Outlook per iOS e Android, privacy a rischio

Outlook per iOS e Android è stata presentata da pochi giorni, ma già sono stati scoperti i primi problemi di sicurezza. René Winkelmeyer, sviluppatore IBM, ha individuato tre “anomalie” che possono diventare un pericolo soprattutto per l’utenza aziendale. Il sistema utilizzato per gestire gli account e le email non garantisce la privacy minima che dovrebbe offrire un’applicazione simile. Nonostante la nuova versione di Outlook sia un rebranding dell’app Acompli, Microsoft non sarebbe esente da colpe.

Winkelmeyer ha spiegato che almeno tre funzionalità di Outlook per iOS e Android potrebbero diventare un incubo per la sicurezza delle informazioni aziendali e la privacy degli utenti, in quanto gli amministratori IT non hanno nessun controllo su esse. Lo sviluppatore ha scoperto i problemi nella versione per iOS, ma quasi certamente sono presenti anche nell’app per Android. Una delle feature di Outlook è la condivisione dei file su OneDrive, Dropbox e Google Drive. Un dipendente può quindi usare questi servizi per copiare sul cloud gli allegati alle email o usarli con l’account aziendale per allegare i file conservati online. Non è possibile filtrare o bloccare i file in nessun modo.

Outlook per iOS assegna un unico ID a tutti i dispositivi dell’utente. Ciò significa che due o tre device vengono visti come un solo device. Non è possibile distinguere un iPhone da un iPad e quindi non è possibile assegnare specifici permessi ai singoli dispositivi. Il terzo problema è il più grave di tutti: Microsoft conserva sul cloud le credenziali dell’account. Lo sviluppatore ha verificato che viene effettuata una scansione dell’account, anche se l’app è disattivata. Il servizio usa le credenziali per le notifiche push.

Per velocizzare l’invio e la ricezione delle email, Microsoft conserva temporaneamente (per quanto tempo?) sui server Acompli i messaggi, gli allegati, gli eventi di calendario e i contatti associati all’account. Quando l’utente crea un account deve inserire i dati di login, tra cui username, password, URL e dominio del server, che vengono memorizzati sul server Acompli. In pratica, Microsoft intercetta le comunicazioni e potrebbe essere costretta a condividere i dati con le agenzie governative statunitensi.

Finché non verranno eliminati questi problemi (e modificata la policy per la privacy), Winkelmeyer consiglia di impedire ad Outlook di accedere ai server mail aziendali.