Aplikacja na Macu może zbierać więcej, niż deklaruje — badanie 1000 programów wykryło nieujawniony dostęp do danych użytkownika w 85% z nich

Etykieta prywatności w Mac App Store ma dać prostą odpowiedź na proste pytanie: jakich danych będzie używać aplikacja, którą właśnie instaluję? Nowe badanie ekosystemu macOS pokazuje, że ta odpowiedź często jest niepełna. Spośród 1000 przeanalizowanych aplikacji tylko około 15% zachowywało pełną zgodność między deklaracjami a dostępem do danych zaobserwowanym podczas działania programu. Innymi słowy, w około 85% przypadków badacze wykryli przynajmniej jeden typ danych dostępny przez aplikację, którego nie było w jej deklaracji dla użytkownika.

To ważne rozróżnienie: nie każda aplikacja z tej grupy wysyłała prywatne dane do reklamodawcy i nie każda była złośliwa. Problem jest bardziej przyziemny, ale przez to również poważny. Użytkownik podejmował decyzję na podstawie informacji, która nie opisywała całego zachowania programu.

1000 aplikacji pod lupą. Wynik 85% nie wziął się z porównania regulaminów

Badacze Jyotirmay Chauhan, Kostas Solomos, Mir Masood Ali i Jason Polakis zbudowali narzędzie NutriScan, które nie ograniczało się do czytania polityk prywatności. Analiza obejmowała zarówno elementy znajdujące się wewnątrz pakietu aplikacji, jak i jej rzeczywiste zachowanie po uruchomieniu. Praca została opublikowana 5 sierpnia 2026 r. i ma zostać przedstawiona podczas konferencji ACM CCS 2026 w Hadze.

Próba nie składała się wyłącznie z przypadkowych, niszowych programów. Badacze przygotowali dwie grupy:

• 500 popularnych aplikacji, wybranych m.in. na podstawie liczby ocen użytkowników,

• 500 aplikacji losowo wybranych z pozostałej części zebranego katalogu.

Początkowo baza liczyła ponad 1800 programów. Około 350 aplikacji odrzucono, ponieważ stosowane przez nie mechanizmy utrudniały dynamiczną analizę z użyciem Fridy. Każdy z pozostałych programów uruchamiano na MacBooku Air z procesorem M4 przez około pięć minut, automatyzując logowanie i podstawową interakcję z interfejsem. Dla 14,9% programów wymagających konta tworzono konto testowe; w 47 aplikacjach aktywowano również wersję próbną.

To istotne ograniczenie badania. Pięć minut nie pokazuje wszystkiego, co aplikacja zrobi po tygodniu pracy, po włączeniu płatnej funkcji albo po otwarciu konkretnego dokumentu. Sami autorzy traktują swoje wyniki jako dolną granicę skali problemu, a nie kompletny katalog wszystkich operacji wykonywanych przez badane programy.

NutriScan sprawdzał kilka warstw jednocześnie. Analizował między innymi uprawnienia aplikacji, jej Privacy Manifest, deklaracje widoczne w App Store, wywołania natywnych API macOS oraz ruch sieciowy. Do obserwowania działania programu używano m.in. Fridy, natomiast transmisję HTTP, HTTPS i DNS analizowano z pomocą proxy.

Dopiero porównanie tych informacji pokazało skalę rozjazdu.

82,8% badanych programów miało co najmniej jedno uprawnienie pozwalające na dostęp do rodzaju danych niewymienionego w ich etykiecie prywatności. Jeszcze bardziej praktyczny wynik dała analiza zachowania podczas działania aplikacji: tylko około 15% programów ujawniało wszystkie zaobserwowane przez badaczy kategorie danych.

Co gorsza:

• około 60% aplikacji nie ujawniało co najmniej połowy typów danych, do których uzyskiwało dostęp,

• około 38% nie deklarowało żadnego z wykrytych podczas testu typów danych,

• wśród losowo wybranych aplikacji całkowitą niezgodność wykryto w blisko 45% przypadków,

• w grupie popularnych programów było to około 30%.

Popularność okazuje się więc pewnym sygnałem, ale nie gwarancją. Większy producent ma zazwyczaj dział prawny, zespół bezpieczeństwa i proces kontroli kolejnych wersji. Mały program tworzony przez jedną czy dwie osoby często korzysta z gotowych bibliotek analitycznych, reklamowych i telemetrycznych, nad którymi twórca ma znacznie mniejszą kontrolę.

Dobrym kontrprzykładem są Microsoft Excel, OneNote i Outlook. Podczas badania programy te korzystały z wrażliwych kategorii informacji, w tym identyfikatora urządzenia, adresu e-mail, przybliżonej lokalizacji czy danych kontaktowych, ale odpowiednio je deklarowały. Problemem nie jest więc sam dostęp. Problem zaczyna się wtedy, gdy to, co aplikacja robi, nie zgadza się z tym, co użytkownikowi wcześniej pokazano.

Lokalizacja, nazwa użytkownika i identyfikator Maca. Dane nie zawsze zostają na komputerze

Najczęściej pomijaną kategorią była przybliżona lokalizacja. NutriScan wykrył jej nieujawniony dostęp w około 70% badanych aplikacji. Nie musi to przy tym oznaczać odczytu GPS czy klasycznego pytania macOS o zgodę na lokalizację. System może udostępnić aplikacji informację pozwalającą określić najbliższe duże miasto między innymi na podstawie ustawionej strefy czasowej.

Na kolejnych miejscach znalazły się bardziej bezpośrednie identyfikatory:

• imię lub nazwa użytkownika – 30,1% aplikacji,

• User ID – 24,5%,

• Device ID – 18%.

Szczególnie interesujące są kombinacje danych. Sama rozdzielczość ekranu niewiele mówi. Sam model procesora również. Jeśli jednak program łączy model Maca, wersję systemu, wersję kernela, rozdzielczość Retina, nazwę komputera, lokalizację i inne parametry, powstaje znacznie dokładniejszy fingerprint urządzenia. Taki profil można później wykorzystać do rozpoznawania tego samego komputera w różnych usługach.

W ruchu sieciowym badacze wykryli między innymi:

• wersję systemu w 362 aplikacjach,

• wersję kernela w 408,

• model chipsetu w 241,

• identyfikator modelu komputera w 222,

• rozdzielczość HiDPI w 145,

• nazwę komputera w 53,

• sprzętowy UUID w 21,

• numer seryjny systemu w 11,

• adres MAC w 6 aplikacjach.

Nie wszystkie te informacje są równoznaczne z danymi osobowymi w każdej sytuacji. Ich wartość rośnie po połączeniu. To właśnie dlatego fingerprinting jest tak irytującym problemem: użytkownik może wyczyścić pliki cookie albo uruchomić prywatne okno przeglądarki, ale charakterystyczny zestaw parametrów urządzenia pozostaje bardzo podobny.

Badacze poszli jednak krok dalej i sprawdzili, czy informacje rzeczywiście opuszczają komputer.

49,7% aplikacji przesyłało wykryte dane do podmiotów reklamowych lub dostawców infrastruktury hostingowej, a w części przypadków transmisja nie odpowiadała temu, co aplikacja deklarowała użytkownikowi. Autorzy podają, że 12,5% aplikacji wysyłających takie dane robiło to bez odpowiadającego ujawnienia.

W przypadkach sklasyfikowanych jako naruszenie deklaracji NutriScan wykrył wysyłanie:

• przybliżonej lokalizacji przez 124 aplikacje,

• nazwy użytkownika przez 44,

• identyfikatora urządzenia przez 16,

• User ID przez 10,

• adresu e-mail przez 7.

W ruchu pojawiały się domeny powiązane między innymi z infrastrukturą Google, Amazon Web Services, Facebooka, Unity, Braze, CloudFront i Akamai. Sam kontakt z AWS czy CloudFront oczywiście nie oznacza śledzenia — to również zwykłe usługi hostingowe wykorzystywane przez tysiące normalnych aplikacji. Znaczenie ma rodzaj wysyłanej informacji, cel transmisji i zgodność z deklaracją, a nie samo nazwisko dostawcy serwera.

Dobrym przykładem pokazującym problem deklaracji był LetsVPN. Jego etykieta prywatności informowała, że aplikacja nie zbiera danych, podczas gdy polityka prywatności wymieniała m.in. identyfikator urządzenia oraz informacje o zakupach. NutriScan podczas działania programu odnotował dodatkowo dostęp do User ID, Device ID i przybliżonej lokalizacji.

Nie oznacza to automatycznie, że LetsVPN czy każda inna aplikacja wymieniona w badaniu jest szkodliwa. Pokazuje natomiast coś, czego użytkownik sam praktycznie nie jest w stanie sprawdzić: etykieta „brak zbieranych danych” nie jest techniczną blokadą. Jest deklaracją producenta.

Co zrobić na własnym Macu? Najpierw odbierz uprawnienia, których aplikacja nie potrzebuje

Największy błąd po przeczytaniu tego badania to usunięcie kilkunastu aplikacji i uznanie sprawy za zamkniętą. Znacznie więcej daje uporządkowanie dostępu systemowego.

Na Macu pierwszym miejscem do kontroli powinny być Ustawienia systemowe → Prywatność i ochrona. macOS pozwala osobno zarządzać między innymi dostępem aplikacji do kontaktów, kalendarzy, zdjęć, mikrofonu, kamery, plików i folderów, sieci lokalnej, automatyzacji czy nagrywania ekranu. Szczególnej uwagi wymaga Pełny dostęp do dysku, ponieważ daje aplikacji możliwość odczytywania bardzo szerokiego zakresu informacji, również danych należących do innych programów.

Kolejność kontroli ma znaczenie.

1. Pełny dostęp do dysku

Tu lista powinna być krótka. Narzędzie backupowe, oprogramowanie ochronne albo wyszukiwarka indeksująca pliki mogą mieć uzasadnienie. Kalkulator, prosty konwerter zdjęć czy aplikacja do timera — zwykle nie.

Jeżeli nie potrafisz wskazać konkretnej funkcji wymagającej tego uprawnienia, wyłącz je i sprawdź, czy program nadal działa. To bezpieczniejsze niż pozostawianie dostępu „na wszelki wypadek”.

2. Dostępność, monitorowanie wejścia i nagrywanie ekranu

Te uprawnienia często są konieczne programom automatyzującym macOS, menedżerom skrótów, aplikacjom do zdalnej pomocy czy narzędziom nagrywającym ekran. Są jednak wyjątkowo szerokie.

Monitorowanie wejścia może pozwolić aplikacji obserwować dane pochodzące z klawiatury, myszy lub gładzika, natomiast uprawnienie Dostępność umożliwia programowi sterowanie komputerem przy użyciu poleceń i skryptów.

Tu nie warto stosować zasady „ufam producentowi”. Lepsze pytanie brzmi: czy funkcja, której używam, technicznie tego wymaga?

3. Mikrofon, kamera, kontakty, zdjęcia i kalendarz

Kontrola jest prostsza. Edytor tekstu nie potrzebuje kontaktów. Prosty odtwarzacz wideo nie powinien wymagać kalendarza. Program do wideokonferencji potrzebuje mikrofonu i kamery, ale nie musi mieć dostępu do całej biblioteki zdjęć tylko dlatego, że raz wysłaliśmy obraz.

Apple pozwala odebrać takie pozwolenia później, a aplikacja ponownie poprosi o nie, jeżeli rzeczywiście okażą się konieczne.

4. Porównaj uprawnienia z etykietą w App Store

To zajmuje minutę, a szybko ujawnia najbardziej oczywiste niespójności. Jeżeli narzędzie deklaruje minimalne zbieranie informacji, ale zaraz po instalacji domaga się kontaktów, lokalizacji, mikrofonu i pełnego dostępu do dysku, żółta lampka powinna zapalić się przed kliknięciem „Zezwól”.

Trzeba przy tym rozumieć ograniczenie samej etykiety. Apple wymaga od dewelopera uwzględnienia również danych zbieranych przez zewnętrznych partnerów i SDK znajdujące się w aplikacji oraz aktualizowania informacji, kiedy praktyki programu się zmieniają.

Badanie pokazuje, że właśnie tutaj system zawodzi szczególnie często.

Autorzy znaleźli 588 manifestów prywatności w badanych aplikacjach. Zdecydowana większość pochodziła z komponentów firm trzecich. Spośród 168 aplikacji, których manifesty deklarowały konkretne rodzaje zbieranych danych, w 135 przypadkach, czyli 80,3%, część tych informacji nie była później widoczna w odpowiadającej im etykiecie prywatności.

To ważny branżowy niuans. Deweloper może napisać prostą aplikację, która sama prawie niczego nie zbiera, a następnie dodać Firebase, bibliotekę analityczną, system raportowania błędów, reklamy albo narzędzie obsługujące logowanie. Od tego momentu deklaracja prywatności musi uwzględniać cały produkt, a nie tylko kilkaset linii kodu napisanych bezpośrednio przez autora.

W Unii Europejskiej dochodzi do tego druga warstwa odpowiedzialności. Jeżeli informacje pozwalają zidentyfikować osobę bezpośrednio lub pośrednio, wchodzi w grę RODO, wraz z zasadami przejrzystości i minimalizacji danych. Etykieta w App Store nie zastępuje obowiązków wynikających z prawa i nie sprawia, że niedeklarowane przetwarzanie staje się legalne.

Najpraktyczniejsza zasada jest więc prosta: nie traktuj Mac App Store jako certyfikatu minimalnego zbierania danych. Sklep ogranicza część ryzyka technicznego, ale badanie pokazuje, że nie gwarantuje pełnej zgodności pomiędzy etykietą prywatności a rzeczywistym zachowaniem aplikacji.

Jeśli masz kilkadziesiąt programów, nie przeglądaj wszystkiego po kolei. Zacznij od aplikacji mających Pełny dostęp do dysku, Dostępność, Monitorowanie wejścia, nagrywanie ekranu, mikrofon oraz kontakty. Usuń pozwolenia, których nie potrafisz powiązać z konkretną funkcją. Dopiero później zajmij się mniej wrażliwymi kategoriami.

To daje znacznie większy efekt niż samo czytanie etykiet prywatności — bo uprawnienie systemowe jest technicznym ograniczeniem, a etykieta pozostaje przede wszystkim deklaracją producenta.

FAQ

Czy 85% badanych aplikacji na Maca kradło dane użytkowników?
Nie. Wynik oznacza, że około 85% programów podczas testów korzystało z co najmniej jednego typu danych dostępnego przez API, którego nie ujawniło w swojej etykiecie prywatności. Osobno analizowano faktyczne przesyłanie informacji poza komputer.

Czy aplikacja z Mac App Store jest automatycznie bezpieczna dla prywatności?
Nie. Apple wymaga deklaracji praktyk dotyczących danych, ale badanie wykazało liczne rozbieżności pomiędzy deklaracjami, uprawnieniami i rzeczywistym zachowaniem aplikacji.

Jakie dane były najczęściej niewykazywane?
Najczęściej była to przybliżona lokalizacja — około 70% aplikacji. Dalej pojawiały się nazwa użytkownika lub imię — 30,1%, User ID — 24,5% oraz Device ID — 18%.

Gdzie na Macu sprawdzić dostęp aplikacji do prywatnych danych?
Wejdź w Ustawienia systemowe → Prywatność i ochrona. Najpierw sprawdź Pełny dostęp do dysku, Dostępność, Monitorowanie wejścia, Nagrywanie ekranu i dźwięku systemowego, Mikrofon, Kamerę, Kontakty oraz Pliki i foldery.

Czy odebranie uprawnienia może zepsuć aplikację?
Tak, jeśli dana funkcja rzeczywiście go potrzebuje. Dlatego najlepsza metoda to wyłączyć podejrzane pozwolenie i sprawdzić działanie programu. Jeżeli aplikacja bez niego traci potrzebną funkcję, można dostęp ponownie włączyć.

Od czego zacząć kontrolę prywatności na własnym Macu?
Od Pełnego dostępu do dysku. Zostaw go tylko aplikacjom, dla których potrafisz wskazać konkretny powód techniczny. Następnie sprawdź Dostępność, Monitorowanie wejścia i nagrywanie ekranu. Dopiero potem przejdź do pozostałych kategorii. To najszybszy sposób na ograniczenie niepotrzebnego dostępu bez instalowania dodatkowych narzędzi.