Según una reciente investigación publicada por Mozilla, la aplicación de seguimiento menstrual "Stardust", que ha atraído mucha atención por parte de los usuarios, ha estado expuesta a riesgos para la privacidad de los datos. La aplicación compartió información de salud confidencial con RudderStack, una empresa de análisis de datos de terceros, sin informar explícitamente a los usuarios.
Se informa que Stardust ha declarado públicamente en su sitio web oficial que "Sus datos son privados. Punto". (Sus datos son privados. Punto) para generar confianza en el usuario. Sin embargo, los investigadores de Mozilla descubrieron a través de un análisis en profundidad del tráfico de red de la aplicación que Stardust no solo recopiló información altamente sensible como fechas de nacimiento de los usuarios, métodos anticonceptivos, objetivos de salud reproductiva y síntomas físicos específicos, sino que también la transmitió a la empresa de análisis de datos RudderStack. Aunque Stardust utiliza identificadores únicos en lugar de los nombres reales de los usuarios al transmitir datos, la Comisión Federal de Comercio de EE. UU. (FTC) ha advertido repetidamente que este enfoque no puede lograr realmente la anonimización y puede rastrearse fácilmente hasta individuos específicos.
En una prueba comparativa de seis aplicaciones populares de seguimiento del período, la investigadora de seguridad de Mozilla, Shoshana Wodinsky, señaló que Stardust fue la única que compartía datos de salud confidenciales con terceros. Las investigaciones muestran que este tipo de comportamiento de intercambio de datos a menudo está oculto en la actividad en segundo plano de la aplicación y es completamente indetectable para los usuarios cuando la usan. Si bien no es raro que las aplicaciones interactúen con servicios de terceros con fines tales como almacenamiento, análisis o pago, dicho comportamiento plantea riesgos de seguridad que no se pueden ignorar, incluidos posibles riesgos de fuga de datos e implicaciones legales de que las fuerzas del orden puedan solicitar datos de salud del usuario a través de canales de terceros.
Ante las dudas, un portavoz de Stardust respondió que la empresa ha prohibido contractualmente a RudderStack vender o utilizar datos relacionados para sus propios fines. Sin embargo, los expertos legales creen que, como empresas nacionales en los Estados Unidos, Stardust y RudderStack todavía no pueden negarse a que las fuerzas del orden recuperen legalmente los datos de los usuarios almacenados en los servidores.
Esta no es la primera vez que Stardust se encuentra en una crisis de privacidad. Ya en 2022, las descargas de Stardust aumentaron después de que Estados Unidos eliminara su garantía constitucional del derecho al aborto. En ese momento, la empresa afirmó que la aplicación tenía "cifrado de extremo a extremo" y que no se podía acceder a los datos del usuario ni siquiera dentro de la empresa. Sin embargo, el medio tecnológico TechCrunch confirmó posteriormente mediante análisis técnicos que esta afirmación no era cierta.
En esta prueba de comparación, el equipo de investigación de Mozilla recomendó específicamente otra aplicación llamada "Euki" y la calificó como una opción "muy limpia" porque la aplicación no comparte ningún dato con terceros cuando opera sus funciones principales, y toda la información de salud del usuario se conserva en el dispositivo local y no se transmitirá externamente. Al cierre de esta edición, la fundadora de Stardust, Rachel Moranis, aún no ha proporcionado más respuestas a la conclusión de esta investigación ni si la empresa ha recibido una solicitud de recuperación de datos.