C'est le développeur Arun Thampi qui a découvert le pot aux roses, alors qu'il explorait le code de l'application en vue de concevoir un portage pour Mac. En détournant le trafic de l'application iOS sur son ordinateur par l'intermédiaire de mitmproxy, il a découvert que les communications entre le programme et les serveurs de Path cachaient quelques secrets. « En observant de plus près, j'ai remarqué que mon carnet d'adresses entier (incluant les noms, les emails et les numéros de téléphone) était envoyé au format .plist (fichier préférence, NDLR) vers les serveurs de Path. Je ne me souviens pas avoir donné ma permission » explique le développeur.
Arun Thampi ajoute sur son blog qui n'insinue pas que Path « fait quelque chose de nocif » avec le carnet d'adresses de l'utilisateur, mais dit se sentir « clairement violé » par la démarche de l'application, qui agit ainsi sans prévenir. « Je me demande combien d'applications font la même chose » ajoute-t-il.
Les créateurs de Path ont réagi à ce constat, et ont expliqué qu'ils téléchargent le carnet d'adresse de l'utilisateur « pour l'aider à retrouver et se connecter à ses amis facilement et efficacement, ainsi qu'à l'alerter quand ses connaissances rejoignent Path. Rien de plus ». Il a ajouté que la version actuelle de l'application Android déjà présente sur l'Android Market permet « depuis quelques semaines » de désactiver l'utilisation du carnet d'adresse et donc son téléchargement sur les serveurs distants. La mise à jour 2.0.6 pour iOS, proposant cette même fonction, est actuellement en cours de validation chez Apple pour intégrer l'App Store. Un peu tard, peut-être...
Mise à jour : Le co-fondateur et le PDG de Path Dave Morin a publié hier un billet de blog intitulé « Nous sommes désolés », dans lequel il admet « avoir fait une erreur » : « Grâce aux réactions reçues ces derniers jours, nous comprenons que la façon dont nous avions conçu la fonction d'ajout d'amis était mauvaise. Nous sommes profondément désolés si la manière dont l'application utilisait vos contacts téléphoniques vous a mis mal à l'aise. » Dave Morin a annoncé que la totalité des carnets d'adresses de ses utilisateurs ont été supprimés des serveurs de Path.
Publication initiale : le 8 février 2012 à 16h26.
