SDK da ByteDance coleta dados de usuários via 40+ apps populares com criptografia fraca

O SDK Pangle da ByteDance, versão 6.5.1.2, não apenas coleta dados sensíveis de dispositivos, como nível da bateria, capacidade de armazenamento, endereço IP interno e identificadores únicos, como faz isso com um esquema de criptografia que é tecnicamente ineficaz: o 'cypher:3'. Ele usa AES-256-CBC com chave e IV hardcoded em cada payload, o que transforma a criptografia em ofuscação reversível. Em testes com 694 requisições capturadas em março de 2026, todos os dados foram decifrados integralmente por pesquisadores com acesso ao SDK público no Maven. Isso contrasta diretamente com o 'cypher:4', usado exclusivamente para métricas de anúncios, que emprega ECIES com chaves efêmeras reais, provando que a ByteDance tem capacidade técnica para proteção adequada, mas escolhe não aplicá-la à coleta de impressões digitais.

Essa falha não é acidental: o SDK também carrega uma chave AES universal para cache e ativa funcionalidades de rastreamento comportamental avançado (tempo de permanência, conclusão de vídeo, impressões de anúncio) via sistema 'Gecko', que permite atualização remota de código. Em 2026, isso viola exigências regulatórias concretas, como LGPD, GDPR e DPDP, que já exigem proteção *no ponto de origem*, ou seja, dentro do app móvel, antes mesmo da transmissão. O Google Play, por exemplo, exige descrição técnica precisa na seção de segurança de dados, não só declarações genéricas.

Aplicativos como Duolingo, BeReal e Character.AI estão expostos a riscos operacionais reais: multas regulatórias, ações civis coletivas e perda de confiança de usuários, especialmente em mercados como Brasil e Europa, onde decisões judiciais recentes já puniram apps por uso inadequado de SDKs terceirizados. Desenvolvedores não podem mais alegar 'não sabia' como defesa: a LGPD exige due diligence ativa na cadeia de fornecedores, e o SDK Pangle está publicamente documentado no Maven com código-fonte acessível. A joint venture com Oracle nos EUA, anunciada em janeiro de 2026, mostra que a ByteDance sabe gerenciar segurança quando há pressão regulatória, mas essa postura não se estende aos SDKs distribuídos globalmente para apps de terceiros.