TikTok-appen installerer i al hemmelighed spion-kode, som blandt andet kan aflure alle de tastetryk, som foretages på din telefon samt browser-aktivitet.
Sådan lyder det fra den østrigske sikkerheds-ekspert Felix Krause, der står bag websitet krausefx.com. Han er desuden stifter af Fastlane, der anvendes til at teste apps. Google købte Fastlane for fem år siden.
Ifølge ham foretages afløsningerne, når man som TikTok-bruger klikker på links inde i TikToks meget udbredte app.
Her bliver man nemlig automatisk ført videre til pågældende website via TikToks in-app browser.
Og via den registrerer TikTok alle tastatur-tryk.
“Det inkluderer passwords, kreditkort-information, alle berøringer på skærmen og andre følsomme bruger-data,” lyder det fra Felix Krause.
Det kan være en alvorlig sag, da TikTok blandt andet satser stort på at gøre TIkTok til en form for handelsplatform, hvor kommercielle udbydere kan udbyde forskellige varer.
“TikTok iOS anvender en JavaScript-funktion til at indhente detaljer om elementerne, som brugerne klikke på - eksempelvis et billede,” konkluderer Felix Krause.
Det kinesisk-stiftede TikTok har i de senere år opnået endog meget stor udbredelse blandt andet især de unge brugere.
TikTok har tidligere været i vælten for appens mangelfulde beskyttelse af persondata og lignende.
Vi bruger den ikke
Til Forbes bekræfter TikTok, at funktionen findes. Men selskabet anvender den ikke, bedyrer det.
“Som andre platforme anvender vi en in-app browser til at levere en optimal bruger-oplevelse,” lyder det fra TikTok i en udsendt meddelelse.
“Vi anvender alene den pågældende Javascript-kode til debugging, troubleshooting og monitorering af performance - eksempelvis til at se hvor hurtigt en side loader og om den crasher,” meddeler TikTok.
Ifølge Forbes peger TikTok på, at Javascript-koden er en del af en SDK, men selskabet vil ikke oplyse, hvem der har udviklet den.
Felix Krause har testet syv iPhone-apps for brug af in-app browsere, nemlig TikTok, Facebook, Facebook Messenger, Instagram, SnapChat, Amazon og Robinhood.
Ifølge Felix Krause anvender også Facebook, Messenger og Instagram in-app browsing, mens WhatsApp ikke anvender modellen.
TikTok er den eneste app af de testede, der monitorerer tastaturtryk, men Facebook og Instagram tracker som TikTok al navigation på besøgte websites.
SnapChat ser ifølge Forbes ud til at være den mindst ‘data-sultne’ app af de syv testede.
Dette kan dog skyldes, at det efter en iOS-opdatering i 2020 faktisk er muligt at skjule JavaScripts-aktivitet.