Dönem takip uygulaması Stardust, web sitesinde "Verileriniz özeldir. Nokta." sloganını kullanıyor. Ancak Mozilla Vakfı'nın yeni araştırması, bu iddianın bazı kullanıcılar için gerçeği tam yansıtmadığını gözler önüne serdi. Araştırmaya göre Stardust, kullanıcıların hassas sağlık bilgilerini üçüncü taraf analitik şirketi RudderStack ile paylaşıyor.
Hangi Veriler Paylaşıldı?
Mozilla Vakfı'nın dönem takip uygulamalarının gizlilik pratiklerini inceleyen son bulgularına göre Stardust, kullanıcıların doğum tarihi, kullandıkları doğum kontrol yöntemi, üreme hedefleri ve yaşadıkları belirli semptomlar gibi son derece kişisel bilgileri RudderStack ile paylaşıyor. Bu veriler, kullanıcının adı yerine benzersiz bir tanımlayıcıya bağlanarak iletiliyor. Ancak ABD Federal Ticaret Komisyonu (FTC), bu yöntemin veriyi anonim hale getirmediğini ve söz konusu bilgilerin bir kişiyle ilişkilendirilmesini engellemediğini uzun süredir vurguluyor.
Mozilla Vakfı'nın güvenlik araştırmacısı Shoshana Wodinsky, Stardust dahil birden fazla dönem takip uygulamasının ağ trafiğini analiz ederek uygulamaların verileri üçüncü taraflarla paylaşıp paylaşmadığını inceledi. Wodinsky, test edilen altı uygulama arasında kullanıcıların hassas sağlık verilerini başka bir şirketle paylaşan tek uygulamanın Stardust olduğunu tespit etti.
Arka Planda Dönen Veri Akışı
Bu tür veri paylaşımları çoğunlukla uygulamanın arka planında gerçekleşir ve kullanıcıya görünmez. Uygulamaların depolama, analitik ve ödeme gibi hizmetler için verilerini başka servislerle paylaşması yaygın bir pratik olmakla birlikte, kullanıcı bilgilerinin üçüncü taraflarla paylaşılması beraberinde ciddi riskler getiriyor: güvenlik açıkları, veri ihlalleri ya da verilerin kolluk kuvvetleri tarafından talep edilmesi bunların başında geliyor.
Stardust'ın kurucusu Rachel Moranis, TechCrunch'ın yorum talebine ve şirketin kullanıcı verisi için herhangi bir resmi talep alıp almadığına ilişkin sorulara Perşembe günü yanıt vermedi. Şirket adına bir sözcü ise yayın sonrasında gönderdiği e-postada şirketin "yetkililerden veya üçüncü taraflardan kullanıcı verileri için hiçbir zaman herhangi bir talep, istek veya yasal süreç almadığını" belirtti.
Stardust'ın Uçtan Uca Şifreleme İddiası Çürütülmüştü
Bu gelişme Stardust için ilk tartışma değil. TechCrunch, 2022 yılında da uygulamayı haberleştirmişti; ABD'de anayasal düzeyde tanınan kürtaj hakkının ortadan kalkmasının ardından Stardust'ın indirme sayısı hızla artmıştı. O dönemde Stardust, uçtan uca şifreleme kullandığını, yani şirketin bile kullanıcıların verilerine erişemeyeceğini iddia etmişti. Ancak TechCrunch, uygulamanın ağ trafiğini analiz ederek bu iddianın doğru olmadığını ortaya koymuştu. Wodinsky de şimdiki araştırmasında benzer bir tekniği kullanarak sonuçlara ulaştı.
Stardust ve RudderStack'in Tutumu
BBC News'e konuşan bir Stardust sözcüsü, RudderStack'in sözleşmeyle "verileri satmaktan veya kendi amaçları için kullanmaktan yasaklandığını" söyledi. Bununla birlikte, her ikisi de ABD merkezli şirketler olan Stardust ve RudderStack, sunucularında depolanan kullanıcı sağlık bilgileri için kolluk kuvvetlerinden gelen talepleri almaya yasal olarak açık durumdadır.
Mozilla Vakfı'nın araştırması, dönem takip ve diğer sağlık uygulamalarının üçüncü taraflarla veri paylaşımının getirdiği güvenlik ve gizlilik risklerinin altını bir kez daha çiziyor.
Araştırmada Öne Çıkan Güvenli Uygulama: Euki
Wodinsky'nin test ettiği altı uygulama arasında Mozilla Vakfı, Euki uygulamasını "tertemiz" olarak nitelendirerek önerdi. Araştırmaya göre Euki, temel özellikleriyle herhangi bir üçüncü tarafla veri paylaşmıyor ve kullanıcıların sağlık verileri cihazı terk etmiyor.
Sıkça Sorulan Sorular
Stardust hangi kullanıcı verilerini RudderStack ile paylaşıyor?
Mozilla Vakfı'nın araştırmasına göre Stardust; kullanıcıların doğum tarihi, doğum kontrol yöntemi, üreme hedefleri ve yaşadıkları belirli semptomları RudderStack ile paylaşıyor. Bu veriler kullanıcı adı yerine benzersiz bir tanımlayıcıya bağlanıyor.
Bu veri paylaşımı anonim sayılır mı?
FTC, benzersiz tanımlayıcı kullanımının veriyi anonim hale getirmediğini ve söz konusu bilgilerin bir kişiyle ilişkilendirilmesini engellemediğini uzun süredir belirtiyor. Dolayısıyla bu yöntemin tam anlamıyla anonimlik sağladığı söylenemez.
Araştırmayı kim yaptı ve nasıl gerçekleştirildi?
Araştırma, Mozilla Vakfı güvenlik araştırmacısı Shoshana Wodinsky tarafından yapıldı. Wodinsky, Stardust dahil birden fazla dönem takip uygulamasının ağ trafiğini analiz ederek uygulamaların üçüncü taraflarla veri paylaşımını inceledi.
Stardust'ın daha önce uçtan uca şifreleme iddiası neden önemli?
Stardust, 2022 yılında uçtan uca şifreleme kullandığını, yani şirketin bile kullanıcı verilerine erişemeyeceğini öne sürmüştü. Ancak TechCrunch, uygulamanın ağ trafiğini analiz ederek bu iddianın doğru olmadığını kanıtlamıştı. Şimdiki araştırma da benzer bir teknikle yürütüldü.
Mozilla Vakfı hangi uygulamayı güvenli buldu?
Mozilla Vakfı, test edilen altı uygulama arasından Euki'yi "tertemiz" olarak nitelendirerek önerdi. Euki'nin temel özellikleriyle herhangi bir üçüncü tarafla veri paylaşmadığı ve kullanıcıların sağlık verilerinin cihazı terk etmediği gözlemlendi.
