Te estamos viendo
Anoche abriste la app del banco a las 2 a.m. Alguien puede ver esa sesión el martes, a velocidad 2x. No es un video. Es session replay.
En este artículo›
Anoche abriste la app del banco a las dos de la mañana para ver si ya había caído la quincena. Dudaste unos segundos antes de tocar Transferir. Cerraste la app.
Alguien puede ver esa sesión el martes. A velocidad 2x. Con café.
No es paranoia. Se llama session replay. Herramientas como PostHog, Quantum Metric o Glassbox registran lo que haces dentro de una página o de una app y luego lo reconstruyen para que otra persona lo recorra como si hubiera estado sentada detrás de ti.
No es un video. Es peor
La imagen de "te están grabando la pantalla" se queda corta, y además es inexacta. En la mayoría de los productos web no hay un archivo de video. Hay un registro.
El script observa el DOM. Anota cuándo aparece un nodo, cuándo cambia un texto, dónde estaba el cursor, qué se scrolleó, en qué se hizo clic, qué se escribió y qué se borró. Después el reproductor vuelve a armar la página a partir de ese registro. Por eso se siente como un video. No lo es.
Es peor para ti porque es dato, no una cinta. Se puede buscar. Se puede filtrar "todas las sesiones que escribieron un monto y no confirmaron". Un video habría que verlo. Esto se consulta.
Por qué casi siempre les alcanza el aviso
La parte incómoda es el piso legal con el que operan, no un complot.
En México la pieza es el aviso de privacidad. Para datos que no son sensibles, el consentimiento puede ser tácito: te pusieron el aviso enfrente y no te opusiste. Sí, ese que aceptaste sin leer. Los datos financieros y otros datos sensibles piden un consentimiento más expreso, y ahí es donde un banco que reconstruye saldos, cuentas y montos que ni siquiera enviaste está caminando por una zona gris. En la práctica, el argumento que usan es el aviso. Casi nadie lo lee. Casi nadie se opone. El martes, alguien ve la sesión.
En Estados Unidos el discurso del vendedor es el mismo: está en la privacy policy. No es tan uniforme. En California ha habido demandas bajo la Invasion of Privacy Act contra sitios que metían session replay de terceros. La respuesta depende del estado, de si ese script se trata como una intercepción y de qué cayó dentro de la grabación. "Es legal" es el pitch. No es una ley única.
En el iPhone nadie te pide permiso de cámara porque no usa la cámara. El script corre dentro de la página que ya abriste, o dentro de la app que ya instalaste. El aviso, si existe, está en la política o en la etiqueta de privacidad de la App Store. Es el otro texto que no leemos.
Lo que no pueden grabar
No ven otras apps. No ven tu cámara ni tu micrófono por el hecho de tener session replay: eso pide otro permiso, y es otra herramienta. No entran a tu llavero ni al administrador de contraseñas.
Un campo type="password" suele ir enmascarado. PostHog, FullStory y la mayoría de estas herramientas lo tapan por defecto, salvo que alguien lo rompa a propósito. Tu contraseña del banco no debería aparecer en el replay. Si aparece, el integrador hizo un mal trabajo, no es el comportamiento normal del producto.
Tampoco reconstruyen lo que hiciste fuera de esa pestaña. Cambiarte a mensajes para copiar un código es invisible para el script de la página del banco. El código, si lo pegas en un campo que no está enmascarado, ya no lo es.
Lo que sí graban aunque no deberían
El texto que escribiste y borraste. El monto que pusiste antes de arrepentirte. La búsqueda dentro de la app. El borrador al soporte. El correo en un campo de texto normal. A veces el número de tarjeta, si quien instaló el script no marcó ese campo como sensible.
Nada de eso necesita que confirmes la transferencia. La sesión existe desde que abriste la pantalla. Cerrarla no borra el registro que ya salió hacia el servidor.
Si prefieres verlo explicado:
Cómo defenderte sin un gorrito de aluminio
Bloquear JavaScript entero tira la app del banco. No es un plan.
Sirve un bloqueador que conozca estos scripts: uBlock Origin y las listas que ya incluyen analítica y session replay. Firefox, en el modo estricto, corta más de estos rastreos que la configuración por defecto de Safari o Chrome. Safari no detiene un replay de primera parte solo por ser Safari.
No escribas un secreto en un campo que no sea de contraseña. Un buscador interno, un "motivo de la transferencia", un chat de soporte: eso es texto libre, y el texto libre es lo primero que se reconstruye.
Si el servicio te deja opt-out, úsalo. Y si eres cliente de un banco, la pregunta útil no es "¿leen mi mente?". Es "¿qué herramienta de session replay corre en la web y en la app, y qué campos enmascaran?". Si no saben responder, ya sabes cómo está operado.
Una confesión
Cuando publiqué esto, mi propio sitio también te grababa. PostHog, con session replay. Las contraseñas quedaban enmascaradas porque la herramienta lo hace si no la desarmas. Lo que no quedaba bien era el resto: clics, scroll, y campos de texto que no eran una contraseña. El aviso estaba en la política de privacidad, no en un momento en el que pudieras decir que no. Dije que iba a ser honesto, no coherente.
Esta versión del sitio no reconstruye sesiones. Mide eventos agregados, sin volver a armar tu visita como si fuera un video. Lo dejo escrito porque el artículo anterior afirmaba que te grababa, y repetir esa frase en un sitio que ya no lo hace sería la parte incoherente de verdad.
Pregunta seria: ¿alguna vez leíste el aviso de privacidad de tu banco? Yo tampoco, hasta que escribí esto.
Dije que iba a ser honesto, no coherente.
— de este artículo
Referencias
- Englehardt, S., Acar, G., & Narayanan, A. (2017). No boundaries: Exfiltration of personal data by session-replay scripts. Freedom to Tinker, Princeton CITP (en inglés).
- Future of Privacy Forum. Understanding Session Replay Scripts: a Guide for Privacy Professionals (en inglés).
- PostHog. Session replay privacy controls (en inglés).
- Video: Session Replay: A Serious Online Privacy Matter, Switched to Linux.
> ¿Qué te pareció?
> Conversación [00]
moderadoCargando respuestas…