Les fuites de données prédéfinies: comment les SDK publicitaires incitent les développeurs au suivi

Les utilisateurs de smartphones supposent souvent que l'octroi d'un accès à la localisation d'une application ne sert qu'à la fonction principale de cette application. Lorsqu'ils autorisent un service de navigation, une application météo ou un scanner de code QR à accéder aux données GPS, les utilisateurs s'attendent généralement à ce que leur position soit utilisée uniquement aux fins prévues.

L'étude menée par les chercheurs de l'EFF, Lena Cohen et Bill Budington, met en évidence le rôle central des enchères en temps réel (RTB) dans ce flux de données. Une fois qu'une application reçoit des autorisations de localisation au niveau du système d'exploitation, les SDK tiers peuvent également accéder à ces données. Pendant les enchères RTB, les réseaux publicitaires envoient des paquets de données à des milliers d'annonceurs potentiels. Selon l'enquête, les courtiers de données exploitent fréquemment ces enchères pour intercepter les données de mouvement incluses dans les demandes d'enchères. L'ampleur de ce problème a été démontrée par la violation de données impliquant le courtier Gravy Analytics, qui a révélé que de nombreux développeurs concernés ignoraient que leurs applications avaient été utilisées comme fournisseurs de données.

Le problème s'intensifie en raison de la façon dont les SDK publicitaires sont conçus. Les développeurs ont tendance à adopter des paramètres par défaut sans examen minutieux. L'EFF a identifié quatre kits de développement largement utilisés qui collectent et transmettent automatiquement les données de localisation une fois que l'autorisation de l'application est accordée. Par exemple, InMobi a activé le transfert par défaut et recommande explicitement d'accorder des informations précises sur le GPS et le Wi-Fi pour augmenter les revenus publicitaires. De même, le service publicitaire BidMachine a initialement affirmé dans sa documentation de développeur qu'il ne collectait pas de données de localisation précises. Cependant, après des demandes de renseignements de l'EFF, la société a corrigé sa documentation.

Les analyses techniques d'applications telles que RQR Scanner et PSGPS Speedometer ont montré le contraire. De même, le SDK HyBid de Verve et Petal Ads du fabricant chinois Huawei utilisent des autorisations de localisation prédéfinies et mettent l'accent sur les avantages financiers pour les développeurs.

Si les données de localisation circulent sur le marché de la publicité, cela crée des risques au-delà des publicités ciblées. Dans le passé, ces ensembles de données ont déjà été utilisés pour des enquêtes sur l'application de la loi, des outils d'espionnage mondial, le suivi des organisateurs syndicaux et du personnel militaire et l'exposition d'individus.

Les activistes plaident en faveur de lois plus strictes et d'une interdiction de la publicité en ligne basée sur le comportement pour éliminer l'incitation financière à échanger des profils de mouvement.