Angry birds delar dina data långt och brett

Angry Birds är ganska pratig med spelarnas personliga information, enligt en djupgående analys av FireEye.

Android-versionen av Angry Birds som finns tillgänglig på Google Play, senast uppdaterad 4 mars, delar personlig information som ålder, kön och adress tillsammans med enhetsinformation med flera parter, enligt ett blogginlägg av FireEye-forskarna Jimmy Su, Jinjian Zhai och Tao Wei. Användare som spelar spelet utan ett Rovio-konto delar också information om sina enheter utan att inse det, säger inlägget.

Detta är inte första gången Rovio, utvecklarna bakom de mycket populära Angry Birds-apparna, har visat sig dela användardata lite för brett. I januari avslöjade en gemensam rapport från The New York Times, ProPublica och The Guardian att myndigheter som National Security Agency kunde knacka på spelet och andra liknande mobilappar för att skörda användardata. Medan tidigare rapporter hade fokuserat på äldre versioner eller "specialutgåvor" av spelet, fann FireEye-teamet att utbredd delning sker i flera versioner, inklusive den senaste "klassiska" versionen, Angry Birds 4.1.0.

Med mer än 2 miljarder nedladdningar av Angry Birds hittills, och mer än en fjärdedel miljarder användare som skapar Rovio-konton, "detta delning påverkar många, många enheter, " skrev forskarna.

Vilken typ av delning?

Rovio uppmuntrar användare att skapa användarkonton för att spara poäng, objekt i spelet och för att kunna byta enheter mitt i spelet. Registreringen ber om födelsedatum, kön och e-post. Spelare kan också prenumerera på nyhetsbrevet, som ber om e-post, namn, hemland och kön. Informationen samlas i en enda profil genom att matcha e-postadressen.

FireEye bestämde att data flyter från Angry Birds-appen, Angry Birds Cloud och reklamförmedlingsplattform och bibliotek Burstly. Tredjeparts reklamnätverk Jumptap och Millennial Media skaffar informationen från Burstly för att visa riktade annonser. Angry Birds använder också Skyrocket, en apptjänstgöringstjänst från Burstly.

Burstly lägger till en unik kundidentifierare till den information den samlar in och gör den tillgänglig för ett antal andra annonsnätverk - inte bara Jumptap och Millenial Media. Tillsammans med personuppgifter överfördes också enhetsinformation (inklusive Android- och enhetsidentifierare), MAC- och IP-adresser och hårdvarumärket och modellen. Vid denna tidpunkt har användaren ingen aning om eller kontroll över vem som har denna information, noterade FireEye.

Forskare var också bekymrade över att informationen överfördes via HTTP, i klartext eller i "lätt dekrypterade format", enligt inlägget.

Läckande, läckande appar

Rovios sekretesspolicy säger tydligt att företaget kommer att samla in och ladda upp informationen till tredje part marknadsföringsenheter, så det har täckt sina grunder. Men om personlig information överförs bör den aldrig vara i klartekst. Inga ursäkter.

Säkerhetsföretag är alltmer oroade över mängden information som överförs av mobilappar till annonsörens nätverk. Vi pratar regelbundet om läckande appar som en del av Mobile Threat Monday. BitDefenders Clueful informerar dig när personlig information delas, och viaForensics har nyligen lanserat viaProtect, som låter dig få en djupgående titt på precis exakt vart dina data går.

Men detta är ett riktigt bra exempel på hur mycket data som kan samlas in och hur det bara sprids utöver en app. Spelare kanske tror att uppgifterna endast används för riktade annonser i spelet, men som det framgår av denna analys, när uppgifterna finns på Burstlys servrar, kan de användas av vem som helst, även utanför spelet. Medan FireEye fokuserade på Angry Birds, är det en säker satsning att andra spel och appar använder liknande taktik för att dela användarinformation. Kom ihåg att bara något är gratis betyder inte att du inte betalar.