do framebuffer de um iPhone ou iPad, abrindo a possibilidade de coleta de dados que aparecem no display dos aparelhos.

E se a ideia de ter a Uber monitorando tudo o que aparece na sua tela não for suficientemente assustadora, imagine essa possibilidade sendo explorada por hackers. Como o aplicativo faz tudo de forma secreta, invasores poderiam se aproveitar dele a fim de capturar informações sensíveis, como dados de login, senhas e até mesmo informações de cartão de crédito ou bancárias.

Uber se explica

Em sua defesa, a Uber garante que o código em questão foi usado apenas para aprimorar a renderização de mapas dentro do aplicativo quando ele é utilizado no smartwatch da Apple. “A API permitiria que mapas fossem renderizados no seu telefone em segundo plano para, então, serem enviados ao Apple Watch”, afirmou um porta-voz.

Para evitar maiores problemas, a companhia afirma que o código será completamente removido do aplicativo. “Atualizações subsequentes para o Apple Watch e para o nosso aplicativo removeram esta dependência [de rodar em segundo plano para renderizar melhor no Apple Watch], então, nós estamos removendo completamente a API”, confirmou o representante da empresa.