Le perdite di dati predefinite: come gli SDK pubblicitari inducono gli sviluppatori al tracciamento

Gli utenti di smartphone spesso presumono che concedere l'accesso alla posizione a un'app serva solo alla funzione principale di quell'applicazione. Quando consentono un servizio di navigazione, un'app meteo o uno scanner di codici QR l'accesso ai dati GPS, gli utenti in genere si aspettano che la loro posizione venga utilizzata esclusivamente per lo scopo previsto.

Lo studio condotto dai ricercatori dell'EFF Lena Cohen e Bill Budington evidenzia il ruolo centrale dell'offerta in tempo reale (RTB) in questo flusso di dati. Una volta che un'app riceve i permessi di localizzazione a livello di sistema operativo, anche gli SDK di terze parti possono accedere a questi dati. Durante le aste RTB, le reti pubblicitarie inviano pacchetti di dati a migliaia di potenziali inserzionisti. Secondo l'indagine, i broker di dati sfruttano frequentemente queste aste per intercettare i dati di movimento inclusi nelle richieste di offerta. L'entità di questo problema è stata dimostrata attraverso la violazione dei dati che coinvolge il broker Gravy Analytics, che ha rivelato che molti sviluppatori interessati non erano a conoscenza del fatto che le loro app erano state utilizzate come fornitori di dati.

Le impostazioni standard agiscono come trappole di dati. Il problema si intensifica a causa del modo in cui sono progettati gli SDK pubblicitari. Gli sviluppatori tendono ad adottare impostazioni predefinite senza controllo. L'EFF ha identificato quattro kit di sviluppo ampiamente utilizzati che raccolgono e inoltrano automaticamente i dati di posizione una volta concessa l'autorizzazione all'app. Ad esempio, InMobi ha inoltrato abilitato per impostazione predefinita e raccomanda esplicitamente di concedere informazioni precise GPS e Wi-Fi per aumentare le entrate pubblicitarie. Allo stesso modo, il servizio pubblicitario BidMachine inizialmente ha affermato nella sua documentazione per sviluppatori di non raccogliere dati di posizione precisi. Tuttavia, dopo le richieste dell'EFF, la società ha corretto la sua documentazione.

Le analisi tecniche di applicazioni come RQR Scanner e GPS Speedometer hanno mostrato il contrario. Allo stesso modo, l'SDK HyBid di Verve e Petal Ads del produttore cinese Huawei utilizzano autorizzazioni di posizione predefinite e sottolineano i benefici finanziari per gli sviluppatori. Mentre Verve ha dichiarato di elaborare dati di posizione approssimativi su richiesta, anche le informazioni di posizione imprecise consentono conclusioni sui modelli di movimento con raccolta continua. Huawei menziona la monetizzazione ma nasconde l'opzione per disabilitare la raccolta dei dati all'interno di specifici documenti di conformità. I rischi vanno oltre la pubblicità mirata. Secondo l'EFF, il problema va ben oltre questi esempi.

Se i dati di localizzazione circolano attraverso il mercato pubblicitario, creano rischi al di là degli annunci mirati. In passato, tali set di dati sono già stati utilizzati per indagini sulle forze dell'ordine, strumenti di spionaggio globale, tracciamento di organizzatori sindacali e personale militare e esposizione di individui.

Gli attivisti sostengono leggi più severe e il divieto della pubblicità online basata sul comportamento per eliminare l'incentivo finanziario per il commercio di profili di movimento.