Who your friends are says a lot about you. And in our increasingly digital world, making your friends publicly known can be a major security risk. This risk was highlighted once again with the recent Venmo Friends list scandal involving U.S. National Advisor Michael Waltz. Venmo, a popular American mobile payment app owned by PayPal, allows users to sync contacts from their phones directly into the app as “friends.” These friends then populate the user’s “friends list” in the app, allowing the user to easily transact with their existing contacts without requiring their Venmo accounts. While it may seem common and easy for apps to import contacts from your phone, Venmo’s social media aspect makes this feature dangerous because your friends list—all your contacts—is public by default, and your transactions are private.
This is how investigative journalists Dhruv Mehrota and Tim Marchman discovered Venmo’s friends list. Since making it public, the entire world now knows his phonebook, including high-profile colleagues like White House Chief of Staff Susie Wiles and personal contacts like doctors and real estate agents. These exposed relationships, especially personal ones, are the “patterns, pressure points, or pathways” that spies look for. Mehrota and Marchman spell out the privacy risks of a feature like Venmo’s friends list: by making relationships public and visible, these platforms “potentially give adversaries a searchable map of the people in power.”
Most alarmingly, however, Waltz’s friends list wasn’t exposed by highly technical hackers, but rather by Wired journalists who simply used Venmo’s native search function. In other words, you, me, and the average Joe can do the same kind of sleuthing (or deep-stalking) with our own Venmo accounts on other people’s public friends lists due to the app’s poor UI design choices and default privacy settings. This is precisely why product teams need to be mindful of a product’s data footprint, understanding what relationships or sensitive user metadata are stored or displayed by default.
O método principal para descobrir a pegada de dados é através de uma análise forense digital do produto. Forense digital “É um ramo da ciência forense que se concentra em identificar, adquirir, processar, analisar e relatar dados armazenados eletronicamente”. Em outras palavras, a Digital Forensics nos ajuda a entender quais evidências digitais são deixadas para trás por produtos digitais e eletrônicos. Embora mais frequentemente usados pela aplicação da lei e na resposta a incidentes corporativos, a forense digital pode ser uma ferramenta valiosa para as equipes de produtos identificarem pontos cegos de segurança e privacidade, como a lista de amigos de Venmo inadimcipal como pública.
À luz deste incidente, voltei a um white paper que escrevi sobre Venmo’s iOS Digital Forensics em 2021 Para o meu curso universitário de segurança cibernética. Na minha análise, descobri os tipos de dados armazenados pelo Venmo e onde eles foram armazenados no iPhone de um usuário. Veja a lista de amigos, por exemplo. Jornalistas investigativos com fio foram capazes de encontrar os nomes e suas contas de Venmo na lista de amigos da Waltz na interface do usuário. No entanto, há muito mais dados do recurso de lista de amigos que seriam armazenados no telefone de qualquer usuário. Encontrei listas de números de telefone dos amigos, os amigos com quem o usuário faz frequentemente troca e até contas que não são os amigos do usuário, mas têm histórias de transações com o usuário. As migalhas de pão deixadas para trás são suficientes para juntar quem são os contatos do usuário, como alcançá -los, quão próximos eles estão com o usuário, que está na rede periférica dos usuários e o que o usuário gosta de comprar.
Arrepiante, não é, para um estranho descobrir muito sobre você apenas do seu Venmo. Mas talvez o que realmente enviaria o frio na sua coluna é que Venmo tomou conhecimento dos riscos de segurança de expor as transações e amigos dos usuários em 2019 por meio de uma carta aberta de Mozilla e a Fundação Eletrônica Frontier (EFF). Eles imploraram para Venmo a 1) tornar as transações privadas por padrão e 2) dão aos usuários configurações de privacidade para sua lista de amigos. A empresa, no entanto, não fez ações imediatas após a carta aberta. Foi somente até 2021, quando o BuzzFeed News revelou como era fácil encontrar o ex -presidente Joe Biden no aplicativo que Venmo finalmente deu aos usuários a opção de esconder a lista de amigos, cumprindo apenas o ponto 2 da carta aberta. Venmo conscientemente colocou seus usuários em risco por dois anos e, mesmo agora, seis anos depois, a empresa ainda não tornou transações e amigos listados em particular por padrão.
“Desrespeito de Venmo pela privacidade de seus usuários”como criticado por Mozilla e EFF, faria os consumidores perderem a confiança nos produtos digitais que usam todos os dias e os afastassem desses produtos e empresas que não respeitavam e protegiam a segurança e a privacidade de seus usuários.
That’s why product teams need to view privacy as a business strategy, not a compliance imperative. Cory Munchbach, CEO of customer data platform Blueconic, states that “Brands that prioritize privacy today will gain customer loyalty tomorrow.” She understands privacy as “a driving force for gaining consumer trust” and even a brand differentiator. By incorporating privacy into value propositions, companies can “turn [privacy] from a risk to be managed into a growth driver.”
To read the Venmo iOS Full White Paper I wrote in 2021 for my iOS Digital Forensics course at the University of Southern California (USC), click here.
