Uma investigação da empresa de cibersegurança Jscrambler revelou que a Meta e o TikTok estão capturando dados pessoais de usuários de forma oculta. A coleta ocorre por meio de pixels de rastreamento instalados em sites de terceiros e afeta até mesmo informações bancárias e comportamentais, ignorando recusas explícitas de compartilhamento.
O problema é massivo: estima-se que mais de 12,6 milhões de servidores empresariais ao redor do mundo estejam enviando esses dados involuntariamente.
O que são e como operam os Pixels de Rastreamento
Originalmente criados para medir a eficácia de anúncios, os pixels são pequenos códigos JavaScript invisíveis. O estudo mostra que a função atual dessas ferramentas extrapolou o monitoramento de cliques:
- Ativação Precoce: O script é carregado e envia dados antes mesmo de o usuário aceitar ou recusar os cookies na tela de aviso.
- Desrespeito ao “Rejeitar”: No caso do TikTok, a pesquisa detectou a coleta de endereços residenciais em sites europeus mesmo após o usuário clicar em “Rejeitar Tudo”.
- Mapeamento Estrutural: O pixel da Meta registra até a organização de formulários de pagamento e botões em páginas de checkout.
A Ilusão da Proteção por “Hashing”
As plataformas argumentam que os dados são protegidos por hashing (transformação de textos em códigos embaralhados). No entanto, a Jscrambler alerta para uma falha lógica: como o mesmo dado sempre gera o mesmo código, a Meta pode comparar o “hash” coletado com o banco de dados que já possui do Facebook, identificando o usuário com precisão, mesmo que ele não tenha conta no site visitado.
Dados capturados incluem:
- Identificação: Nome completo, e-mail, telefone e endereço físico.
- Financeiro: Últimos quatro dígitos do cartão, validade e nome do titular.
- Consumo: Produtos visualizados, itens no carrinho, valores e moeda utilizada.
Riscos para as Empresas (Anunciantes)
Empresas que utilizam essas ferramentas de anúncio estão em uma posição vulnerável por dois motivos principais:
- Responsabilidade Legal: Sob leis como a LGPD (Brasil) e GDPR (Europa), o dono do site é corresponsável pela coleta de dados de seus clientes. O caso do hospital Mass General Brigham, que pagou US$ 18 milhões em um acordo por uso indevido de pixels, serve de alerta.
- Risco Competitivo: Ao instalar o pixel, um lojista “treina” o algoritmo da Meta com seus dados de preço e comportamento de clientes, informações que acabam beneficiando concorrentes que anunciam na mesma plataforma.
Recomendações de Segurança
Para mitigar riscos, a Jscrambler sugere que as organizações:
- Auditem o código em tempo real: Não confie apenas na documentação oficial das plataformas.
- Desativação manual: Recursos como o Automatic Events da Meta, que captura formulários de pagamento por padrão, devem ser desligados manualmente.
- Monitoramento contínuo: Scripts de terceiros podem sofrer alterações de comportamento sem aviso prévio.
