Google dramatiza riscos de hack nas pesquisas com novas regras da UE

A Google está em modo alarme vermelho em Bruxelas. Nas últimas semanas, a equipa de topo de privacidade e segurança da empresa tem dado entrevistas e enviado documentos a avisar que as novas regras europeias podem transformar dados de pesquisa em carne para hackers e abrir a porta a mais fraude em Android. Não é um detalhe técnico: é a aplicação direta da Lei dos Mercados Digitais, a famosa DMA (Digital Markets Act), que começa agora a morder a sério.

O foco está em dois dossiês que a Comissão Europeia quer fechar até 27 de julho: partilha de dados de pesquisa do Google Search com concorrentes e interoperabilidade reforçada do Android com serviços de IA de terceiros. Em linguagem simples: obrigar a Google a deixar outros motores de busca ver o que as pessoas pesquisam, em versão anonimizada, e a abrir mais o sistema operativo a apps e assistentes rivais. Para Heather Adkins, vice-presidente de engenharia de segurança e membro fundadora da equipa de segurança da Google, isto é uma receita para um pico de fraude no espaço de semanas após a entrada em vigor das medidas.

Adkins diz que, no Android, uma abertura mais profunda pode dar mais margem a apps maliciosas e esquemas de engenharia social, precisamente na região onde a regulação é mais apertada. A Google adora lembrar que já bloqueia milhões de apps e ataques por ano, mas não é uma entidade neutra: qualquer obrigação de abrir interfaces corta-lhe controlo e margem de negócio. O argumento da segurança é sólido em parte, mas também é um instrumento clássico para tentar moldar legislação. Basta lembrar como grandes plataformas usam o medo para condicionar debates em torno de encriptação ou de retenção de dados.

Do lado da pesquisa, a discussão é ainda mais sensível. O plano europeu obriga a Google a dar a outros motores de busca acesso a dados “em paridade” com o que recolhe: qualquer texto que escreves na caixa de pesquisa, metadados relevantes, cliques e rankings de resultados. Um conjunto de dados que a empresa guardou só para si durante décadas. A Comissão quer diluir o monopólio de um player que controla cerca de 90 por cento do mercado global. A Google responde que, mesmo com técnicas de anonimização, esse histórico pode ser reidentificado, sobretudo se parar em empresas pequenas com equipas de segurança frágeis e sistemas mal configurados, candidatos ideais a serem atacados.

Concorrentes de menor dimensão, investigadores independentes e académicos que responderam às consultas públicas da Comissão, porém, dizem que o dramatismo é exagerado. Argumentam que já existem métodos de anonimização robustos, contratos rígidos de tratamento de dados e obrigações de segurança sob o RGPD, e apontam falhas técnicas concretas nas leituras mais alarmistas da Google. Recordam ainda que a própria empresa já partilha parte destes dados com terceiros e que o modelo atual, em que um único gigante acumula tudo, é um risco por si, como se viu em fugas recentes de dados sensíveis, de biometria a históricos de utilização, que temos acompanhado em casos como o ataque ao Madison Square Garden.

Bruxelas está a pisar terreno minado: qualquer erro de desenho pode gerar novas superfícies de ataque, mas ceder demasiado ao argumento da segurança da Google é continuar a confiar que concentrar dados é mais seguro do que distribuí-los sob regras apertadas. A decisão sobre o Search e o Android vai ser um teste prático a isso. Se a Comissão recuar demasiado, passa a mensagem de que basta gritar “hackers” para travar a concorrência. Se for demasiado longe sem garantias técnicas concretas, arrisca-se a transformar um exercício de regulação económica num caso de estudo em segurança falhada.

Fonte: Wired