A Meta suspendeu um polêmico programa de monitoramento de funcionários depois que uma análise interna de segurança constatou que dados altamente detalhados sobre teclas digitadas e capturas de tela dos laptops dos funcionários estavam muito mais amplamente acessíveis dentro da empresa do que o pretendido.
O programa fazia parte da Iniciativa de Capacidade de Modelos (MCI) da Meta, que coletava movimentos do mouse, locais dos cliques, teclas digitadas e conteúdo da tela dos laptops de trabalho dos funcionários para ajudar a treinar sistemas internos de IA.
O programa também apresentava um risco óbvio. Coletar dados altamente confidenciais sobre as atividades dos funcionários é uma coisa. Mantê-los devidamente protegidos é outra.
De acordo com reportagens baseadas em documentos internos e depoimentos de funcionários, os dados não foram apenas coletados. Eles ficaram acessíveis em milhares de tabelas de dados internas, incluindo prompts de IA, transcrições, conversas privadas e informações relacionadas ao desempenho.
Após a divulgação da notícia, a Meta reduziu o alcance e, em seguida, suspendeu a iniciativa, em meio a reações negativas internas contínuas e questionamentos sobre se as medidas de proteção à privacidade alguma vez foram mais do que uma simples garantia contida em um memorando.
Do ponto de vista da Meta, a Iniciativa de Capacidade de Modelos foi uma estratégia de eficiência. O objetivo era fornecer aos modelos de IA “exemplos reais de como as pessoas realmente usam computadores”, registrando passivamente a forma como os funcionários utilizam ferramentas do dia a dia, como Gmail, GChat, Metamate e VS Code. Os agentes poderiam aprender com fluxos de trabalho reais, em vez de benchmarks sintéticos.
Foi prometido aos funcionários que a coleta de dados se limitaria aos aplicativos de trabalho e não aos celulares dos funcionários. Mas dá para imaginar como isso foi interpretado:
- Um software de monitoramento de teclas digitadas e movimentos do mouse foi instalado nos laptops dos funcionários nos EUA, sem a opção de recusa em dispositivos da empresa, conforme confirmado internamente pelo diretor de tecnologia (CTO) da Meta.
- O software registrou as entradas digitadas e o conteúdo da tela associado, criando um conjunto de dados comportamentais: o que você digita, onde clica e o que aparece na tela enquanto você faz isso.
O programa gerou críticas internas significativas. Uma postagem interna de um engenheiro protestando contra a “vigilância de laptops” e o monitoramento de telas se tornou viral dentro da Meta, dando origem a uma petição para encerrar o programa por completo.
Do ponto de vista da conformidade, programas de monitoramento de funcionários dessa magnitude podem levantar questões jurídicas e regulatórias complexas, especialmente em jurisdições que exigem transparência em relação à vigilância no local de trabalho e à coleta de dados.
O impacto na reputação é, sem dúvida, ainda pior. Quando uma empresa está sempre sob escrutínio por rastrear usuários, quebrar a confiança dos funcionários transmite um forte sinal sobre sua postura por padrão em relação aos dados.
Tudo isso sabendo que os dados de teclas digitadas e capturas de tela são, por natureza, de alto risco. Esse tipo de dado é rico em conteúdo, reflete comportamentos e, muitas vezes, contém informações confidenciais. Coletá-los em grande escala gera um fardo para a segurança. Cada novo ponto de dados acrescenta obrigações relacionadas ao controle de acesso, minimização, retenção e auditoria, que a organização deve gerenciar ativamente enquanto os dados existirem.
- Os controles de acesso devem ser precisos e auditados regularmente, pois um simples erro de configuração pode ter consequências graves.
- A minimização de dados e os limites de retenção são essenciais, uma vez que o armazenamento de longo prazo multiplica o impacto de uma possível violação.
- Qualquer vazamento de dados no futuro — interno ou externo — poderia expor não apenas e-mails, mas também as sequências exatas digitadas pelos funcionários, incluindo fluxos de autenticação e rascunhos de conteúdo. Nas mãos erradas, esse tipo de informação poderia expor a empresa a riscos.
Este episódio nos lembra que cada novo conjunto de dados traz novas responsabilidades. Quanto mais detalhadas e confidenciais forem as informações, maiores serão as consequências caso os controles de acesso falhem.
Os golpistas não precisam invadir seu computador. Basta você clicar uma vez.
A Proteção Theft Identity Malwarebytes detecta atividades suspeitas antes que se tornem um problema.
