Desenvolvedores de aplicativos para Android podem estar compartilhando inadvertidamente os dados de localização de seus usuários com anunciantes

Para muitos aplicativos, conceder permissão para acessar a localização precisa do seu dispositivo faz todo o sentido. Seu aplicativo de clima favorito precisa saber onde você está para obter a previsão do dia, ou seu aplicativo de condicionamento físico principal para rastrear sua rota de corrida. 

Mas alguns aplicativos também estão compartilhando inadvertidamente os dados de localização de seus usuários com terceiros, incluindo anunciantes e corretoras de dados, porque o desenvolvedor do aplicativo pode não saber que essa configuração de compartilhamento de dados está ativada por padrão.

Novas descobertas da Electronic Frontier Foundation visam alertar os desenvolvedores de aplicativos de que parte do código de terceiros que eles colocam em seus aplicativos também pode coletar os dados de localização de seus usuários quando estes concedem permissão ao aplicativo. 

A menos que o desenvolvedor desative ativamente a coleta, o trecho de código (conhecido como kits de desenvolvimento de software, ou SDKs) herdará as permissões do aplicativo e coletará os dados de localização precisa do usuário.

A EFF afirma que muitos desenvolvedores podem não perceber que estão compartilhando os dados de localização de seus usuários com terceiros por padrão e instou os criadores de aplicativos a desativarem a coleta de dados desnecessária sempre que possível. 

Embora os SDKs de publicidade sejam promovidos como uma forma de os desenvolvedores monetizarem seus aplicativos, a contrapartida é que o histórico de localização dos usuários é enviado para corretoras de dados, que monetizam essas informações, que por sua vez são vendidas para forças armadas, governos e agências de inteligência, como o FBI. Os dados também representam um risco de segurança e privacidade se forem hackeados ou roubados, o que algumas corretoras de dados já sofreram.

Entre os aplicativos para Android identificados pela EFF que compartilhavam silenciosamente os dados de localização dos usuários, estavam dois que haviam sido baixados juntos 60 milhões de vezes até o momento.

A EFF realizou seus testes analisando o tráfego de rede dos aplicativos e verificando quais serviços estão recebendo os dados de localização dos usuários.

Bill Budington, tecnologista sênior da equipe da EFF, disse ao TechCrunch que os SDKs que eles examinaram representam uma pequena porcentagem do ecossistema de publicidade mais amplo, mas, ainda assim, afirmam alcançar bilhões de usuários em dezenas de milhares de aplicativos. Isso dá uma noção da escala desse tipo de coleta de dados de localização. 

O relatório da EFF afirmou que “não existem permissões de localização específicas para SDKs”, o que significa que, uma vez que o usuário permite que seus dados de localização sejam compartilhados com o aplicativo, seus dados de localização também são compartilhados com os anunciantes. As entidades que oferecem esses SDKs geralmente têm incentivos comerciais para fazer com que seus clientes colem mais dados.

“As permissões de localização em nível de aplicativo por si só não podem sinalizar um consentimento significativo para a coleta e o compartilhamento de localização por SDKs de publicidade de terceiros”, escreveu a EFF. “Os SDKs de publicidade não devem tornar o compartilhamento de dados pessoais o padrão, especialmente para dados tão sensíveis quanto a localização de uma pessoa.”