Ano ang ginagawa ng iyong app sa buwis sa iyong data?

Ang ilang mga apps sa buwis at nauugnay na pananalapi para sa Android at iOS ay maaaring mangolekta at hindi na kinakailangan pagbabahagi ng data ng gumagamit. Mayroon ka bang alinman sa mga app na ito sa iyong mobile device?

Sinuri ng Appthority ang ilang mga aplikasyon sa pamamahala ng pinansya sa buwis para sa mga aparato ng Android at iOS at nakilala ang isang bilang ng mga peligrosong pag-uugali, kabilang ang pagsubaybay sa lokasyon ng gumagamit, pag-access sa listahan ng mga contact, at pagbabahagi ng data ng gumagamit sa mga ikatlong partido, si Domingo Guerra, pangulo at tagapagtatag ng Appthority, sinabi sa SecurityWatch.

Ang maraming mga app ay naghatid ng data ng gumagamit tulad ng lokasyon, at impormasyon ng mga contact na nakuha mula sa address book hanggang sa mga third-party ad network, natagpuan ang Appthority. Karamihan sa mga pakikipag-usap sa mga network ng ad ay nangyari sa malinaw na teksto. Habang may katuturan para sa H&R Block app na magkaroon ng access sa lokasyon ng gumagamit, dahil pinapayagan ng app na mahanap ang mga gumagamit sa pinakamalapit na storefront, ito ay "hindi masyadong malinaw kung bakit" ang natitirang mga app ay nangangailangan ng impormasyong iyon.

"Ang natitira ay ibinabahagi lamang ang lokasyon na iyon sa mga ad network, " sabi ni Guerra.

Kasama sa listahan ng mga apps ang "malaking pangalan ng buwis sa pangalan at ilang mas maliit na bagong dating" tulad ng H&R Block TaxPrep 1040EZ at ang buong H&R Block na apps, TaxCaster at Aking Pagbabayad ng Buwis mula sa Intuit (ang kumpanya sa likod ng TurboTax), Income Tax Calculator 2012 mula sa isang developer na pinangalanan SydneyITGuy, at Federal Tax 1040EZ mula sa RazRon, sinabi ni Guerra. Ang pagkilos ay isinagawa ang pagtatasa gamit ang sarili nitong awtomatikong serbisyo sa pamamahala ng peligro ng mobile app.

Mahina sa Walang Encryption

Ang mga app sa pangkalahatan ay mahina ang pag-encrypt at napiling pumili nang maprotektahan ang ilan sa mga trapiko ng data, kumpara sa pag-encrypt sa lahat ng trapiko, natagpuan ang Appthority. Ang ilan sa mga apps - Hindi tinukoy ni Guerra kung alin ang mga ginamit - mahuhulaan na mga ciphers ng encryption sa halip na pag-agaw ng mga randomizer ng pag-encrypt. Ang "no-name" na apps, tulad ng isa mula sa RazRon, ay hindi gumamit ng pag-encrypt.

Ang isa sa mga malaking pangalan ng app na kasama ang mga landas ng file sa source code sa impormasyon ng debug nito sa loob ng maipapatupad. Ang mga filepath ay madalas na nagsasama ng mga username at iba pang impormasyon na maaaring magamit upang mai-target ang developer ng app o kumpanya, sinabi ng Appthority. Muli, hindi kinilala ng Guerra ang pangalan ng app.

Habang "sa pangkalahatan ay hindi isang malaking peligro ang pagtagas ng impormasyong ito, " "dapat itong iwasan kung posible, " sabi ni Guerra.

Exposing Data

Ang ilan sa mga app ay inaalok ng isang tampok na kung saan maaaring kumuha ng larawan ang gumagamit ng W2, at ang imahe ay pagkatapos ay nai-save sa "camera roll ng aparato, " natagpuan ang Appthority. Maaari itong maging isang seryosong isyu para sa mga gumagamit na awtomatikong mag-upload o mag-sync sa mga serbisyo ng ulap tulad ng iCloud o Google+ habang ang imaheng iyon ay mai-save sa mga lokasyon ng hindi sigurado at maaaring mailantad.

Parehong ang mga bersyon ng iOS at Android ng H&R Block 1040EZ app ay gumagamit ng mga network ng ad tulad ng AdMob, JumpTab, at TapJoyAds, ngunit ang buong bersyon ng H&R Block app ay hindi nagpapakita ng mga ad, na nabanggit ng Appthority.

iOS vs Android

Walang mga pagkakaiba-iba sa mga uri ng mga peligrosong pag-uugali sa pagitan ng mga iOS at mga bersyon ng Android ng parehong app, sinabi ni Guerra. Karamihan sa mga pagkakaiba na pinakuluan hanggang sa kung paano pinangangasiwaan ang operating system. Kinakailangan ng Android ang app na ipakita ang lahat ng mga pahintulot bago ma-install at patakbuhin ng gumagamit ang app sa isang all-or-nothing diskarte. Sa kaibahan, humihingi ng pahintulot ang iOS habang lumitaw ang sitwasyon. Halimbawa, ang iOS app ay hindi magkakaroon ng access sa lokasyon ng gumagamit hanggang sa sinusubukan ng gumagamit na gamitin ang tampok ng store locater.

Sa ilalim ng pinakabagong mga patakaran, ipinagbabawal ng iOS 6 ang mga developer ng app mula sa pagsubaybay sa mga gumagamit batay sa kanilang mga aparato ng ID at UDID o EMEI na mga numero. Karaniwan pa rin ang pagsasanay na ito sa mga Android apps. Ang bersyon ng iOS ng H&R Block 1040EZ app ay hindi sinusubaybayan ang gumagamit, ngunit ang bersyon ng Android ng parehong app ay sa pamamagitan ng pagkolekta ng mobile device ID, mobile platform build at impormasyon ng bersyon, at ang mobile device Subscriber ID, sinabi ni Guerra.

Ang buong H&R Block app sa mga kahilingan sa Android at nag-access sa isang listahan ng lahat ng iba pang mga app na naka-install sa aparato. Ang bersyon ng iOS ng app ay walang pag-access sa impormasyong ito dahil hindi pinapayagan ito ng operating system.

Mapanganib o Hindi?

Walang partikular na peligro sa puntong ito, ang mga app na ito ay hindi naghahatid ng mga password at talaan sa pananalapi sa malinaw na teksto. Gayunpaman, ang katotohanan ay nananatiling na ang mga app ay nagbabahagi ng data ng gumagamit nang hindi kinakailangan. Maliban sa isang app, wala sa iba pang mga app ang nag-alok ng tampok na tagahanap ng tindahan. Bakit, kung gayon, kailangan ng ibang mga app na ito ng pag-access sa lokasyon ng gumagamit? Bakit kailangan ng mga app na ito ng pag-access sa mga contact ng gumagamit? Iyon ay tila hindi kinakailangan para sa paghahanda ng mga buwis.

Tumingin sa Appthority ang ilang mga lumang apps "upang patunayan ang isang punto, " sinabi ni Geurra. Marami sa mga app na ito ay may isang oras ng pag-expire ng mga uri - tulad ng 2012 na apps sa buwis - kung saan inaasahan na hindi na gagamitin ito ng mga gumagamit pagkatapos nilang matapos ito.

Ang mga "magagamit na apps" ay bihirang hinila mula sa merkado, at dapat malaman ng mga gumagamit na ang mga app na ito ay may access sa data sa mga aparato ng gumagamit.