- Os smartphones das séries A e M da Samsung vêm com um bloatware chamado AppCloud pré-instalado sem consentimento do usuário
- O AppCloud foi desenvolvido pela ironSource (empresa fundada em Israel, atualmente pertencente à Unity) e é alvo de controvérsia por coletar informações sensíveis e não poder ser removido
- A política de privacidade é opaca, e os usuários não são informados sobre quais dados são coletados nem como são usados
- A forma de instalação forçada pode violar leis regionais de proteção de dados e o GDPR
- Organizações como a SMEX pedem à Samsung transparência, opção de remoção e o fim da pré-instalação futura
Questionamento: celulares Samsung na região WANA enfrentam polêmica por instalação forçada de bloatware
- Recentemente, foram reunidos muitos relatos de usuários da região de Ásia Ocidental e Norte da África (WANA) sobre a pré-instalação de um bloatware intrusivo pouco conhecido, o AppCloud, em smartphones Samsung
- O app é instalado sem consentimento ou aviso prévio, levantando preocupações sérias como coleta de dados pessoais sensíveis, impossibilidade de remoção e falta de transparência na política de privacidade
AppCloud e a ironSource
- O AppCloud foi desenvolvido pela ironSource (fundada em Israel, hoje pertencente à Unity), e o perfil da empresa, somado às restrições legais regionais, gera controvérsias legais e éticas adicionais
- A Samsung não fornece qualquer transparência sobre as funções do AppCloud, os dados coletados nem as opções de escolha do usuário
Exigências da carta aberta da SMEX
- Foi feito um pedido urgente à Samsung para divulgar a política de privacidade, a forma de tratamento de dados e os métodos de remoção/desativação do AppCloud
- Também foi recomendado que futuras pré-instalações em aparelhos considerem o direito à privacidade, além de ser solicitada uma reunião para discutir o tema
Situação da instalação do AppCloud e preocupações
- Desde a ampliação da parceria entre Samsung e ironSource em 2022, o AppCloud passou a vir instalado por padrão em novos modelos das séries A e M
- Segundo análise da SMEX, esse software é profundamente integrado ao sistema operacional (O/S), o que impede sua remoção com permissões normais de usuário
- Sem root, ele não pode ser removido e, mesmo quando desativado, volta a ser restaurado em atualizações do sistema
Opacidade da política de privacidade
- A política de privacidade do AppCloud não existe ou não pode ser acessada
- Não há orientação transparente sobre quais dados são coletados e usados, nem sobre como são protegidos
- O software coleta dados pessoais, incluindo dados sensíveis do usuário, como informações biométricas, IP e identificadores do dispositivo
Instalação sem consentimento e possível violação legal
- O AppCloud é instalado automaticamente sem consentimento do usuário, o que pode violar o GDPR e as leis de proteção de dados de países da WANA
- O fato de a ironSource ser proibida de operar em alguns países da região por força de regulamentações locais (por exemplo, o Líbano) reforça problemas legais e éticos adicionais
Problemas nos termos de uso da Samsung
- Os termos de uso do serviço fazem apenas uma menção genérica a aplicativos de terceiros, sem orientação específica sobre a ironSource ou o AppCloud
- Não há aviso separado sobre o AppCloud, apesar de ele ter amplo acesso a dados e permissões de controle, o que evidencia falta de transparência
Violação de direitos dos usuários e impacto no mercado
- A instalação forçada do AppCloud configura violação dos direitos de privacidade e segurança dos usuários e, considerando a participação dominante da Samsung no mercado regional, há preocupação com graves repercussões sociais
- Diante dessa situação, as organizações fazem os seguintes pedidos
- Divulgação completa e garantia de acesso às práticas de tratamento de dados pessoais e uso de dados do AppCloud
- Orientação clara sobre opt-out e remoção completa, com suporte para isso sem comprometer a estabilidade do aparelho
- Explicação clara dos motivos para a decisão de pré-instalar o software em dispositivos das séries A e M na região WANA
- Reavaliação total da pré-instalação em futuros lançamentos e garantia do direito à privacidade (com base no Artigo 12 da Declaração Universal dos Direitos Humanos)
- Reunião para discussão concreta com responsáveis da Samsung sobre políticas de privacidade do usuário e proteção de dados
- Espera-se uma resposta rápida e cooperação da Samsung para proteger a privacidade e a segurança dos usuários
1 comentários
Comentários do Hacker News
Suspeito que a vigilância corporativa em massa para fins publicitários e a vigilância de agências estatais de inteligência estejam intimamente relacionadas aos recentes casos em que altos cientistas nucleares e oficiais militares iranianos foram alvejados em suas casas. Seja qual for o país ou o lado, acho que hoje todos concordam que, apenas com dados “semipúblicos” (como informações de clientes vendidas por empresas ou apps com funções de espionagem), já dá para inferir informação demais sobre uma pessoa. Agora as agências de inteligência podem terceirizar a coleta de informações para o mercado, o que ficou muito mais barato e conveniente do que os métodos tradicionais. Por muito tempo o grito de “privacidade é um direito humano” foi ignorado, mas espero que em breve os políticos também percebam que privacidade é uma questão de segurança nacional
A verdade é uma realidade que está fora da Overton Window (o intervalo do que é social e politicamente aceitável discutir). Na era dos drones, privacidade é uma questão de defesa civil, mas os Estados atuais carregam essa vulnerabilidade na própria estrutura de seus bancos de dados massivos de PII (informações de identificação pessoal). Grupos insurgentes podem roubar essas bases e usá-las para selecionar alvos, então no fim os Estados só se agarram à velha ilusão de controle territorial. Em comparação com o passado, o controle vai se reduzir a algumas instalações secretas fortificadas, e tenho o pressentimento de que o futuro será extremamente imprevisível e brutalmente violento
Muitas vezes imaginamos operações de filme de espionagem, em que alguém rastreia secretamente, por meio de hacks em smartphones, as pessoas que visitaram instalações nucleares, mas acho que uma explicação muito mais lógica é um cenário realista: abordar algum funcionário de baixo escalão da MEAF (agência de energia do Irã), receber dele um USB com o organograma do governo e registros salariais, e em troca garantir uma bolsa para o filho desse funcionário em uma universidade estrangeira renomada
Ouvi dizer que os sistemas de rede celular do Irã foram em grande parte instalados inicialmente por empresas sul-coreanas e, embora depois parte tenha sido substituída por marcas chinesas, ainda restam equipamentos sul-coreanos problemáticos
Esses alvos de alto valor (generais/cientistas iranianos etc.) podem ser rastreados continuamente por satélite assim que forem identificados uma única vez. Nem é necessário ter localização exata; basta saber qual prédio bombardear
Apps de clima estão entre os piores culpados por compartilhar dados de localização com corretores de dados. Você olha a previsão hoje e amanhã corre risco de ser bombardeado
O link original (https://web.archive.org/web/20250506145643/…) está fora do ar, então estou compartilhando isto. O artigo não explica direito o que é o AppCloud, mas essencialmente é um meio de monetizar usuários de aparelhos Samsung não flagship, podendo inserir anúncios nas notificações ou instalar apps silenciosamente. Se eu encontrasse algo assim no meu aparelho, pararia de tolerar e migraria para produtos da Apple
Fico pensando se não basta simplesmente não comprar Samsung. Claro, a marca do meu telefone também pode fazer algo parecido, mas como ainda não saiu nas notícias, isso me deixa relativamente mais tranquilo
Digo por experiência própria que os modelos flagship, especialmente as versões de operadora, passam pela mesma coisa. Continuo recebendo notificações de apps que nunca vi, e recentemente a Samsung ainda empurrou o Galaxy AI à força (ele nunca some quando seleciono texto no navegador). Somando isso à minha insatisfação com a interface, me arrependo da escolha todos os dias
Se você comprar um iPhone de 5 anos atrás usado, ele sai barato, recebe suporte por muito tempo e ainda tem desempenho melhor que telefone barato. Eu saí do XS para um modelo novo, mas até o 16 não é tão diferente, e me surpreendi como até ele perdeu muito valor no mercado de usados. iPhones antigos continuam muito mais agradáveis de usar do que a maioria dos Androids intermediários
Não precisa abandonar o Android. Também existe o Fairphone (https://fairphone.com). O Android padrão é bom, e se você quiser privacidade, instalar o e/OS/ é muito fácil. Simplesmente não consigo entender como alguém ainda conclui que vale a pena comprar um aparelho da Samsung
A parte de “impossível de remover” não é precisa. Não dá para apagar completamente, mas como fica na partição do sistema, na maioria dos casos dá para desativar com comando adb. Já desliguei até a Galaxy Store com o comando abaixo
Se é “unremovable”, mas “não dá para apagar completamente”, então para mim isso é exatamente a definição de impossível de remover
Esse método não se aplica a todos os telefones. Fabricantes como a Motorola usam o recurso
nodisablepara impedir a própria desativação do APK. No meu Motorola RAZR 5G modelo 2025, há arquivos XML em/product/etc/nondisableespecificando nomes de apps de operadoras e instituições financeirasEu também removi da mesma forma no meu Samsung, com comando adb, e até deixei registrado o método (https://harigovind.org/notes/removing-samsung-android-bloatware/). Mas esses apps voltavam a cada atualização do sistema, então no fim abandonei a Samsung e fui para um Moto com menos bloatware
A Samsung provavelmente gasta dinheiro com uma equipe de RP para dourar a pílula, então no mínimo você também deveria estar sendo pago por defender isso. Você mesmo admitiu que não dá para apagar de fato e que é preciso recorrer a comandos de shell para desligar, além de voltar de novo a cada atualização
O significado das palavras não precisa ser sempre estritamente técnico e literal. Se usuários comuns não conseguem apagar um app de forma fácil e intuitiva, então na prática ele é "impossível de remover". Comandos adb exigem PC, cabo, instalação do adb, modo de depuração etc., o que para uma pessoa comum fica num nível de dificuldade quase de assistência técnica, algo parecido com remapear o chip de um carro
Como este post está se espalhando mais rápido do que eu esperava, acrescento uma explicação. Casos parecidos foram vistos em toda a região MENA (Oriente Médio e Norte da África). O texto da SMEX foca em WANA (Ásia Ocidental e Norte da África), mas na região MENA isso também é conhecido pelo nome “Aura” em vez de “AppCloud”. Há uma matéria relacionada (https://moroccoworldnews.com/2025/06/…)
A SMEX é uma organização sediada no Líbano, e a explicação é que (S)WANA é um neologismo recente usado para substituir o nome geográfico MENA
WANA e MENA são, na prática, a mesma região
Eu já trabalhei com gestão de dispositivos móveis corporativos. Esse AppCloud foi instalado de forma ampla, inclusive em aparelhos de mercado aberto na Europa. Especialmente em dispositivos corporativos ele jamais deveria estar presente (incluindo aparelhos geridos por MDM corporativo e E-FOTA). Já tive conversas constrangedoras com a Samsung por causa disso
O meu aparelho comprado na Austrália também veio com isso instalado
O AppCloud foi desenvolvido pela controversa startup israelense ironSource, recentemente adquirida pela empresa americana Unity
Então agora já dá até para fazer piada dizendo que a Unity está envolvida com malware
A parte mais estranha dessa fusão é que a Unity pagou nada menos que US$ 4,4 bilhões pela ironSource
Eu estava considerando comprar Samsung por achar que era a única opção de smartphone não chinês abaixo de 150 dólares (sem polêmica de spyware), mas agora as opções restantes ficaram nebulosas. Se houver um telefone em que dê para instalar firmware open source, eu consideraria isso. Não confio no meu telefone, então não guardo nenhuma informação importante nele, e nem faço login ou instalo apps. Se não roda Linux, simplesmente não é confiável para mim
Na Europa e na América do Norte também há AppCloud instalado em telefones Samsung. Ele aparece no estado inicial, depois de atualizações do sistema e até depois de atualizações de segurança (ironicamente!). Isso independe de bloqueio por operadora, e às vezes só aparece se você ativar “mostrar apps do sistema” nas configurações. Muitos usuários, inclusive da linha Galaxy S, estão relatando isso. A polêmica do AppCloud me parece completamente absurda
O problema da cadeia de suprimentos é a realidade mais “cyberpunk” da segurança moderna. Não se trata de matemática, mas de confiança, poder e dinheiro. Fico me perguntando se ainda existe a possibilidade de introduzir verificação criptográfica na cadeia de suprimentos de um jeito que também mantenha o cliente seguro, ou se já é tarde demais e só resta um futuro distópico cyberpunk. Penso se a matemática pode mudar essa dinâmica
A alegação de que “não dá para remover sem root, e fazer root invalida a garantia e traz risco de segurança” repete exatamente o discurso de propaganda corporativa que nos colocou nessa situação absurda. Se eu sou o dono do aparelho, então acesso root também deveria ser um direito natural meu para que exista propriedade real
Juridicamente, qualquer hardware capaz de executar software de terceiros deveria ser tratado como um dispositivo de computação de propósito geral, e restrições criptográficas ou de outro tipo ao software executado pelo usuário (por exemplo, secure boot, remote attestation etc.) deveriam ser proibidas. Isso também deveria valer para todos os componentes do dispositivo. Além disso, também deveria ser proibido que empresas neguem serviço com base em falha de remote attestation (mesmo sob o pretexto de autoproteção do provedor). No fim, essas restrições só beneficiam anunciantes em vez dos usuários (por exemplo, impedindo modificações em players de vídeo para pular anúncios)
Na estrutura atual, fazer root inevitavelmente implica perda de segurança. O fato de você não poder usar Verified Boot e de a attestation pertencer à empresa são ambos problemas estruturais
Recentemente isso passou a funcionar como uma espécie de “licença de uso do hardware”, tirando até a liberdade de usar livremente um aparelho que é meu. Isso é ainda pior fora dos EUA e da Europa, por exemplo na África, onde os conceitos de privacidade e direitos do consumidor são ainda mais frágeis
A realidade jurídica atual é resultado da propaganda corporativa, mas ao mesmo tempo é a realidade concreta. “root access voids warranty” já é um fato real em muitas regiões. Não é apenas repetir propaganda; está mais para descrever a situação real
Não há nada de falso na frase “fazer root invalida a garantia e traz risco de segurança”, mas tratar um fato da realidade como se fosse igual a um juízo de valor torna a questão complexa demais simplificada. Por exemplo, o aviso “você pode se queimar no fogo” simplifica demais o problema, quando na prática muita gente depende do fogo para cozinhar ou se aquecer
Não sou da área, mas me pergunto se, mesmo com sacrifício de desempenho, seria possível até certo ponto que profissionais de ponta em hardware e software se unissem para construir um smartphone realmente seguro, desde que o foco fosse apenas segurança (excluindo hardware fechado ocidental). Por exemplo, só com um microkernel verificado, mensagens criptografadas por padrão, memória criptografada, criptografia na comunicação entre processos e chaves físicas para modem, periféricos e bateria, já pareceria algo bastante significativo
Mas se isso é tecnicamente possível ou não pouco importa diante do poder do capital. O capital jamais permitirá um dispositivo que não possa controlar por conta própria. Um aparelho realmente seguro, no fim, não passa de um sonho
Vale destacar que um microkernel verificado num nível adequado para uso em produção é um esforço de engenharia gigantesco