A Meta suspendeu um polêmico programa de monitoramento de funcionários depois que uma análise interna de segurança constatou que dados altamente detalhados sobre teclas digitadas e capturas de tela dos laptops dos funcionários estavam muito mais amplamente acessíveis dentro da empresa do que o pretendido.
O programa fazia parte da Iniciativa de Capacidade de Modelos (MCI) da Meta, que coletava movimentos do mouse, locais dos cliques, teclas digitadas e conteúdo da tela dos laptops de trabalho dos funcionários para ajudar a treinar sistemas internos de IA.
O programa também apresentava um risco óbvio. Coletar dados altamente confidenciais sobre as atividades dos funcionários é uma coisa. Mantê-los devidamente protegidos é outra.
De acordo com reportagens baseadas em documentos internos e depoimentos de funcionários, os dados não foram apenas coletados. Eles ficaram acessíveis em milhares de tabelas de dados internas, incluindo prompts de IA, transcrições, conversas privadas e informações relacionadas ao desempenho.
Após a divulgação da notícia, a Meta reduziu o alcance e, em seguida, suspendeu a iniciativa, em meio a reações negativas internas contínuas e questionamentos sobre se as medidas de proteção à privacidade alguma vez foram mais do que uma simples garantia contida em um memorando.
Do ponto de vista da Meta, a Iniciativa de Capacidade de Modelos foi uma estratégia de eficiência. O objetivo era fornecer aos modelos de IA “exemplos reais de como as pessoas realmente usam computadores”, registrando passivamente a forma como os funcionários utilizam ferramentas do dia a dia, como Gmail, GChat, Metamate e VS Code. Os agentes poderiam aprender com fluxos de trabalho reais, em vez de benchmarks sintéticos.
Foi prometido aos funcionários que a coleta de dados se limitaria aos aplicativos de trabalho e não aos celulares dos funcionários. Mas dá para imaginar como isso foi interpretado:
- Um software de monitoramento de teclas digitadas e movimentos do mouse foi instalado nos laptops dos funcionários nos EUA, sem a opção de recusa em dispositivos da empresa, conforme confirmado internamente pelo diretor de tecnologia (CTO) da Meta.
- O software registrou as entradas digitadas e o conteúdo da tela associado, criando um conjunto de dados comportamentais: o que você digita, onde clica e o que aparece na tela enquanto você faz isso.
O programa gerou críticas internas significativas. Uma postagem interna de um engenheiro protestando contra a “vigilância de laptops” e o monitoramento de telas se tornou viral dentro da Meta, dando origem a uma petição para encerrar o programa por completo.
Do ponto de vista da conformidade, programas de monitoramento de funcionários dessa magnitude podem levantar questões jurídicas e regulatórias complexas, especialmente em jurisdições que exigem transparência em relação à vigilância no local de trabalho e à coleta de dados.
O impacto na reputação é, sem dúvida, ainda pior. Quando uma empresa está sempre sob escrutínio por rastrear usuários, quebrar a confiança dos funcionários transmite um forte sinal sobre sua postura por padrão em relação aos dados.
Tudo isso sabendo que os dados de teclas digitadas e capturas de tela são, por natureza, de alto risco. Esse tipo de dado é rico em conteúdo, reflete comportamentos e, muitas vezes, contém informações confidenciais. Coletá-los em grande escala gera um fardo para a segurança. Cada novo ponto de dados acrescenta obrigações relacionadas ao controle de acesso, minimização, retenção e auditoria, que a organização deve gerenciar ativamente enquanto os dados existirem.
- Os controles de acesso devem ser precisos e auditados regularmente, pois um simples erro de configuração pode ter consequências graves.
- A minimização de dados e os limites de retenção são essenciais, uma vez que o armazenamento de longo prazo multiplica o impacto de uma possível violação.
- Qualquer vazamento de dados no futuro — interno ou externo — poderia expor não apenas e-mails, mas também as sequências exatas digitadas pelos funcionários, incluindo fluxos de autenticação e rascunhos de conteúdo. Nas mãos erradas, esse tipo de informação poderia expor a empresa a riscos.
Este episódio nos lembra que cada novo conjunto de dados traz novas responsabilidades. Quanto mais detalhadas e confidenciais forem as informações, maiores serão as consequências caso os controles de acesso falhem.
Os golpistas não precisam invadir seu computador. Basta você clicar uma vez.
Malwarebytes Identity Theft detecta atividades suspeitas antes que se tornem um problema.
