Una investigación de la revista PCMag y el portal Motherboard reveló que el grupo dueño de los antivirus gratuitos Avast y AVG vendió datos de consumo en Internet de más de 100 millones de usuarios a compañías como Amazon, Google, Netflix, Walmart y otras empresas de comercio electrónico.

No es la primera vez que este popular antivirus, el quinto más usado a nivel global en 2019 (de acuerdo con la consultora alemana Statista), tiene este tipo de señalamientos. En 2018, el presidente de la compañía confirmó que desde 2013 vendía “paquetes de datos de sus usuarios” por medio de su filial Jumpshot. Argumentaba que la venta no eran datos personales, sino información de consumo como la hora en la que usted ingresa a cierto portal web, por ejemplo.

Lo que reveló la investigación conjunta de estos portales es que, aunque Avast dice que vende “datos anónimos”, las empresas de comercio electrónico pueden vincular esta información con sus datos internos y validar identidades reales de sus usuarios.

El negocio de Jumpshot consistía en agrupar la información y venderla por paquetes. Hay registro de uno llamado “Todos los clics”, que entregaba los datos de cada sitio web visitado por el usuario, el tiempo de permanencia y una sospecha de edad y sexo. Se sabe que fue un contrato de tres años por 6,5 millones con la empresa de marketing Omnicom.

“Aunque los datos recopilados nunca están vinculados al nombre, correo electrónico o dirección IP de una persona , cada historial de usuario se asigna a un identificador llamado ID del dispositivo, que persistirá a menos que el usuario desinstale el producto antivirus Avast”, explican los autores.

El reportaje se publicó el lunes pasado, en la víspera del día internacional de la protección de datos personales (28 de enero). Desde entonces, otros medios especializados en ciberseguridad se han contactado con las gigantes tecnológicas que figuran públicamente como clientes de Jumpshot. Microsoft respondió que no tiene relación con la compañía. Por su parte, Google no ha respondido a las solicitudes.

Las extensiones del navegador

¿Pero cómo recopiló Avast la información exactamente? Lo hizo por medio de una extensión que se instalaba en los navegadores Google Chrome y Mozilla. Fue el investigador en ciberseguridad y desarrollador de software Wladimir Palant el que descubrió que la extensión registraba los sitios web que al entraba el usuario y los asociaba al ID de cada computador con Avast.

El escándalo llevó a que los navegadores eliminaran temporalmente las extensiones. Sin embargo, Palant y otros investigadores señalan que todavía no hay compromiso de la empresa por eliminar los datos que se recopilaron en el pasado.

“Avast aún puede recopilar los historiales de su navegador a través de las principales aplicaciones antivirus en computadoras y dispositivos móviles. La recolección de datos ocurre a través del componente Web Shield del software, que también escaneará las URL en su navegador para detectar sitios web maliciosos o fraudulentos”, explica el reportero Michael Kan, autor de la investigación.