De Android-applicatie van LastPass bevat maar liefst zeven verschillende datatrackers. Iedere keer als een gebruiker de app opent, deelt hij informatie over onder meer het toestel en de locatie met de makers van de trackers. Volgens LastPass wordt er alleen ‘beperkte statistische data’ verzameld en geen identificeerbare gegevens.
Dat ontdekte de Duitse beveiligingsonderzoeker Mike Kuketz (artikel verwijderd door bron). Hij onderzocht voor het privacyplatform Exodus de wachtwoordmanager.
Deze datatrackers trof Kuketz aan
In het rapport beschrijft Kuketz dat het om vier datatrackers gaat en drie van marketingbureaus. De trackers die hij aantrof waren Google Analytics, Google CrashLytics, Google Firebase Analytics, Google Tag Manager, AppsFlyers, Mixpanel en Segment.
Google Analytics en Firebase Analytics houden statistieken bij over een website of applicatie. Om onverwachte crashes en bugs te analyseren vertrouwt Google op CrashLytics. Google Tag Manager is bedoeld om gebruikersdata te taggen om het op een later tijdstip sneller te kunnen bestuderen.
AppsFlyer is een tool voor adverteerders om te analyseren waar gebruikers advertenties bekijken. MixPanel meet met behulp van A/B testing gebruikersinteractie op websites en apps. Segment tot slot is een advertentieplatform om het verzamelen en versturen van gebruikersdata eenvoudiger te maken wanneer er meerdere databases of marketingtools in het spel zijn.
Deze gegevens verzamelt en deelt LastPass
“Voor een applicatie die extreem gevoelige data verwerkt, is dit simpelweg een aanfluiting”, zo schrijft de Duitse beveiligingsexpert. Adverteer- en analysetools horen volgens hem simpelweg niet thuis in een wachtwoordmanager als LastPass. Nog sterker: code afkomstig van derden zou eigenlijk niet geïntegreerd mogen worden in een password manager. De makers van wachtwoordmanagers weten volgens Kuketz vaak zelf niet eens welke data deze modules verzamelen en doorsturen.
Om te kijken of de datatrackers ook daadwerkelijk actief zijn, keek Kuketz naar het netwerkverkeer van LastPass. Uit zijn analyse blijkt dat de app iedere keer bij opstarten contact opneemt met alle partijen die de trackers hebben laten ontwikkelen (Google Tag Manager uitgezonderd). De trackers delen informatie als wie de fabrikant van de smartphone is, het model van de mobiele telefoon, provider, Android-versie, Google Advertising ID, schermresolutie, Bluetooth-versie en de app-versie van LastPass die is geïnstalleerd.
De datatrackers versturen ook metadata van gebruikers. Ze weten onder meer wanneer een nieuw wachtwoord is aangemaakt, wat voor soort account een gebruiker heeft en welke interacties hij uitvoert op zijn smartphone. Het is volgens Kuketz hoogst onwaarschijnlijk dat inloggegevens via de trackers worden verstuurd.
‘Trackers verzamelen geen gevoelige persoonsgegevens’
“De meest recente versie van LastPass is hoogstwaarschijnlijk in strijd met de AVG. De aanpak van de ontwikkelaar is, op het gebied van veiligheid, uiterst twijfelachtig”, zegt Kuketz. Hij raadt iedereen die LastPass gebruikt aan om over te stappen naar een andere wachtwoordmanager. 1Password en KeePass hebben geen ingebouwde datatrackers. Bitwarden maakt gebruik van Google Firebase Analytics en Microsoft Visual Crash Reporting. Dashlane heeft vier trackers aan boord.
Tegenover The Register zegt een woordvoerder van LastPass dat er geen gevoelige of identificeerbare persoonsgegevens worden verzameld en doorgestuurd door de ingebouwde trackers. De data wordt naar eigen zeggen alleen gebruikt voor statistische doeleinden om de app te verbeteren. Gebruikers kunnen via het instellingenmenu een opt-out instellen.
LastPass hanteert vanaf half maart andere gebruiksvoorwaarden
Vorige week was LastPass ook al in het nieuws. Toen maakte de ontwikkelaar van de wachtwoordmanager kenbaar dat leden die een gratis account van LastPass hebben de dienst vanaf 16 maart alleen nog maar op één type apparaat kunnen gebruiken: een computer of smartphone. Er zit geen limiet op het aantal computers of mobiele telefoons. Wil je de password manager op beide hardware-varianten gebruiken, dan zul je vanaf half maart een Premium account afsluiten. Deze kost 2,90 euro per maand.
