Microsoft põe as mãos nos dados de login: Cuidado com o novo Outlook
O novo cliente Outlook gratuito da Microsoft para Windows, que está substituindo o app Mail integrado e, eventualmente, o Outlook clássico, está recebendo críticas por transmitir credenciais e conteúdos de e-mail de terceiros dos usuários para servidores da Microsoft para sincronização na nuvem. Comentadores argumentam que esse design apaga a linha entre um cliente desktop local e um serviço de webmail, levantando preocupações de privacidade, segurança e conformidade — especialmente em ambientes corporativos e regidos por GDPR/UE — enquanto oferece pouca transparência ou controle ao usuário. Muitos também reclamam que o “novo Outlook” é mais lento e menos capaz do que clientes anteriores, levando a recomendações de manter versões antigas ou mudar para alternativas como Thunderbird ou eM Client.
Tratamento de Credenciais e “ShadowService”
- O novo Outlook “gratuito” do Windows substitui o Mail e, eventualmente, o Outlook clássico.
- Para contas IMAP (por exemplo, Fastmail, mailbox.org), o app envia credenciais e conteúdo de e-mail para servidores da Microsoft por meio de um caminho de API que inclui
/ows/beta/ShadowService/getShadowToken. - Os dados são protegidos por TLS em trânsito, mas chegam à Microsoft em texto simples, permitindo acesso IMAP e sincronização do lado do servidor.
- Para contas Google, alguns relatos dizem que tokens OAuth2 são usados em vez da senha bruta, mas a Microsoft ainda retém tokens que permitem acesso à conta.
Preocupações com Segurança, Privacidade e Consentimento
- Muitos veem isso como a Microsoft atuando como intermediária não anunciada entre os usuários e provedores de e-mail de terceiros.
- Críticos enfatizam a falta de divulgação clara e destacada e de adesão voluntária, contrastando isso com fluxos explícitos de “importação” em serviços como o Gmail.
- Alguns argumentam que o principal problema não é a criptografia em trânsito, mas o fato de que a Microsoft pode recuperar e reutilizar os segredos dos usuários para consultar caixas de entrada.
- Há relatos de ambientes de trabalho proibirem o novo Outlook e o Outlook Mobile por esse motivo.
Comparação com Outros Clientes e Webmail
- Alguns observam que serviços de webmail também lidam com credenciais em seus servidores, mas ressaltam que os usuários normalmente sabem que estão usando webmail.
- O novo Outlook é descrito como efetivamente um aplicativo web (como o webmail do Outlook) empacotado como cliente de desktop, ao contrário de clientes IMAP locais tradicionais (por exemplo, Thunderbird).
Experiência do Usuário e Qualidade do Produto
- O novo Outlook é amplamente criticado por ser mais lento, mais inchado e por faltar recursos consolidados (por exemplo, exibições clássicas de lista de mensagens, controles de carregamento de imagens, busca confiável).
- Há relatos de anúncios intrusivos no topo da caixa de entrada e de regressões em relação ao antigo app Mail e ao Outlook clássico.
- Queixas sobre o padrão da Microsoft de reescritas “MVP” que são lançadas com funcionalidade reduzida.
Aspectos Corporativos, Regulatórios e de Política
- Uma autoridade federal alemã de proteção de dados, segundo relatos, planeja levar a questão ao nível da UE.
- Alguns veem isso como parte de uma tendência mais ampla: coleta agressiva de dados, telemetria e possível treinamento de IA em conteúdo do usuário.
Alternativas e Contornos
- Usuários mencionam regras de firewall para bloquear o comportamento de “telefonar para casa” e permanecer em versões mais antigas do Office.
- Alternativas citadas incluem Thunderbird, LibreOffice (como substituto do Office) e eM Client.
- O consenso: clientes IMAP de terceiros que não encaminham credenciais por meio de seus próprios servidores evitam esse problema específico.