DeepSeek envia dados confidenciais do usuário e do dispositivo sem usar criptografia

A análise foi realizada pela NowSecure, que também descobriu que o aplicativo não segue as melhores práticas de segurança e que coleta uma grande quantidade de dados de usuários e dispositivos.

“O aplicativo DeepSeek iOS envia registros de aplicativos móveis e dados de dispositivos pela internet sem criptografia”, afirmou a empresa. “Isso torna quaisquer dados no tráfego da internet vulneráveis a ataques passivos e ativos.”

A desmontagem também revelou diversas falhas de implementação no que diz respeito à aplicação de criptografia nos dados do usuário. Isso inclui o uso de um algoritmo de criptografia simétrica inseguro (3DES), uma chave de criptografia codificada e a reutilização de vetores de inicialização.

Além disso, os dados são enviados para servidores controlados por uma plataforma de computação e armazenamento em nuvem chamada Volcano Engine, pertencente à ByteDance, a mesma empresa chinesa que opera o TikTok.

“O aplicativo DeepSeek iOS desativa globalmente o App Transport Security (ATS), que é uma proteção de nível de plataforma iOS que impede que dados sensíveis sejam transmitidos por canais não criptografados”, explicou a NowSecure. “Como essa proteção está desativada, o aplicativo pode (e envia) dados não criptografados pela internet.”

Essas descobertas se somam a uma série de preocupações levantadas sobre o serviço de chatbot de inteligência artificial (IA), que, apesar disso, alcançou o topo das paradas da loja de aplicativos no Android e no iOS em diversos mercados ao redor do mundo.

A empresa de segurança cibernética Check Point afirmou que detectou casos de agentes de ameaças explorando mecanismos de IA do DeepSeek, juntamente com o Alibaba Qwen e o OpenAI ChatGPT, para criar ladrões de informações, gerar conteúdo sem restrições ou censura e otimizar scripts para a distribuição em massa de spam.

“À medida que os agentes de ameaças utilizam técnicas avançadas, como jailbreaking, para contornar medidas de proteção e criar ladrões de informações, roubo financeiro e distribuição de spam, a necessidade de as organizações implementarem defesas proativas contra essas ameaças em evolução torna-se crucial para garantir defesas robustas contra o possível uso indevido de tecnologias de IA”, afirmou a empresa.

No início desta semana, a Associated Press revelou que o site do DeepSeek está configurado para enviar informações de login do usuário para a China Mobile, uma empresa estatal de telecomunicações que foi proibida de operar nos Estados Unidos.

Os links chineses do aplicativo, assim como o TikTok, fizeram com que legisladores dos EUA pressionassem por uma proibição nacional do DeepSeek em dispositivos governamentais, devido aos riscos de que ele possa fornecer informações dos usuários a Pequim.

Vale destacar que diversos países, como Austrália, Itália, Holanda, Taiwan e Coreia do Sul, além de agências governamentais na Índia e nos Estados Unidos, como o Congresso, a NASA, a Marinha, o Pentágono e o Texas, implementaram proibições do DeepSeek em dispositivos governamentais.

O crescimento repentino de popularidade do DeepSeek também o levou a enfrentar ataques maliciosos, com a empresa chinesa de segurança cibernética XLab informando ao Global Times que o serviço foi alvo de ataques contínuos de negação de serviço distribuída (DDoS), originados das botnets Mirai hailBot e RapperBot no final do mês passado.

Enquanto isso, cibercriminosos não perdem tempo e aproveitam o frenesi em torno do DeepSeek para criar páginas falsas que espalham malware, golpes de investimento falso e esquemas fraudulentos de criptomoedas.